В процессах появляются левые exe-шки.

**sc110** · 20.08.2010, 16:31

Здравствуйте!
Была такая проблема, в процессах появлялись левые exe-шки, например три какие-то йифты и точка exe (281.exe), убиваешь его, через некоторое время опять такой же процесс, и уже другие три цифры точка exe. Или же появляется lsass.exe запущенный от имени пользователя, а не от SYSTEM, который не убивается, Винда говорит что он критический и поэтому убить нельзя. Или же также появляются левые процессы из бессмысленного набора букв, например userini.exe или 5jjfwvx.exe и подобные, которые после убивания снова возрождаются. НОД32 на них не обращает внимания.
Переставлял Винду XP с полным форматированием жёсткого диска, только вставил флэшку проверил НОДом, ничё тот не сказал, я левые файлы с флэшки удалил, которые были остатками вирусов...но...история сразу же повторилась...при выполнени воманды Пуск -> Выполнить и ввода msconfig в автозагрузке штук 8 процессов с бессмысленным набором букв и точка exe. Снимал галки с этих авторанов, и в обычном режиме, и в безопасном - безуспешно. Так же наткнулся на файл msgvn.exe с иконкой в виде красного сердечка, который не удаляется, есть подозрения что это Trojan.Downloader какой-то...в общем не знаюю...
В общем помогите чем можете, логи прилагаю.
Заранее спасибо за поддержку.

Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

**Nikkollo** · 20.08.2010, 18:55

Здравствуйте.

Файл virusinfo_cure.zip уберите из вложений и загрузите его по красной ссылке вверху темы "Прислать запрошенный карантин".

Обновите базы AVZ.
Если базы не обновляются через меню Файл, скачайте архив баз http://z-oleg.com/secur/avz_up/avzbase.zip
и распакуйте его в папку Base внутри папки AVZ, заменив имеющиеся файлы и перезапустите AVZ.

Отключите Восстановление системы.
Отключите интернет.
Выгрузите/отключите антивирус/файрволл.

-------------------------

Выполните скрипт в AVZ:

Код:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 ClearQuarantine;
 QuarantineFile('C:\WINDOWS\system32\sol.exe','');
 QuarantineFile('C:\WINDOWS\explorer.exe:userini.exe:$DATA','');
 QuarantineFile('c:\windows\explorer.exe:userini.exe:$DATA','');
 QuarantineFile('C:\WINDOWS\system32\userini.exe','');
 QuarantineFile('C:\WINDOWS\PCHealth\HelpCtr\Binaries\MSConfig.exe','');
 QuarantineFile('C:\Documents and Settings\Hitman\Главное меню\Программы\Автозагрузка\v9riy6kqgrc.exe','');
 QuarantineFile('C:\Documents and Settings\Hitman\Главное меню\Программы\Автозагрузка\v71miit2ufa.exe','');
 QuarantineFile('C:\Documents and Settings\Hitman\Главное меню\Программы\Автозагрузка\tezufgh5yo.exe','');
 QuarantineFile('C:\Documents and Settings\Hitman\Главное меню\Программы\Автозагрузка\m861up0835n.exe','');
 QuarantineFile('C:\Documents and Settings\Hitman\Главное меню\Программы\Автозагрузка\klgbrxie.exe','');
 QuarantineFile('C:\Documents and Settings\Hitman\Главное меню\Программы\Автозагрузка\iyuvggbr.exe','');
 QuarantineFile('C:\Documents and Settings\Hitman\Главное меню\Программы\Автозагрузка\bgm323u5v2.exe','');
 QuarantineFile('C:\Documents and Settings\Hitman\Главное меню\Программы\Автозагрузка\75u3a81.exe','');
 QuarantineFile('C:\Documents and Settings\Hitman\Главное меню\Программы\Автозагрузка\70w1m86.exe','');
 QuarantineFile('C:\Documents and Settings\Hitman\Главное меню\Программы\Автозагрузка\5jjfvwx.exe','');
 QuarantineFile('C:\Documents and Settings\Hitman\Application Data\ehgey.exe,C:\Documents and Settings\Hitman\msgvn.exe,explorer.exe,C:\RECYCLER\S-1-5-21-1266183363-8934788576-817575075-6741\yv8g67.exe','');
 QuarantineFile('C:\Documents and Settings\Hitman\Application Data\ehgey.exe','');
 QuarantineFile('C:\WINDOWS\System32\Drivers\sptd.sys','');
 QuarantineFile('C:\WINDOWS\system32\Drivers\NDIS.sys','');
 QuarantineFile('C:\WINDOWS\system32\msident.dll','');
 QuarantineFile('C:\WINDOWS\system32\inetres.dll','');
 QuarantineFile('C:\WINDOWS\system32\acctres.dll','');
 QuarantineFile('c:\docume~1\hitman\locals~1\temp\799.exe','');
 QuarantineFile('c:\docume~1\hitman\locals~1\temp\654.exe','');
 QuarantineFile('c:\docume~1\hitman\locals~1\temp\380.exe','');
 DeleteFile('c:\docume~1\hitman\locals~1\temp\380.exe');
 DeleteFile('c:\docume~1\hitman\locals~1\temp\654.exe');
 DeleteFile('c:\docume~1\hitman\locals~1\temp\799.exe');
 DeleteFile('C:\Documents and Settings\Hitman\Application Data\ehgey.exe');
 DeleteFile('C:\Documents and Settings\Hitman\Application Data\ehgey.exe,C:\Documents and Settings\Hitman\msgvn.exe,explorer.exe,C:\RECYCLER\S-1-5-21-1266183363-8934788576-817575075-6741\yv8g67.exe');
 DeleteFile('C:\Documents and Settings\Hitman\Главное меню\Программы\Автозагрузка\5jjfvwx.exe');
 DeleteFile('C:\Documents and Settings\Hitman\Главное меню\Программы\Автозагрузка\70w1m86.exe');
 DeleteFile('C:\Documents and Settings\Hitman\Главное меню\Программы\Автозагрузка\75u3a81.exe');
 DeleteFile('C:\Documents and Settings\Hitman\Главное меню\Программы\Автозагрузка\bgm323u5v2.exe');
 DeleteFile('C:\Documents and Settings\Hitman\Главное меню\Программы\Автозагрузка\iyuvggbr.exe');
 DeleteFile('C:\Documents and Settings\Hitman\Главное меню\Программы\Автозагрузка\klgbrxie.exe');
 DeleteFile('C:\Documents and Settings\Hitman\Главное меню\Программы\Автозагрузка\m861up0835n.exe');
 DeleteFile('C:\Documents and Settings\Hitman\Главное меню\Программы\Автозагрузка\tezufgh5yo.exe');
 DeleteFile('C:\Documents and Settings\Hitman\Главное меню\Программы\Автозагрузка\v71miit2ufa.exe');
 DeleteFile('C:\Documents and Settings\Hitman\Главное меню\Программы\Автозагрузка\v9riy6kqgrc.exe');
 DeleteFile('c:\windows\explorer.exe:userini.exe:$DATA');
 DeleteFile('C:\WINDOWS\system32\userini.exe');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','userini');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','userini');
BC_ImportAll;
ExecuteWizard('TSW', 2, 2, true);
ExecuteWizard('SCU', 2, 2, true);
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.
(скрипт может выполняться несколько минут, дождитесь перезагрузки)
--------------------------

После перезагрузки выполните скрипт в AVZ:

Код:

 begin
 CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
 end.

Запустите/включите антивирус/файрволл.
Подключите интернет.

--------------------------
Загрузите quarantine.zip из папки AVZ по красной ссылке вверху темы "Прислать запрошенный карантин".

Повторите пункт "Диагностика" правил и приложите получившиеся логи в теме.

**sc110** · 20.08.2010, 20:29

Карантин загрузил, не знаю куда он загрузился, не могу найти в данной теме, но страница написала, что файл успешно загружен под таким названием: 100820_194016_quarantine_4c6ea1e001ae5.zip
Логи после выполнения обоих скриптов приложил.
Заметно исчезли все левые процессы. Все. Но файл в C:\Documents and Settings\Hitman\msgvn.exe так и лежит...настораживает...
Ещё что-то делать?
Спасибо.
P.S.: Буквально сейчас ещё выскочило предупреждение от NOD32 4 на файл C:\WINDOWS\system32\Drivers\NDIS.sys и говорит что это Win32/Protector.Gen virus

**thyrex** · 21.08.2010, 12:03

Выполните скрипт в AVZ

Код:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\Documents and Settings\Hitman\msgvn.exe','');
 QuarantineFile('C:\Documents and Settings\Hitman\Главное меню\Программы\Автозагрузка-\70w1m86.exe','');
 QuarantineFile('C:\WINDOWS\system32\Drivers\NDIS.sys','');
 DeleteFile('C:\Documents and Settings\Hitman\msgvn.exe');
 DeleteFile('C:\Documents and Settings\Hitman\Главное меню\Программы\Автозагрузка-\70w1m86.exe');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.

Пришлите карантин согласно Приложения 3 правил по красной ссылке Прислать запрошенный карантин вверху темы

C:\WINDOWS\system32\Drivers\NDIS.sys замените чистым с дистрибутива http://virusinfo.info/showthread.php?t=51654

Сделайте новые логи

Сделайте лог полного сканирования МВАМ

**sc110** · 21.08.2010, 16:21

Спасибо за ответ.
Значит так. Ваш скрипт выполнил, компьютер перезагрузился.
Затем попытался обновить файл карантина. Для этого я попытался выполнить скрипт из второго поста данной темы:

Код:

 begin
 CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
 end

AVZ написа мне сообщение "Скрипты выполнены без ошибок!". Но! В папке с AVZ файл quarantine.zip имеет нулевой размер, или если быть точным - 1кб, и при открыти данного архива файлов нет! То есть архив пуст.
Поэтому, думаю, нет смысла выкладывать пустой архив. Подскажите, пожалуйста, это нормально, что карантин пуст?
Так, дальше. Ну, логи AVZ и HIJackThis сделал, выложил.
Файл C:\WINDOWS\system32\Drivers\NDIS.sys заменить чистым с дистрибутива не получается. Запускался с мультизагрузочного лиска, с которого ставил мою настоящую систему, заходил в консоль восстановления, делал всё по выше указанной инструкции.
Вводил cd d:\i386
Затем dir ndis.sy*
Консоль говорила, что файл такой не найден. Я и ndis.sys писал и ndis.sy_. Не помогает. Хотя на самом деле если открыть вставленный диск с системой через проводник, то в D:\I386\ лежит файл NDIS.SY_. Не знаю, почему консоль говорит, что его нет. Помогите может что-то не так делаю?
Лог полного сканирования MBAM выложил. Надеюсь, тот, так как по переходе в Пуск -> Выполнить и вводе %appdata%\Malwarebytes\Malwarebytes' Anti-Malware\Logs, данная папка пуста. Но я самостоятельно сгенерировал отчет в папку с программой, по оканчанию сканирования (было найдено 15 инфицированных объкектов). Надеюсь всё верно сделано.
Спасибо за ответ.

**thyrex** · 21.08.2010, 19:11

Эти файлы

C:\WINDOWS\system32\Drivers\NDIS.sys
C:\WINDOWS\system32\Drivers\ntndis.sys
C:\WINDOWS\system32\ipsecndis.sys

запакуйте с паролем virus и пришлите по красной ссылке Прислать запрошенный карантин вверху темы

Скачайте файл из вложения, распакуйте и замените файл простым копированием, загрузившись с LiveCD

Удалите в МВАМ

Код:

Зараженные файлы:
C:\Documents and Settings\Hitman\Application Data\ehgey.exe (Trojan.Downloader) -> No action taken.
C:\Documents and Settings\Hitman\Local Settings\History\History.IE5\MSHist012010082120100822\index.dat (Trojan.Ddox) -> No action taken.
C:\RECYCLER\S-1-5-21-789336058-448539723-299502267-1004\Dc1.exe (Trojan.Downloader) -> No action taken.
C:\WINDOWS\pss\5jjfvwx.exeStartup (Trojan.Ddox) -> No action taken.
C:\WINDOWS\pss\75u3a81.exeStartup (Trojan.Ddox) -> No action taken.
C:\WINDOWS\pss\bgm323u5v2.exeStartup (BackDoor.Refroso) -> No action taken.
C:\WINDOWS\pss\dttekqqwhdi.exeStartup (Trojan.Ddox) -> No action taken.
C:\WINDOWS\pss\tezufgh5yo.exeStartup (BackDoor.Refroso) -> No action taken.
C:\WINDOWS\pss\v9riy6kqgrc.exeStartup (Trojan.Ddox) -> No action taken.
C:\WINDOWS\pss\x0joaqgrd.exeStartup (Trojan.Ddox) -> No action taken.
C:\Documents and Settings\Hitman\Application Data\chrtmp (Malware.Trace) -> No action taken.

**Nikkollo** · 21.08.2010, 19:20

После выполнения указаний от thyrex:
Выполните скрипт в AVZ отсюда:
http://df.ru/~kad/ScanVuln.txt
Файл avz_log.txt из папки AVZ\LOG приложите в теме.
Откройте этот файл в блокноте, пройдитесь по всем указанным ссылкам и установите все обновления.

**sc110** · 21.08.2010, 22:41

Значит так:
Вы просили прислать 3 файла, запакованные в архив с паролем virus. К сожалению, или к счастью, я не могу прислать все 3, могу прислать лишь 1 - NDIS.sys. Так как двух других файлов вуказанных директориях я просто напросто не обнаружил. Файлы отправлены в карантин по ссылке вверху данного топика.
Файл ndis.sys из вложения скачал, распаковал, скопировал с заменой данный файл в ...\system32\drivers стандартными средствами (без Live CD). Заменился успешно. Но! Сразу же после этого действия NOD32 заругался на вирус ndis.sys, но уже не в папке drivers, а в папке dllcache/ Удалять предложил, но я удалять не стал, жду указаний. Попробовал конечно заменить ndis.sys файлом из Вашего вложения, и в папке dllcache, но не вышло, выдал ошибку, запрещено.
В MBAM совершил повторное полное сканирование, все указанные Вами файлы удалил, кроме одного, вот этого:

Код:

C:\Documents and Settings\Hitman\Local Settings\History\History.IE5\MSHist012010082120100822\index.dat (Trojan.Ddox) -> No action taken.

Лог после удаления прилагаю.
Дальше. Скрипт ScanVuln.txt выполнил, обновления, которые он предложил не знаю, ставить или нет...так как вот в данный момент у меня на компьютере происходит Windows Update всех файлов общим объёмом 218 Mb. Мне кажется, что Windows Update обновит и все те пункты, которые были перечислены в файле avz_log.txt
Вроде всё, жду дальнейших указаний.
Спасибо за ответ.

**thyrex** · 21.08.2010, 23:53

Файл в папке dllcache тоже заражен. Его можно удалить, а потом на его место скопировать файл из папки system32

Сообщение от sc110

Мне кажется, что Windows Update обновит и все те пункты,

Только те, что относятся к Windows. Три последние придется обновлять самостоятельно

**sc110** · 22.08.2010, 00:02

Хорошо. Значит я дождусь завершения Windows Update. Затем выполню оставшиеся, не относящиеся к Windows Update пункты самостоятельно, но уже завтра.
Странно, только что зашёл в .../system32/dllcache/ проверил файл ndis.sys NOD32-ом, вирусов не обнаружил, странное поведения НОДа, сначала ругался, а теперь уже и не находит вирусов.
Подскажите, что-то ещё нужно сделать?

**thyrex** · 22.08.2010, 00:03

Лучше файл заменить

**sc110** · 22.08.2010, 00:10

Хорошо.
Скопировал файл ndis.sys из .../system32/drivers в .../system32/dllcache с заменой.
Что-то ещё сделать нужно?
Спасибо.

**thyrex** · 22.08.2010, 00:44

Еще раз логи AVZ для контроля

**sc110** · 22.08.2010, 01:05

Хорошо.
Завтра сделаю все логи AVZ, HIJackThis и наверно даже ещё раз присканируюсь MBAMом и тоже выложу логи.
Вот ещё один вопрос оффтоп. Не проигнорируйте, пожалуйста.
Какой на Ваш опытный взгляд самый надежный антивирус? У меня на данный момент стоит ESET NOD32 четвертой версии, бесплатная 30-дневная версия. Есть идея поставить вместо него ESET Smart Security четвертой версии, с бесплатным левым сервером обновлений. Но не знаю, будет ли от этого безопасность моего компьютера выше.
Спасибо.

**thyrex** · 22.08.2010, 01:33

Сообщение от sc110

Какой на Ваш опытный взгляд самый надежный антивирус?

Ни один разработчик антивирусных решений не дает 100% гарантии защиты

**sc110** · 22.08.2010, 01:43

Ну это то понятно. Но вопрос остается вопросом. Что лучше ставить? Например, что у Вас стоит?

**thyrex** · 22.08.2010, 10:40

У меня лицензионный KIS 2010

**sc110** · 23.08.2010, 20:07

Сразу прошу прощения за задержку. Обещал логи ещё вчера, но не успел, занят был. Поэтому выкладываю сегодня.
Значит выкладываю два стандартных лога AVZ и один HIJackThis.
Производил повторное полное сканирование посредством MBAM. В результате сканирования вирусов не было найдено, лишь два недочета, к сожалению не успел сохранить отчёт, так как программа ни с того ни с сего выдала неизвестную мне ошибку на англ. языке и сама вышла. Помню, что один из недочетов. которые были ею выявлены, это то, что отключено автоматическое обновление Windows. Я и вручную неплохо обновлю.
Также повторно выполнял скрипт df.ru/~kad/ScanVuln.txt. В результате его выполнения AVZ написал, что недочётов не найдено, а файл avz_log.txt даже был не создан.
Поставил ESET NOD32 Smart Security с халявным ключом до января следующего года, обновился до сегодняшней версии антивирусной базу сигнатур.
Жду результата и возможных дальнейших указаний.
Спасибо.

**Nikkollo** · 23.08.2010, 20:44

Отключите интернет.
Выгрузите/отключите антивирус/файрволл.

Выполните скрипт в AVZ:

Код:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 ClearQuarantine;
 QuarantineFile('c:\program files\mail.ru\guard\guardmailru.exe','');
BC_ImportAll;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.

После перезагрузки выполните скрипт в AVZ:

Код:

 begin
 CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
 end.

Запустите/включите антивирус/файрволл.
Подключите интернет.

Загрузите quarantine.zip из папки AVZ по красной ссылке вверху темы "Прислать запрошенный карантин".

У вас заблокирован в файле hosts сайт vkontakte. Сами блокировали?

**sc110** · 23.08.2010, 20:49

Сообщение от Nikkollo

У вас заблокирован в файле hosts сайт vkontakte. Сами блокировали?

Да? Нет, я сам ничего не блокировал. Хм. Но в контакт я спокойно выхожу, без проблем и замечаний.
Щас пришлю карантин.
P.S.: Карантин успешно отправил по ссылке вверху страницы.
Жду дальнейших указаний.

В процессах появляются левые exe-шки. (заявка № 85878)

Опции темы

В процессах появляются левые exe-шки.

Новые версии логов

Антивирусная помощь

Выполнил, но не совсем всё...

Антивирусная помощь

Антивирусная помощь

Антивирусная помощь

Антивирусная помощь

Антивирусная помощь

Антивирусная помощь

Логи

Похожие темы

помогите разобраться, есть ли в процессах моего компьютера "левые процессы", и что с этим делать? "

Userini.exe в процессах

Трояны и неизвестные EXE постоянно появляются в процессах.

Не запускаются некоторые программы, появляются "левые" папки...

Ваши права в разделе