Страница 1 из 2 12 Последняя
Показано с 1 по 20 из 23.

Kaspersky unable to remove trojan program in sytemroot

  1. #1
    Junior Member Репутация
    Регистрация
    03.08.2009
    Сообщений
    32
    Вес репутации
    31
    hi,
    i would really apreciate some help!
    as per title, Kaspersky AVP is unable to remove trojan program in globalroot\systemroot\system32.
    this virus is causing my laptop to run slow and the internet explorer to send me to 'unwanted' web links!
    many thanks.
    Hal


    forgot to add the Log.
    here it is,
    i will run and upload the AVP and hijackthis logs tomorrow. thanks.
    Последний раз редактировалось halim.matin; 23.03.2010 в 12:32.

  2. #2
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    03.04.2006
    Сообщений
    21,108
    Вес репутации
    3000
    Switch off:
    - Antivirus and and, if you have - Firewall.
    - System Restore


    - Execute following script in Manual Healing
    Код:
    begin
    SearchRootkit(true, true);
    SetAVZGuardStatus(True);
     QuarantineFile('\systemroot\system32\geyekrvjjdanyu.dll','');
     DeleteFile('\systemroot\system32\geyekrvjjdanyu.dll');
    BC_ImportAll;
    ExecuteSysClean;
    BC_Activate;
    SetAVZPMStatus(True);
    RebootWindows(true);
    end.
    After reboot:
    - Execute following script in Manual Healing
    Код:
    begin
    CreateQurantineArchive('C:\quarantine.zip');    
    end.
    - Remove Bonjour: http://virusinfo.info/showthread.php?t=42263
    - Clean Temp-Maps, Cache of Browsers, Recycler. Use Windows service tool cleanmgr or CCleaner or ClearProg
    - Close all the programs and start only Internet Explorer!!!
    - Make a log file with GMER (www.gmer.net) : download gmer.exe, start a program, press the SCAN - button, wait till GMER will be ready with logging, save the log and attach it to the new message.
    - Repeat a log file.
    - Switch Antivirus and, if you have - Firewall, on.
    - Go On-Line
    - Upload the C:\quarantine.zip here: http://virusinfo.info/upload_virus_eng.php?tid=51417
    - Attach a new log to your new post..

  3. #3
    Junior Member Репутация
    Регистрация
    03.08.2009
    Сообщений
    32
    Вес репутации
    31
    Thanks for the advise. As requested please find Kaspersky log and GMER log:

    Also, as requested c:\quarintine.zip uploaded. Should i delete this from the c:\ ??
    Последний раз редактировалось halim.matin; 23.03.2010 в 12:32.

  4. #4
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    03.04.2006
    Сообщений
    21,108
    Вес репутации
    3000
    Цитата Сообщение от halim.matin Посмотреть сообщение
    Should i delete this from the c:\ ??
    Yes, yo may do it

    - Execute following script in Manual Healing
    Код:
    begin
    SearchRootkit(true, true);
    SetAVZGuardStatus(True);
    ClearQuarantine;
     QuarantineFile('\systemroot\system32\drivers\geyekrlfyeoayv.sys','');
     DeleteFile('\systemroot\system32\drivers\geyekrlfyeoayv.sys');
    BC_ImportAll;
    ExecuteSysClean;
    BC_Activate;
    RebootWindows(true);
    end.
    After reboot:
    - Execute following script in Manual Healing
    Код:
    begin
    CreateQurantineArchive('C:\quarantine.zip');    
    end.
    - Make new logs with GMER and AVPTool.
    - Upload the C:\quarantine.zip here: http://virusinfo.info/upload_virus_eng.php?tid=51417
    Последний раз редактировалось Rene-gad; 06.08.2009 в 15:22. Причина: Добавлено

  5. #5
    Junior Member Репутация
    Регистрация
    03.08.2009
    Сообщений
    32
    Вес репутации
    31
    hi,
    before i completed your recent instructions, i ran the AVP, it found some trojans and treated or deleted them! sorry, if i was not meant to do this.
    As per your instruction:
    c:\quarantined.zip uploaded. (i will also delete this).
    As requested please find Kaspersky log and GMER log:
    Последний раз редактировалось halim.matin; 23.03.2010 в 12:32.

  6. #6
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    03.04.2006
    Сообщений
    21,108
    Вес репутации
    3000
    Copy code
    Код:
    gmer.exe -del service geyekrybyxcnoe
    gmer.exe -del reg "HKLM\SYSTEM\ControlSet003\Services\geyekrybyxcnoe"
    gmer.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\geyekrybyxcnoe"
    gmer.exe -del file "c:\windows\system32\drivers\geyekrlfyeoayv.sys"
    gmer.exe -del file "c:\windows\system32\geyekrpacxljgx.dll"
    gmer.exe -del file "c:\windows\system32\geyekrucdddrot.dat"
    gmer.exe -del file "c:\windows\system32\geyekrvjjdanyu.dll"
    gmer.exe -del file "c:\windows\system32\geyekrvcvvkyxj.dat"
    gmer.exe -del file "c:\windows\system32\geyekrwsp.dll"
    in a new text file, save it as 123.bat in the same directory, where gmer.exe saved and let it run with a double click.

    After reboot:

    Execute following script in Manual Healing
    Код:
    begin
    SetAVZGuardStatus(True);
     DeleteFileMask('%systemroot%\','geyekr.*',false);
     DeleteFileMask('%systemroot%\system32','geyekr.*',false);
     DeleteFileMask('%systemroot%\system32\drivers','geyekr.*',false);
    ExecuteSysClean;
    RebootWindows(true);
    end.
    After reboot:
    repeat the GMER - log
    Последний раз редактировалось Rene-gad; 07.08.2009 в 11:34.

  7. #7
    Junior Member Репутация
    Регистрация
    03.08.2009
    Сообщений
    32
    Вес репутации
    31
    gmer log:
    Последний раз редактировалось halim.matin; 23.03.2010 в 12:32.

  8. #8
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    03.04.2006
    Сообщений
    21,108
    Вес репутации
    3000

  9. #9
    Junior Member Репутация
    Регистрация
    03.08.2009
    Сообщений
    32
    Вес репутации
    31
    gmer log:
    Последний раз редактировалось halim.matin; 23.03.2010 в 12:32.

  10. #10
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    03.04.2006
    Сообщений
    21,108
    Вес репутации
    3000
    Цитата Сообщение от halim.matin Посмотреть сообщение
    gmer log:
    We have cleaned a couple of PCs with this rootkit, but with your's one we have a problem.
    I cannot understand, what did you make wrong.
    - Is your antivirus/firewall disabled?
    - Did you save the 123.bat-file in the same directory, where you'd saved GMER.exe before?
    - Did you start 123.bat with double click?
    - Did your PC reboot after running of the 123.bat?

  11. #11
    Junior Member Репутация
    Регистрация
    03.08.2009
    Сообщений
    32
    Вес репутации
    31
    - no, antivirus and firewall is ON.
    -123.bat IS saved in same dir as gmer.exe
    -123.bat started with double click.
    -PC did NOT reboot automatically after reboot. I rebooted manually.

    I will run the 123.bat and then the script with anti virus & firewall OFF. then post gmer log. please wait......

    do i need to close kaspersky as well when before running scripts, scans and 123.bat?

    gmer log:
    Последний раз редактировалось halim.matin; 23.03.2010 в 12:32.

  12. #12
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для drongo
    Регистрация
    17.09.2004
    Адрес
    Israel
    Сообщений
    7,165
    Вес репутации
    971
    Yes, you should close/unload all security program before running scripts (in your case kaspersky, pctools, etc.)And please, uninstall PC Tools and all other security program( except one) before that.2 and more security program with same functionality- it can be a problem.
    Also, do you know what is this : SafeConnectShim.sys ? It seems that it also from some security program (Sana Security), or a trojan.
    Последний раз редактировалось drongo; 08.08.2009 в 08:54.

  13. #13
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    03.04.2006
    Сообщений
    21,108
    Вес репутации
    3000
    Цитата Сообщение от halim.matin Посмотреть сообщение
    -PC did NOT reboot automatically after reboot. .
    I'm very sorry: It's my mistake - I forgot to write reboot-command
    There's a correct script.
    Код:
    gmer.exe -del service geyekrybyxcnoe
    gmer.exe -del reg "HKLM\SYSTEM\ControlSet003\Services\geyekrybyxcnoe"
    gmer.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\geyekrybyxcnoe"
    gmer.exe -del file "%systemroot%\system32\drivers\geyekrlfyeoayv.sys"
    gmer.exe -del file "%systemroot%\system32\geyekrpacxljgx.dll"
    gmer.exe -del file "%systemroot%\system32\geyekrucdddrot.dat"
    gmer.exe -del file "%systemroot%\system32\geyekrvjjdanyu.dll"
    gmer.exe -del file "%systemroot%\system32\geyekrvcvvkyxj.dat"
    gmer.exe -del file "%systemroot%\system32\geyekrwsp.dll"
    gmer.exe -reboot
    Последний раз редактировалось Rene-gad; 08.08.2009 в 15:16.

  14. #14
    Junior Member Репутация
    Регистрация
    03.08.2009
    Сообщений
    32
    Вес репутации
    31
    should i start at the start again? maybe run a avp sytem check again??
    gmer log:

    AVP system check:
    Последний раз редактировалось halim.matin; 23.03.2010 в 12:32.

  15. #15
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    03.04.2006
    Сообщений
    21,108
    Вес репутации
    3000
    AVPTool log is clean. GMER log is not clean. Pls. save the correct script as 5555.bat in gmer.exe -directory and run it. PC should reboot.

  16. #16
    Junior Member Репутация
    Регистрация
    03.08.2009
    Сообщений
    32
    Вес репутации
    31
    5555.bat did not reboot.??!?!

  17. #17
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    03.04.2006
    Сообщений
    21,108
    Вес репутации
    3000
    Цитата Сообщение от halim.matin Посмотреть сообщение
    5555.bat did not reboot.??!?!
    ... because you haven't file gmer.exe.
    Is it the name of the file you start to make a log? kn0k4hq0.exe
    You have to rename it to gmer.exe or change in the script the letters gmer.exe with kn0k4hq0.exe
    Последний раз редактировалось Rene-gad; 08.08.2009 в 15:36.

  18. #18
    Junior Member Репутация
    Регистрация
    03.08.2009
    Сообщений
    32
    Вес репутации
    31
    i think you got it, gmer log attached?
    can i turn on system restore?
    what antivirus and firewall should i run?
    I currently run Virgin Broadband PCGuard (which is based on Kaspersty).
    Последний раз редактировалось halim.matin; 23.03.2010 в 12:32.

  19. #19
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    03.04.2006
    Сообщений
    21,108
    Вес репутации
    3000
    Цитата Сообщение от halim.matin Посмотреть сообщение
    i think you got it
    I think, we've got it Gmer-log seems to be clean now.
    Цитата Сообщение от halim.matin Посмотреть сообщение
    can i turn on system restore?
    yes - if you'd like it
    Цитата Сообщение от halim.matin Посмотреть сообщение
    what antivirus and firewall should i run?
    I currently run Virgin Broadband PCGuard (which is based on Kaspersty).
    It's a web-based solution, isn't it? I would prefer any local antivirus (it should not be expansive, could be a freeware, too) - combined with Windows Firewall.
    I'm not giving you any name: download, try and decide, what is the best for your system.

  20. #20
    Junior Member Репутация
    Регистрация
    03.08.2009
    Сообщений
    32
    Вес репутации
    31
    its actually downloaded and runs on my laptop....it seems ok, and they say its based on Kapersy..so should be ok. it also includes a firewall.

    Thanks for your time, patience, and efort Rene-gad!

    I will donate some money via paypal to this site. Is it through here *Support VirusInfo* on the bottom of your posts (the page is all in russian!)?

    Many Thanks again.

Страница 1 из 2 12 Последняя

Похожие темы

  1. Program file turn read only unable to install kaspersky
    От Newajay в разделе Malware Removal Service
    Ответов: 0
    Последнее сообщение: 24.09.2010, 14:04
  2. Trojan program found by Kaspersky Internet 2010
    От pammy53 в разделе Malware Removal Service
    Ответов: 1
    Последнее сообщение: 20.08.2010, 11:05
  3. Trojan program found by Kaspersky Internet 2010
    От pammy53 в разделе Помогите!
    Ответов: 0
    Последнее сообщение: 20.08.2010, 08:29
  4. internet and sound disconnected.Unable to enter any program
    От pablo373 в разделе Malware Removal Service
    Ответов: 4
    Последнее сообщение: 23.07.2009, 20:41
  5. hot to remove trojan program backdoor.win32.poison.yre
    От diego666 в разделе Malware Removal Service
    Ответов: 1
    Последнее сообщение: 28.04.2009, 11:00

Метки для этой темы

Свернуть/Развернуть Ваши права в разделе

  • Вы не можете создавать новые темы
  • Вы не можете отвечать в темах
  • Вы не можете прикреплять вложения
  • Вы не можете редактировать свои сообщения
  •  
Page generated in 0.00723 seconds with 16 queries