Показано с 1 по 9 из 9.

Warning ! Spyware detected on your computer. (заявка № 31359)

  1. #1
    Junior Member Репутация
    Регистрация
    02.10.2008
    Сообщений
    4
    Вес репутации
    34

    Warning ! Spyware detected on your computer.

    Здравствуйте,

    У меня проблема, которая уже не раз озвучивалась здесь..

    Все те же симптомы:

    - Антивирус (NOD32) и antispyware Ad-aware (Lavasoft) не могут вычистить компьютер от троянов/вируса.
    - на десктопе висит грозное сообщение о том что компьютер заражен и надобно установить антивирусное п/о.
    - невозможно поменять wallpaper
    - если система была idle недолго, то появляется синий экран с сообщениями ошибок page_fault_in, sysinternals_great_site, unexpected_kernel_mode_trap, kmode_exception_not_handled, bogus_driver, maximum_wait_objects_exceeded и соответствующие им файлы.

    Сделал все стэпы о которых говорилось в правилах, надеюсь правильно.

    Пожалуйста помогите.
    Вложения Вложения

  2. Будь в курсе!
    Реклама на VirusInfo

    Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

    Anti-Malware Telegram
     

  3. #2
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    29.09.2004
    Сообщений
    3,510
    Вес репутации
    1280
    Выполните скрипт в AVZ:
    Код:
    begin
    SearchRootkit(true, true);
    SetAVZGuardStatus(True);
     QuarantineFile('cscdll.dll','');
     QuarantineFile('C:\WINDOWS\system32\braviax.exe','');
     QuarantineFile('C:\WINDOWS\System32\Drivers\Winvc17.sys','');
     QuarantineFile('C:\WINDOWS\System32\Drivers\Winub74.sys','');
     QuarantineFile('C:\WINDOWS\System32\Drivers\Winek74.sys','');
     QuarantineFile('C:\WINDOWS\System32\Drivers\Winek17.sys','');
     QuarantineFile('C:\WINDOWS\System32\Drivers\Winag63.sys','');
     QuarantineFile('C:\WINDOWS\System32\Drivers\dwshd.sys','');
     QuarantineFile('C:\WINDOWS\system32\ntoskrnl.exe','');
     QuarantineFile('C:\WINDOWS\system32\WinCtrl32.dll','');
     QuarantineFile('C:\WINDOWS\system32\lphclppj0epd9.exe','');
     QuarantineFile('C:\WINDOWS\system32\blphclppj0epd9.scr','');
     QuarantineFile('c:\windows\system32\winlogon.exe','');
     QuarantineFile('c:\program files\internet explorer\iexplore.exe','');
     QuarantineFile('c:\windows\explorer.exe','');
     QuarantineFile('c:\windows\system32\ctfmon.exe','');
     DeleteFile('C:\WINDOWS\system32\blphclppj0epd9.scr');
     DeleteFile('C:\WINDOWS\system32\lphclppj0epd9.exe');
     DeleteFile('C:\WINDOWS\system32\WinCtrl32.dll');
     DeleteFile('C:\WINDOWS\system32\WinCtrl32.dl_');
     DeleteFile('C:\WINDOWS\System32\Drivers\Winag63.sys');
     DeleteFile('C:\WINDOWS\System32\Drivers\Winek17.sys');
     DeleteFile('C:\WINDOWS\System32\Drivers\Winek74.sys');
     DeleteFile('C:\WINDOWS\System32\Drivers\Winub74.sys');
     DeleteFile('C:\WINDOWS\System32\Drivers\Winvc17.sys');
     DeleteFile('C:\WINDOWS\system32\braviax.exe');
     DeleteFile('C:\Documents and Settings\Администратор\Local Settings\Temp\GoogleToolbarInstaller_ru.exe');
     DelWinlogonNotifyByKeyName('WinCtrl32');
     DeleteService('Winvc17');
     DeleteService('Winub74');
     DeleteService('Winek74');
     DeleteService('Winek17');
     DeleteService('Winag63');
     DeleteService('wuauservFastUserSwitchingCompatibility');
     DeleteService('wscsvcBrowserHTTPFilter');
     DeleteService('WmdmPmSNHTTPFilterRSVP');
     DeleteService('upnphostWudfSvc');
     DeleteService('TrkWksCiSvc');
     DeleteService('SwPrvPolicyAgentxmlprov');
     DeleteService('SwPrvPolicyAgent');
     DeleteService('stisvcmnmsrvc');
     DeleteService('SSDPSRVSamSs');
     DeleteService('srserviceSamSs');
     DeleteService('SENSSpooler');
     DeleteService('seclogonScheduleDhcp');
     DeleteService('ScheduleDhcpWmiApSrv');
     DeleteService('ScheduleDhcp');
     DeleteService('SCardSvrSCardSvrwinmgmt');
     DeleteService('SCardSvrSCardSvr');
     DeleteService('SamSswuauservFastUserSwitchingCompatibility');
     DeleteService('SamSsRpcSsMSDTCwscsvc');
     DeleteService('SamSsRpcSs');
     DeleteService('RpcSsNtmsSvcwscsvc');
     DeleteService('RpcSsNtmsSvc');
     DeleteService('RasManSchedule');
     DeleteService('ProtectedStorageSENS');
     DeleteService('PolicyAgentShellHWDetection');
     DeleteService('PlugPlayMSIServerwinmgmt');
     DeleteService('PlugPlayMSIServer');
     DeleteService('NlaHTTPFilter');
     DeleteService('Nladmadmin');
     DeleteService('NetlogonSwPrvMSIServer');
     DeleteService('NetlogonSwPrv');
     DeleteService('NetDDESamSs');
     DeleteService('NetDDElanmanserver');
     DeleteService('MSIServerRemoteRegistryWmdmPmSN');
     DeleteService('MSIServerRemoteRegistry');
     DeleteService('MSIServerNetlogonSwPrvMSIServer');
     DeleteService('MSDTCwscsvc');
     DeleteService('MSDTCShellHWDetection');
     DeleteService('mnmsrvcSysmonLog');
     DeleteService('lanmanserverWZCSVC');
     DeleteService('lanmanserverSENS');
     DeleteService('ImapiServiceSwPrvPolicyAgentxmlprov');
     DeleteService('HTTPFilterRSVP');
     DeleteService('helpsvcNetlogon');
     DeleteService('gusvcSwPrvPolicyAgent');
     DeleteService('EventSystemRSVP');
     DeleteService('EventSystemFastUserSwitchingCompatibilitySSDPSRVSamSs');
     DeleteService('EventSystemFastUserSwitchingCompatibility');
     DeleteService('EventlogEventSystemFastUserSwitchingCompatibilitySSDPSRVSamSs');
     DeleteService('DnscacheSamSswuauservFastUserSwitchingCompatibility');
     DeleteService('DcomLaunchWebClient');
     DeleteService('DcomLaunchRpcSsEventlog');
     DeleteService('DcomLaunchRpcSs');
     DeleteService('COMSysAppImapiService');
     DeleteService('BITSDhcp');
     DeleteService('BrowserHTTPFilter');
     DeleteService('AudioSrvDcomLaunchRpcSsdmadminBITSDcomLaunch');
     DeleteService('AudioSrvDcomLaunchRpcSsdmadminBITS');
     DeleteService('AudioSrvDcomLaunchRpcSsdmadmin');
     DeleteService('AudioSrvDcomLaunchRpcSs');
     DeleteService('ALGWudfSvc');
     DeleteService('ALGCOMSysApp');
    BC_ImportALL;
    ExecuteSysClean;
    BC_Activate;
    ExecuteRepair(6);
    ExecuteRepair(8);
    ExecuteRepair(5);
    RegKeyIntParamWrite( 'HKLM', 'SOFTWARE\Microsoft\Windows\CurrentVersion\policies\NonEnum', '{BDEADF00-C265-11D0-BCED-00A0C90AB50F}', 1);
    RebootWindows(true);
    end.
    Компьютер перезагрузится.

    Пришлите карантин по правилам (загружать здесь: http://virusinfo.info/upload_virus.php?tid=31359 ).

    Очистите временные папки и кеш браузера.
    Сделайте новые логи.
    Месть - мечта слабых, прощение - удел сильных.
    Поддержать проект можно здесь

  4. #3
    Junior Member Репутация
    Регистрация
    02.10.2008
    Сообщений
    4
    Вес репутации
    34
    Извините, нет ответа - может что то неправильно с моими логами ?

    Добавлено через 22 минуты

    спасибо - буду продолжать.
    Последний раз редактировалось Ilya G; 03.10.2008 в 10:33. Причина: Добавлено

  5. #4
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для drongo
    Регистрация
    17.09.2004
    Адрес
    Israel
    Сообщений
    7,165
    Вес репутации
    971
    только не забудьте nod и adaware отключить перед исполнением скрипта
    очень много гадости, на всякий случай надо бы пройтись в сейфмоде кюритом, авптул.

  6. #5
    Junior Member Репутация
    Регистрация
    02.10.2008
    Сообщений
    4
    Вес репутации
    34
    Карантин закачал, логи прикладываю.
    Вложения Вложения

  7. #6
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    03.04.2006
    Сообщений
    21,108
    Вес репутации
    3000
    Ad-Aware удалите. Если Вы еще сами не поняли, то скажу Вам по секрету: Пользы от него нет.

    Закройте/выгрузите все программы кроме AVZ и Internet Explorer.
    Отключите
    - ПК от интернета/локалки
    - Антивирус и Файрвол.
    - Системное восстановление.

    - Выполните скрипт
    Код:
    begin
    SearchRootkit(true, true);
    SetAVZGuardStatus(True);
     StopService('Winpv52');
     QuarantineFile('WinCtrl32.dll','');
     QuarantineFile('C:\WINDOWS\System32\Drivers\Winpv52.sys','');
     QuarantineFile('C:\autorun.inf','');
     DeleteFile('WinCtrl32.dll');
     DeleteFile('C:\WINDOWS\System32\Drivers\Winpv52.sys');
     DeleteFile('C:\autorun.inf');
    BC_ImportAll;
    ExecuteSysClean;
    BC_DeleteSvc('ALGCOMSysApp');
    BC_DeleteSvc('ALGWudfSvc');
    BC_DeleteSvc('AudioSrvDcomLaunchRpcSs');
    BC_DeleteSvc('AudioSrvDcomLaunchRpcSsdmadmin');
    BC_DeleteSvc('AudioSrvDcomLaunchRpcSsdmadminBITS');
    BC_DeleteSvc('AudioSrvDcomLaunchRpcSsdmadminBITSDcomLaunch');
    BC_DeleteSvc('BITSDhcp');
    BC_DeleteSvc('BrowserHTTPFilter');
    BC_DeleteSvc('ClipSrv');
    BC_DeleteSvc('COMSysAppImapiService');
    BC_DeleteSvc('DcomLaunchRpcSs');
    BC_DeleteSvc('DcomLaunchRpcSsEventlog');
    BC_DeleteSvc('DcomLaunchWebClient');
    BC_DeleteSvc('DnscacheRpcLocator');
    BC_DeleteSvc('DnscacheSamSswuauservFastUserSwitchingCompatibility');
    BC_DeleteSvc('ERSvcTlntSvr');
    BC_DeleteSvc('EventlogEventSystemFastUserSwitchingCompatibilitySSDPSRVSamSs');
    BC_DeleteSvc('EventSystemFastUserSwitchingCompatibility');
    BC_DeleteSvc('EventSystemFastUserSwitchingCompatibilitySSDPSRVSamSs');
    BC_DeleteSvc('EventSystemRSVP');
    BC_DeleteSvc('gusvcSwPrvPolicyAgent');
    BC_DeleteSvc('helpsvcNetlogon');
    BC_DeleteSvc('HTTPFilterRSVP');
    BC_DeleteSvc('ImapiServiceSwPrvPolicyAgentxmlprov');
    BC_DeleteSvc('lanmanserverSENS');
    BC_DeleteSvc('lanmanserverWZCSVC');
    BC_DeleteSvc('mnmsrvcSysmonLog');
    BC_DeleteSvc('MSDTC');
    BC_DeleteSvc('MSDTCShellHWDetection');
    BC_DeleteSvc('MSDTCwscsvc');
    BC_DeleteSvc('MSIServerNetlogonSwPrvMSIServer');
    BC_DeleteSvc('MSIServerRemoteRegistry');
    BC_DeleteSvc('MSIServerRemoteRegistryWmdmPmSN');
    BC_DeleteSvc('NetDDElanmanserver');
    BC_DeleteSvc('NetDDESamSs');
    BC_DeleteSvc('NetlogonSwPrv');
    BC_DeleteSvc('NetlogonSwPrvMSIServer');
    BC_DeleteSvc('Nladmadmin');
    BC_DeleteSvc('NlaHTTPFilter');
    BC_DeleteSvc('PlugPlayMSIServer');
    BC_DeleteSvc('PlugPlayMSIServerwinmgmt');
    BC_DeleteSvc('PolicyAgentShellHWDetection');
    BC_DeleteSvc('ProtectedStorageSENS');
    BC_DeleteSvc('RasManSchedule');
    BC_DeleteSvc('RpcSsNtmsSvc');
    BC_DeleteSvc('RpcSsNtmsSvcwscsvc');
    BC_DeleteSvc('SamSsRpcSs');
    BC_DeleteSvc('SamSsRpcSsMSDTCwscsvc');
    BC_DeleteSvc('SamSswuauservFastUserSwitchingCompatibility');
    BC_DeleteSvc('SCardSvrSCardSvr');
    BC_DeleteSvc('SCardSvrSCardSvrwinmgmt');
    BC_DeleteSvc('ScheduleDhcp');
    BC_DeleteSvc('ScheduleDhcpWmiApSrv');
    BC_DeleteSvc('seclogonScheduleDhcp');
    BC_DeleteSvc('SENSSpooler');
    BC_DeleteSvc('srserviceSamSs');
    BC_DeleteSvc('SSDPSRVSamSs');
    BC_DeleteSvc('stisvcmnmsrvc');
    BC_DeleteSvc('SwPrvPolicyAgent');
    BC_DeleteSvc('SwPrvPolicyAgentxmlprov');
    BC_DeleteSvc('TrkWksCiSvc');
    BC_DeleteSvc('upnphostWudfSvc');
    BC_DeleteSvc('WmdmPmSNHTTPFilterRSVP');
    BC_DeleteSvc('WmiApSrvstisvc');
    BC_DeleteSvc('wscsvcBrowserHTTPFilter');
    BC_DeleteSvc('wuauservFastUserSwitchingCompatibility');
    BC_DeleteSvc('WZCSVCProtectedStorageSENS');
    BC_DeleteSvc('WZCSVCProtectedStorageSENSupnphost');
    BC_DeleteSvc('Winpv52');
    BC_Activate;
    RebootWindows(true);
    end.
    После перезагрузки:
    - Очистите темп-папки, кэш проводников и корзину.
    - Закройте все программы, включая Антивирус и Файрвол, Оставьте запущенным только Internet Explorer. Если он не запущен - запустите!!!
    - Сделайте повторные логи
    Код:
    virusinfo_syscure.zip
    virusinfo_syscheck.zip
    hijackthis.log
    - Включите Антвирус и Файрволл
    - Подключите ПК к интернету/локалке
    - Закачайте карантин по ссылке Прислать запрошенный карантин вверху темы (Приложение 2 п.4 правил).
    - Прикрепите логи к новому сообщению.

  8. #7
    Junior Member Репутация
    Регистрация
    02.10.2008
    Сообщений
    4
    Вес репутации
    34
    Удалил Лавасофт, прошел шаги.
    АВЗ выдал ошибку когда делал "Скрипт лечения/карантина и сбора информации для раздела "Помогите!" .
    Т.е. лог может быть неполный ... (?)

    Логи приложил.

    Спасибо.

    когда закачивал virusinfo_syscure.zip то аплодер написал что этот файл уже закачан.

    (Когда включил НОД - он сразу оповестил о троянах).
    Вложения Вложения

  9. #8
    Senior Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    10.01.2007
    Сообщений
    22,817
    Вес репутации
    1500
    скачайте C:\WINDOWS\System32\Drivers\Winpv52.sys - force delete
    выполните скрипт
    Код:
    begin
    SearchRootkit(true, true);
    SetAVZGuardStatus(True);
     BC_DeleteSvc('Winpv52');
     BC_DeleteSvc('RpcLocatorWZCSVCProtectedStorageSENS');
     BC_DeleteSvc('MSIServerEventSystemFastUserSwitchingCompatibility');
     QuarantineFile('C:\WINDOWS\system32\Drivers\Winpv52.sys','');
     QuarantineFile('C:\WINDOWS\system32\WinCtrl32.dll','');
     DeleteFile('C:\WINDOWS\system32\WinCtrl32.dll');
     DeleteFile('C:\WINDOWS\system32\Drivers\Winpv52.sys');
     DeleteFile('WinCtrl32.dll');
    BC_ImportDeletedList;
    ExecuteSysClean;
    BC_Activate;
    RebootWindows(true);
    end.
    пришлите карантин согласно приложения 3 правил
    повторите логи

  10. #9
    Cybernetic Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    29.12.2008
    Сообщений
    48,318
    Вес репутации
    953

    Итог лечения

    Статистика проведенного лечения:
    • Получено карантинов: 2
    • Обработано файлов: 84
    • В ходе лечения обнаружены вредоносные программы:
      1. c:\\windows\\system32\\blphclppj0epd9.scr - Trojan.Win32.FraudPack.ijv (DrWEB: Trojan.Fakealert.1321)
      2. c:\\windows\\system32\\winctrl32.dll - Trojan-Downloader.Win32.Mutant.boi (DrWEB: BackDoor.Bulknet.225)


  • Уважаемый(ая) Ilya G, наши специалисты оказали Вам всю возможную помощь по вашему обращению.

    В целях поддержания безопасности вашего компьютера настоятельно рекомендуем:

     

     

    Чтобы всегда быть в курсе актуальных угроз в области информационной безопасности и сохранять свой компьютер защищенным, рекомендуем следить за последними новостями ИТ-сферы портала Anti-Malware.ru:

     

     

    Anti-Malware VK

     

    Anti-Malware Telegram

     

     

    Надеемся больше никогда не увидеть ваш компьютер зараженным!

     

    Если Вас не затруднит, пополните пожалуйста нашу базу безопасных файлов.

  • Похожие темы

    1. Ответов: 22
      Последнее сообщение: 22.02.2009, 07:16
    2. Ответов: 10
      Последнее сообщение: 22.02.2009, 07:16
    3. Ответов: 6
      Последнее сообщение: 22.02.2009, 06:14
    4. Ответов: 1
      Последнее сообщение: 29.09.2008, 09:38
    5. Ответов: 9
      Последнее сообщение: 01.07.2008, 17:35

    Свернуть/Развернуть Ваши права в разделе

    • Вы не можете создавать новые темы
    • Вы не можете отвечать в темах
    • Вы не можете прикреплять вложения
    • Вы не можете редактировать свои сообщения
    •  
    Page generated in 0.01431 seconds with 17 queries