вирусы в автозагрузке

[lebron]

После исполнения какого то кряка вылезло куча файлов в
C:\Documents and Settings\Сергей.XXX\Local Settings\Temp\
a.exe b.exe, и т.д но успел перехватить их фаерволом. Теперь в автозагрузке

исходный файл кудато исчез

[snifer67]

Выполните скрипт в avz

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\DOCUME~1\BA83~1.XXX\LOCALS~1\Temp\i.exe','');
 QuarantineFile('C:\DOCUME~1\BA83~1.XXX\LOCALS~1\Temp\f.exe','');
 DeleteFile('C:\DOCUME~1\BA83~1.XXX\LOCALS~1\Temp\f.exe');
 DeleteFile('C:\DOCUME~1\BA83~1.XXX\LOCALS~1\Temp\i.exe');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','LEO0WTUNO7');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','J8RPLTROBQ');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

ПК перезагрузится.

Пришлите карантин согласно Приложения 3 правил по красной ссылке Прислать запрошенный карантин вверху темы

Пролечитесь http://support.kaspersky.ru/download...tdsskiller.zip

Сделайте еще такой лог:
http://virusinfo.info/showthread.php?t=40118

Сделайте новые логи.

[lebron]

карантин прислал. пролечился.вот логи.

[lebron]

забыл еще эти

[snifer67]

Когда сканировали gmer'ом на кнопку scan нажимали ?

Восстановление системы отключить.

Выполните скрипт в avz

begin
DeleteFileMask(GetAVZDirectory+'Quarantine', '*.*', true);
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('c:\windows\system32\sshnas.dll','');
 DeleteFile('c:\windows1\system32\sshnas.dll');
 QuarantineFile('c:\windows\system32\drivers\gasfkyprtnrowy.sys','');
 DeleteFile('c:\windows\system32\drivers\gasfkyprtnrowy.sys');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SYSTEM\CurrentControlSet\Services\SSHNAS\Parameters','ServiceDll');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

ПК перезагрузится.

Пришлите карантин согласно Приложения 3 правил по красной ссылке Прислать запрошенный карантин вверху темы

Сделайте новые логи.

[lebron]

карантин пустой. AVZ пишет ошибка - прямое чтение
gmer автоскан - лог при входе
gmer scan system - сканирование c: только системных файлов


при выполнении скрипта nod ловит вирус:
26.12.2009 16:43:00 Защита в режиме реального времени файл C:\WINDOWS1\system32\Drivers\vdeymzcx.sys вероятно модифицированный Win32/Agent троянская программа очищен удалением - изолирован XXX\Сергей Событие произошло в новом файле, созданном следующим приложением: E:\Downloads\Opera\avz4\avz.exe.

[snifer67]

Отключите все защитное ПО !
Лог gmer переделаете.

[lebron]

лог gmer

[snifer67]

Запустите Gmer. Нажмите на кнопку «>>>» для отображения дополнительных функций программы. Выбрать вкладку CMD. В верхнее окно скопируйте текст ниже и запустите (Run)

uduu59l6.exe -del service gasfkyqxdyjeov
uduu59l6.exe -del file "c:\windows1\system32\drivers\gasfkyprtnrowy.sys"
uduu59l6.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\gasfkyqxdyjeov"
uduu59l6.exe -del reg "HKLM\SYSTEM\ControlSet002\Services\gasfkyqxdyjeov"
uduu59l6.exe -reboot

Сделайте новый лог gmer.

[lebron]

скан gmer

[thyrex]

Добьем возможные остатки

Пофиксите в HiJack

O20 - AppInit_DLLs:

Выполните скрипт в AVZ

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('c:\windows\system32\gasfkyxkqaewqx.dll','');
DeleteFile('c:\windows\system32\gasfkyxkqaewqx.dll');
QuarantineFile('c:\windows\system32\gasfkyqmltlexf.dll','');
DeleteFile('c:\windows\system32\gasfkyqmltlexf.dll');
QuarantineFile('c:\windows\system32\gasfkyisyjqjbs.dll','');
DeleteFile('c:\windows\system32\gasfkyisyjqjbs.dll');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.

Пришлите карантин (если не окажется пустым) согласно Приложения 3 правил по красной ссылке Прислать запрошенный карантин вверху темы

Сохраните текст ниже как cleanup.bat в ту же папку, где находится uduu59l6.exe (gmer)

uduu59l6.exe -del file "c:\windows\system32\gasfkyxkqaewqx.dll"
uduu59l6.exe -del file "c:\windows\system32\gasfkywxffkvtk.dat"
uduu59l6.exe -del file "c:\windows\system32\gasfkyqmltlexf.dll"
uduu59l6.exe -del file "c:\windows\system32\gasfkyglvwjijo.dat"
uduu59l6.exe -del file "c:\windows\system32\gasfkyisyjqjbs.dll"
uduu59l6.exe -reboot

И запустите cleanup.bat.
Компьютер перезагрузится!

Новых логов не нужно

Установите SP3 (может потребоваться активация) + все новые заплатки

[lebron]

НЕ хочет он удаляться. Где то сидит и умело восстанавливается. В карантин не помещается. прикрепляю лог из реестра. Все записи удалял, через какое то время появляются снова. Щас буду пробовать удалять принудительно из под DOS.


А что он делает хоть этот gasfky?

[lebron]

все прочистил. Бльше не появляется. GMER без подозрений.

Спасибо за лечение!!!

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 4
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\docume~1\ba83~1.xxx\locals~1\temp\f.exe - Packed.Win32.Krap.ag ( DrWEB: Trojan.Packed.706 )
  2. c:\docume~1\ba83~1.xxx\locals~1\temp\i.exe - Packed.Win32.Krap.ag ( BitDefender: Trojan.FakeAlert.BTA, AVAST4: Win32:Trojan-gen )