Показано с 1 по 19 из 19.

Avast обнаружил Win32:Bubnix-J [Rtk] и ПК стал чахнуть.... (заявка № 85920)

  1. #1
    Junior Member Репутация
    Регистрация
    21.08.2010
    Сообщений
    11
    Вес репутации
    27

    Question Avast обнаружил Win32:Bubnix-J [Rtk] и ПК стал чахнуть....

    Здравствуйте!
    Avast заблокировал, при работе с интернетом, изменения в windows\system32\drivers\....
    а ещё в лог-файле Avast была запись "vbs:Malware-gen" и "Win32:Rootkit-gen [Rtk]"
    Заранее спасибо.
    Вложения Вложения

  2. Будь в курсе!
    Реклама на VirusInfo

    Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

    Anti-Malware Telegram
     

  3. #2
    Невымерший Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для thyrex
    Регистрация
    07.03.2009
    Адрес
    Soligorsk, Belarus
    Сообщений
    96,354
    Вес репутации
    3019
    Выполните скрипт в AVZ
    Код:
    begin
    SearchRootkit(true, true);
    SetAVZGuardStatus(True);
    QuarantineFile('C:\WINDOWS\system32\gxrepu.exe','');
     QuarantineFile('C:\WINDOWS\system32\8006d892.exe','');
     DeleteFile('C:\WINDOWS\system32\8006d892.exe');
     DeleteFile('C:\WINDOWS\system32\gxrepu.exe');
    BC_ImportAll;
    ExecuteSysClean;
    BC_Activate;
    ExecuteRepair(20);
    RebootWindows(true);
    end.
    Компьютер перезагрузится.

    Пришлите карантин согласно Приложения 3 правил по красной ссылке Прислать запрошенный карантин вверху темы

    Обновите базы AVZ

    Сделайте новые логи

    Скачайте RSIT. Запустите, выберите проверку файлов за последние три месяца и нажмите продолжить. Должны открыться два отчета log.txt и info.txt. Прикрепите их к следующему сообщению. Если вы их закрыли, то логи по умолчанию сохраняются в одноименной папке (RSIT) в корне системного диска.
    Microsoft MVP 2012-2016 Consumer Security
    Microsoft MVP 2016 Reconnect

  4. #3
    Junior Member Репутация
    Регистрация
    21.08.2010
    Сообщений
    11
    Вес репутации
    27
    дело в том, что файлы gxrepu.exe и 8006d892.exe я сам своими ручками уже удалил уже после создания логов через АВЗ.. но результат не изменился... Avast по умолчанию грузится с выключенным on-line монитором

  5. #4
    Junior Member Репутация
    Регистрация
    21.08.2010
    Сообщений
    11
    Вес репутации
    27
    вот решил ещё раз решил для экспертов сделать логи АВЗ.
    К сожалению выключить Avast нет возможности, система это не позволяет. Пк отвечает (ограниченно) в течении 3-4 минут, а потом работает только мышка (перемещается по экрану) и всё... и "восстановление системы" тоже не отключить. Плюс при загрузке экран Avast всегда находится в режиме отключения.
    RSIT не запускается, выдаёт ошибку и предлагает "отладить программу"
    Спасибо.

  6. #5
    Невымерший Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для thyrex
    Регистрация
    07.03.2009
    Адрес
    Soligorsk, Belarus
    Сообщений
    96,354
    Вес репутации
    3019
    Выполните скрипт в AVZ
    Код:
    begin
    SearchRootkit(true, true);
    SetAVZGuardStatus(True);
    QuarantineFile('C:\DOCUME~1\4705~1\LOCALS~1\Temp\b.exe','');
     DeleteFile('C:\DOCUME~1\4705~1\LOCALS~1\Temp\b.exe');
    DeleteFile('%windir%\Tasks\{BB65B0FB-5712-401b-B616-E69AC55E2757}.job');
    BC_ImportAll;
    ExecuteSysClean;
    BC_Activate;
    RebootWindows(true);
    end.
    Компьютер перезагрузится.

    Пришлите карантин согласно Приложения 3 правил по красной ссылке Прислать запрошенный карантин вверху темы

    Обновите базы AVZ

    Сделайте новые логи
    Microsoft MVP 2012-2016 Consumer Security
    Microsoft MVP 2016 Reconnect

  7. #6
    Junior Member Репутация
    Регистрация
    21.08.2010
    Сообщений
    11
    Вес репутации
    27
    скрипт запустил, но ПК отказался перегружаться.... пришлось принудительно его выключить. Потом создал логи, но реакция была та же, что и до запуска скрипта...

  8. #7
    Junior Member Репутация
    Регистрация
    21.08.2010
    Сообщений
    11
    Вес репутации
    27
    .... потом решил ещё глубже капнуть и отключил пару служб, переименовал пару файлов из "Windows", принудительно перегрузился и стало немного лучше. При запуске Autoruns, в закладке "Logon" появилась информация о загрузка системы (а раньше кроме rdpclip)ничего не было.... системы работала больше 3-4 минут и был доступ ко всем системным функциям. Создал новые логи. Но звук не появился... и есть задержка при открытии некоторых программ и файлов.
    Спасибо.
    Вложения Вложения

  9. #8
    Visiting Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    23.06.2009
    Адрес
    Пермь
    Сообщений
    11,186
    Вес репутации
    527
    Закройте все открытые приложения, кроме АVZ и Internet Explorer.
    Отключите
    - ПК от интернета/локалки
    - Обязательно!!! Системное восстановление!!! как- посмотреть можно тут
    - Выгрузите антивирус и/или Файрвол
    - Закройте все программы
    - Выполните скрипт в AVZ
    Код:
    begin
     SearchRootkit(true, true);
     SetAVZGuardStatus(True);
     DeleteFileMask(GetAVZDirectory + 'Quarantine', '*.*', true);
     RegKeyStrParamWrite('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon','UserInit', GetEnvironmentVariable ('WinDir')+'\System32\userinit.exe,'); 
      QuarantineFile('C:\DOCUME~1\4705~1\LOCALS~1\Temp\b.exe','');
     QuarantineFile('C:\Program Files\Microsoft ActiveSync\_wcescomm.exe','');
     QuarantineFile('C:\WINDOWS\system32\gxrepu.exe','');
     QuarantineFile('C:\WINDOWS\system32\8006d892.exe','');
     DeleteFile('C:\WINDOWS\system32\8006d892.exe');
     DeleteFile('C:\WINDOWS\system32\gxrepu.exe');
     DeleteFile('C:\DOCUME~1\4705~1\LOCALS~1\Temp\b.exe');
     BC_ImportAll;
     ExecuteSysClean;
     ExecuteRepair(20);
     ExecuteWizard('TSW', 2, 2, true);
     ExecuteWizard('SCU', 2, 2, true);
     BC_Activate;
     RebootWindows(true);
    end.
    После перезагрузки:
    - выполните такой скрипт
    Код:
    begin
      CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
     end.
    - Файл quarantine.zip из папки AVZ загрузите по ссылке Прислать запрошенный карантин вверху темы
    - Сделайте повторные логи по правилам п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip; hijackthis.log)
    - Скачайте RSIT тут. Запустите, выберите проверку файлов за последние три месяца и нажмите продолжить. Должны открыться два отчета log.txt и info.txt. Прикрепите их к следующему сообщению. Если вы их закрыли, то логи по умолчанию сохраняются в одноименной папке (RSIT) в корне системного диска.

  10. #9
    Junior Member Репутация
    Регистрация
    21.08.2010
    Сообщений
    11
    Вес репутации
    27
    всё сделал как вы сказали, но Avast выгрузить не удалось и в карантин ничего не попало (пустой архив получился) и звук не появился...
    посмотрел журнал событий, в тот момент когда пошло заражение и Avast стал сильно ругаться появилась запись:
    "Сбой при запуске службы "7ByteIo" из-за ошибки
    Не удается найти указанный файл. "

    "Сбой при запуске службы "Подавитель акустического эхо ядра системы" из-за ошибки
    Не удается найти указанный файл. "

    "Сбой при запуске службы "Драйвер асинхронного носителя RAS" из-за ошибки
    Не удается найти указанный файл. "

    "Сбой при запуске службы "i2omgmt" из-за ошибки
    Не удается найти указанный файл. "

    "Сбой при запуске службы "Драйвер брандмауэра Windows для IPv6" из-за ошибки
    Не удается найти указанный файл. "

    "Сбой при запуске службы "Драйвер фильтра IP-трафика" из-за ошибки
    Не удается найти указанный файл. "

    "Служба "Драйвер фильтра IPX-трафика" является зависимой от службы "Драйвер пересылки IPX-трафика", которую не удалось запустить из-за ошибки
    Не удается найти указанный файл. "

    "Сбой при запуске службы "VSO Software pcouffin" из-за ошибки
    Не удается найти указанный файл. "

    "Сбой при запуске службы "Secdrv" из-за ошибки
    Не удается найти указанный файл. "

    "Сбой при запуске службы "BDA Slip De-Framer" из-за ошибки
    Не удается найти указанный файл. "

    "Сбой при запуске службы "SMI Win XP Factory Driver" из-за ошибки
    Не удается найти указанный файл. "

    "Сбой при запуске службы "smserial" из-за ошибки
    Не удается найти указанный файл. "

    "Обнаружена попытка замены защищенного системного файла changer.sys. Этот файл восстановлен до исходной версии для обеспечения стабильности системы. Версия системного файла 5.1.2600.5512."

    "Обнаружена попытка замены защищенного системного файла i2omgmt.sys. Этот файл восстановлен до исходной версии для обеспечения стабильности системы. Версия системного файла 5.1.2600.5512."

    "Обнаружена попытка замены защищенного системного файла lbrtfdc.sys. Этот файл восстановлен до исходной версии для обеспечения стабильности системы. Версия системного файла 5.10.1.0."

    "Служба "Служба восстановления системы" перешла в состояние Остановлена."

    "Драйвер обозревателя сети инициировал выборы в сети \Device\NetBT_Tcpip_{215C1FCA-AB4C-4C3F-A580-56AF5AE5AB76}, так как был остановлен основной обозреватель сети."

    ну и ещё пару строк.... а после ПК завис и после принудительной перезагрузке пошёл чудить....
    я так понимаю, что руткит самостоятельно выключил восстановление системы.

  11. #10
    Visiting Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    23.06.2009
    Адрес
    Пермь
    Сообщений
    11,186
    Вес репутации
    527
    Профиксите в HijackThis
    Код:
    R3 - Default URLSearchHook is missing
    O2 - BHO: (no name) - AutorunsDisabled - (no file)
    O9 - Extra button: (no name) - AutorunsDisabled - (no file)
    В остальном подозрительного нет. Что с проблемой?

  12. #11
    Junior Member Репутация
    Регистрация
    21.08.2010
    Сообщений
    11
    Вес репутации
    27
    звук не появился, Avast грузится с выключенным экраном в реальном времени. При попытке переустановить драйвер звуковой карты, установщик повисает.

    Добавлено через 3 часа 4 минуты

    а как можно проверить ещё сидит у меня что-то или нет?...
    а то преустановка звуковой карты заняло 15 минут... а запуск мп3 1,5 минуты...
    такое впечатление, что кто-то следит за работой ПК.... я не параноик...
    Последний раз редактировалось BCH_Rus; 24.08.2010 в 18:04. Причина: Добавлено

  13. #12
    Visiting Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    23.06.2009
    Адрес
    Пермь
    Сообщений
    11,186
    Вес репутации
    527
    - Сделайте лог MBAM

  14. #13
    Junior Member Репутация
    Регистрация
    21.08.2010
    Сообщений
    11
    Вес репутации
    27
    прошёл тест. ничего явного не нашлось... только "avdrn.dat" и он близок к времени, когда всё началось...

  15. #14
    Visiting Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    23.06.2009
    Адрес
    Пермь
    Сообщений
    11,186
    Вес репутации
    527
    - удалите в MBAM
    Код:
    Зараженные ключи в реестре:
    HKEY_CURRENT_USER\SOFTWARE\poprock (Trojan.Downloader) -> No action taken.
    HKEY_CURRENT_USER\SOFTWARE\Vkontakte (Trojan.Fkantakte) -> No action taken.
    
    Зараженные параметры в реестре:
    HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Settings\bf (Trojan.Agent) -> No action taken.
    HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Settings\bk (Trojan.Agent) -> No action taken.
    HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Settings\iu (Trojan.Agent) -> No action taken.
    HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Settings\mu (Trojan.Agent) -> No action taken.
    
    
    Зараженные файлы:
    C:\Documents and Settings\Иннусик\Application Data\avdrn.dat (Malware.Trace) -> No action taken.

  16. #15
    Junior Member Репутация
    Регистрация
    21.08.2010
    Сообщений
    11
    Вес репутации
    27
    удалил... ничего не изменилось...
    система так же медленно грузится (точнее рабочий стол появляется в нормальное время, а вот сеть, аваст, звук грузятся с очень сильной задержкой) Аваст грузится с выключенным экраном файловой системы. Звуковая тема при загрузке не работает, но драйвер звука работает (воспроизводятся звуковые файлы) выключение происходит тоже с большой задержкой, а иногда приходится выкл питание ноута. а можно заново переставить файлы Windows, но при этом сохранить систему в целом (т.е. все установленные программы и настройки) ??

  17. #16
    Visiting Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    23.06.2009
    Адрес
    Пермь
    Сообщений
    11,186
    Вес репутации
    527
    Можно
    - найдите диск для Windows ХР Service Pack 3 и переустановите Windows, так как написано тут
    см. Способ 2. Восстановление Windows XP при загрузке компьютера с компакт-диска Windows XP

  18. #17
    Junior Member Репутация
    Регистрация
    21.08.2010
    Сообщений
    11
    Вес репутации
    27
    а что же может тормозить систему? вроде всё посмотрел.....
    "Обнаружена попытка замены защищенного системного файла changer.sys. Этот файл восстановлен до исходной версии для обеспечения стабильности системы. Версия системного файла 5.1.2600.5512."

    "Обнаружена попытка замены защищенного системного файла i2omgmt.sys. Этот файл восстановлен до исходной версии для обеспечения стабильности системы. Версия системного файла 5.1.2600.5512."

    "Обнаружена попытка замены защищенного системного файла lbrtfdc.sys. Этот файл восстановлен до исходной версии для обеспечения стабильности системы. Версия системного файла 5.10.1.0."
    а это может дать какую-то подсказку?... всё это произошло в момент заражения системы... может эти файлы обновить?

  19. #18
    Junior Member Репутация
    Регистрация
    21.08.2010
    Сообщений
    11
    Вес репутации
    27
    вроде как ПК заработал...
    переустановил с диска заново систему, с сохранением всех программ...
    появился звук, заработали USB... теперь будем смотреть за стабильностью.

  20. #19
    Cybernetic Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    29.12.2008
    Сообщений
    48,318
    Вес репутации
    953

    Итог лечения

    Статистика проведенного лечения:
    • Получено карантинов: 1
    • Обработано файлов: 1
    • В ходе лечения вредоносные программы в карантинах не обнаружены


  • Уважаемый(ая) BCH_Rus, наши специалисты оказали Вам всю возможную помощь по вашему обращению.

    В целях поддержания безопасности вашего компьютера настоятельно рекомендуем:

     

     

    Чтобы всегда быть в курсе актуальных угроз в области информационной безопасности и сохранять свой компьютер защищенным, рекомендуем следить за последними новостями ИТ-сферы портала Anti-Malware.ru:

     

     

    Anti-Malware VK

     

    Anti-Malware Telegram

     

     

    Надеемся больше никогда не увидеть ваш компьютер зараженным!

     

    Если Вас не затруднит, пополните пожалуйста нашу базу безопасных файлов.

  • Похожие темы

    1. Avast обнаружил Троян
      От Sasha68 в разделе Помогите!
      Ответов: 3
      Последнее сообщение: 30.08.2011, 09:18
    2. Win32/Bubnix.AU
      От clackx в разделе Помогите!
      Ответов: 11
      Последнее сообщение: 28.10.2010, 11:58
    3. Win32/Bubnix.AU
      От Kalemar в разделе Помогите!
      Ответов: 6
      Последнее сообщение: 03.09.2010, 15:32
    4. Ответов: 12
      Последнее сообщение: 22.02.2009, 02:08
    5. Avast! обнаружил руткит MBR://PHYSICALDRIVE0
      От tequomo в разделе Помогите!
      Ответов: 9
      Последнее сообщение: 16.12.2008, 22:13

    Свернуть/Развернуть Ваши права в разделе

    • Вы не можете создавать новые темы
    • Вы не можете отвечать в темах
    • Вы не можете прикреплять вложения
    • Вы не можете редактировать свои сообщения
    •  
    Page generated in 0.01090 seconds with 17 queries