Помогите!!!

[Evgeny Sorokin]

У меня такая проблема, компьютер атакуется с сайта vvv.cooleasy.com , нод32 постоянно отбивает атаки

[olejah]

virusinfo_cure.zip - это карантин, надо убрать отсюда,

прикрепить лог virusinfo_syscure.zip

[Evgeny Sorokin]

лог авз!!!

[vegas]

Выполните скрипт в безопасном режиме

begin
 SearchRootkit(true,true);
 SetAVZGuardStatus(true);
 QuarantineFile('C:\Documents and Settings\Ксюшка\Application Data\ltzqai.exe','');
 QuarantineFile('C:\WINDOWS\system32\drivers\vdi3ndu1.sys','');
 QuarantineFile('C:\WINDOWS\system32\msvmiode.exe','');
 QuarantineFile('C:\WINDOWS\cfdrive32.exe','');
 QuarantineFile('C:\DOCUME~1\4EEA~1\LOCALS~1\Temp\62276.exe','');
 QuarantineFile('c:\windows\system32\msvmiode.exe','');
 QuarantineFile('c:\windows\cfdrive32.exe','');
 DeleteFile('c:\windows\cfdrive32.exe');
 DeleteFile('c:\windows\system32\msvmiode.exe');
 DeleteFile('C:\DOCUME~1\4EEA~1\LOCALS~1\Temp\62276.exe');
 DeleteFile('C:\Documents and Settings\Ксюшка\Application Data\ltzqai.exe');
 DeleteFile('C:\WINDOWS\system32\drivers\vdi3ndu1.sys');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Advanced DHTML Enable');
 DeleteFile('C:\WINDOWS\cfdrive32.exe');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','Microsoft Driver Setup');
 DeleteFile('C:\WINDOWS\system32\msvmiode.exe');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','MSODESNV7');
 BC_ImportALL;
 ExecuteSysClean;
 BC_Activate;
 RebootWindows(true);
end.

После перезагрузки выполните второй скрипт

Begin
CreateQurantineArchive('C:\quarantine.zip');
End.

Закачайте полученный карантин по красной ссылке вверху. Повторите логи

[Evgeny Sorokin]

Спасибо, вроде атаки прекратились! Сейчас логи сделаю!

[Evgeny Sorokin]

не снова троянят(((((((((((((

[vegas]

Скрипт в безопасном режиме выполняли? Это важно
Выполните скрипт в безопасном режиме

begin
 SearchRootkit(true,true);
 SetAVZGuardStatus(true);
 TerminateProcessByName('c:\windows\system32\msvmiode.exe');
 TerminateProcessByName('c:\windows\cfdrive32.exe');
 DeleteFile('c:\windows\cfdrive32.exe');
 DeleteFile('c:\windows\system32\msvmiode.exe');
 DeleteFile('C:\Documents and Settings\Ксюшка\Application Data\ltzqai.exe');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Microsoft Driver Setup');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','Microsoft Driver Setup');
 DeleteFile('C:\WINDOWS\system32\msvmiode.exe');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','MSODESNV7');
 BC_ImportALL;
 ExecuteSysClean;
 BC_Activate;
 ExecuteWizard('SCU', 2, 2, true);
 RebootWindows(true);
end.

Обновите базы AVZ. Повторите логи

[Evgeny Sorokin]

Да, в безопасном с поддержкой сетевых драйверов!

[Evgeny Sorokin]

всё выполнил в безопасном режиме, сейчас нод32 сканит, вот логи авз и хайджека!

[polword]

- Выполните скрипт в AVZ

begin
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Winlogon','Taskman ');
 ExecuteRepair(11);
 RebootWindows(true);
end.

После перезагрузки:
- Сделайте повторный лог virusinfo_syscheck.zip;
- Сделайте лог MBAM

[Evgeny Sorokin]

пишет авз: подмена диспечера задач, видимо скрипт не помог(((( TASKMAN.EXE ! вот логи авз! щас другой прогой сделаю, Мбамом!

[Evgeny Sorokin]

Щас пока он качается, может лог Гмером сделать? не альтернативная программа?

[Evgeny Sorokin]

Вот лог мбама

[polword]

- Выполните скрипт в AVZ

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(True);
 DeleteFileMask(GetAVZDirectory + 'Quarantine', '*.*', true);
 QuarantineFile('C:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5\C9QNOHEN\g[1].exe','');
 QuarantineFile('C:\Qoobox\Quarantine\C\y2b3k2i6x6b9.exe.vir','');
 QuarantineFile('C:\RECYCLER\S-1-5-21-2629856818-9392804532-627180005-4860\syscr.exe','');
 QuarantineFile('C:\WINDOWS\system32\46.exe','');
 DeleteFile('C:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5\C9QNOHEN\g[1].exe');
 DeleteFile('C:\Qoobox\Quarantine\C\y2b3k2i6x6b9.exe.vir');
 DeleteFile('C:\RECYCLER\S-1-5-21-2629856818-9392804532-627180005-4860\syscr.exe');
 DeleteFile('C:\WINDOWS\system32\46.exe'); 
 DeleteFileMask('C:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5', '*.*', true);
 QuarantineFile('C:\Documents and Settings\Ксюшка\Application Data\ltzqai.exe ','');
 QuarantineFile('C:\WINDOWS\system32\msvmiode.exe','');
 DeleteFile('C:\Documents and Settings\Ксюшка\Application Data\ltzqai.exe ');
 DeleteFile('C:\WINDOWS\system32\msvmiode.exe');
 DeleteFileMask('C:\RECYCLER\S-1-5-21-2629856818-9392804532-627180005-4860', '*.*', true);
 DeleteDirectory('C:\RECYCLER\S-1-5-21-2629856818-9392804532-627180005-4860');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Winlogon','Taskman ');
 BC_ImportAll;
 ExecuteSysClean;
 ExecuteRepair(11);
 BC_Activate;
 RebootWindows(true);
end.

После перезагрузки:
- выполните такой скрипт

begin
  CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
 end.

- Файл quarantine.zip из папки AVZ загрузите по ссылке Прислать запрошенный карантин вверху темы

- удалите в MBAM, что останется

Зараженные ключи в реестре:
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Active Setup\Installed Components\{28abc5c0-4fcb-11cf-aax5-81cx1c635612} (Trojan.Agent) -> No action taken.

Зараженные параметры в реестре:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\msodesnv7 (Backdoor.Bot) -> No action taken.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\shell (Worm.Palevo) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\taskman (Worm.Palevo) -> No action taken.

Объекты реестра заражены:
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Shell (Hijack.Shell) -> Bad: (C:\Documents and Settings\Ксюшка\Application Data\ltzqai.exe,explorer.exe,C:\RECYCLER\S-1-5-21-2629856818-9392804532-627180005-4860\syscr.exe,Explorer.exe) Good: (Explorer.exe) -> No action taken.

Зараженные файлы:
C:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5\C9QNOHEN\g[1].exe (Trojan.Downloader) -> No action taken.
C:\Qoobox\Quarantine\C\y2b3k2i6x6b9.exe.vir (Trojan.Dropper) -> No action taken.
C:\RECYCLER\S-1-5-21-2629856818-9392804532-627180005-4860\syscr.exe (Worm.Autorun.B) -> No action taken.
C:\WINDOWS\system32\46.exe (Trojan.Downloader) -> No action taken.
C:\Documents and Settings\Ксюшка\Application Data\ltzqai.exe (Worm.Palevo) -> No action taken.
C:\WINDOWS\system32\msvmiode.exe (Backdoor.Bot) -> No action taken.

- Сделайте повторный лог MBAM
- Сделайте повторный лог virusinfo_syscheck.zip;

[Evgeny Sorokin]

Вроде всё нормально, Мбам ничего не нашёл, а вот лог авз

[Evgeny Sorokin]

wscntfy.exe в диспетчере задач, это нормальный процесс?

[polword]

в логе чисто.

Добавлено через 1 минуту

осталось обновиться:
- Установите Internet-Explorer 8.(даже если Вы его не используете)
- Поставте все последние обновления системы Windows - тут

[Evgeny Sorokin]

Сейчас снова какая-то атака была и принтер стал печатать белые листы...

нод написал:

Адрес заблокирован
Адрес URL: 208.53.183.124/irc2.exe
IP-адрес: 208.53.183.124:80

[polword]

обновитесь. После отпишитесь о проблеме

[Evgeny Sorokin]

Не хочет винда обновляться, к сожалению, а проблема была описана выше, начал печатать принтер пустые страницы, одновременно нод заблокировал адрес!