Здравствуйте! у меня стала появляться ошибка приложения svchost.exe "Инструкция по адресу "0x6f8916e2" обратилась к памяти по адресу "0x6f8916e2". Память не может быть "read" и после этого вылетал интернет, При проверке Касперским предлагается лечение ltzqai.exe с последующей перезагрузкой, затем все повторяется. Dr. Web CureIt! в безопасном режиме обнаружил: ltzqai.exe, widrive32.exe, cfdrive32.exe, umdmgr.exe, msvmiode.exe и еще что-то..
Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:
Закройте все программы
Отключите
- ПК от интернета/локалки.
- Антивирус и Файрвол
- Системное восстановление
Пофиксите в hijackthis -
Выполните скрипт в АВЗ -Код:R3 - URLSearchHook: (no name) - - (no file) O3 - Toolbar: (no name) - {D4027C7F-154A-4066-A1AD-4243D8127440} - (no file)
После выполнения скрипта компьютер перезагрузится.Код:begin SearchRootkit(true, true); SetAVZGuardStatus(true); DeleteFileMask(GetAVZDirectory + 'Quarantine', '*.*', true); TerminateProcessByName('c:\windows\system32\msvmiode.exe'); TerminateProcessByName('c:\windows\system32\umdmgr.exe'); QuarantineFile('C:\Documents and Settings\NetworkService\Application Data\huguhaq.exe',''); QuarantineFile('C:\Documents and Settings\Алёна\Application Data\sxyawav.exe',''); QuarantineFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1455\fjidg.exe',''); QuarantineFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1455\gpp3g.exe',''); QuarantineFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1455\mpp2g.exe',''); QuarantineFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1455\psyjo32.exe',''); QuarantineFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1455\psysnew2.exe',''); QuarantineFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1455\psyu44.exe',''); QuarantineFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1456\budau44.exe',''); QuarantineFile('C:\WINDOWS\gigdeug.exe',''); QuarantineFile('C:\WINDOWS\system32\63.exe',''); QuarantineFile('C:\WINDOWS\widrive32.exe',''); QuarantineFile('\\?\globalroot\systemroot\system32\trnxlgb.exe',''); QuarantineFile('C:\RECYCLER\S-1-5-21-7131465678-0633189922-567391587-6644\mcssc.exe',''); QuarantineFile('C:\WINDOWS\system32\umdmgr.exe',''); QuarantineFile('C:\WINDOWS\system32\msvmiode.exe',''); QuarantineFile('C:\WINDOWS\cfdrive32.exe',''); DeleteFile('C:\WINDOWS\cfdrive32.exe'); DeleteFile('C:\WINDOWS\system32\msvmiode.exe'); DeleteFile('C:\WINDOWS\system32\umdmgr.exe'); DeleteFile('C:\RECYCLER\S-1-5-21-7131465678-0633189922-567391587-6644\mcssc.exe'); DeleteFile('\\?\globalroot\systemroot\system32\trnxlgb.exe'); DeleteFile('C:\WINDOWS\widrive32.exe'); RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','Microsoft Driver Setup'); RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Microsoft Driver Setup'); RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','228'); RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','MSODESNV7'); DeleteFile('C:\WINDOWS\system32\63.exe'); RegKeyParamDel('HKEY_USERS','S-1-5-18\Software\Microsoft\Windows\CurrentVersion\Run','VGA'); RegKeyParamDel('HKEY_USERS','.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run','VGA'); RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','VGA'); DeleteFile('C:\WINDOWS\gigdeug.exe'); RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','Driversys'); RegKeyParamDel('HKEY_USERS','S-1-5-18\Software\Microsoft\Windows\CurrentVersion\Run','Driversys'); RegKeyParamDel('HKEY_USERS','.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run','Driversys'); RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Driversys'); RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Driversys'); DeleteFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1456\budau44.exe'); DeleteFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1455\psyu44.exe'); DeleteFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1455\psysnew2.exe'); DeleteFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1455\psyjo32.exe'); DeleteFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1455\mpp2g.exe'); DeleteFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1455\gpp3g.exe'); DeleteFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1455\fjidg.exe'); RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','puda4'); RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','psuu4'); RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','psysnew2'); RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','psysjo32'); RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Tjpp2'); RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Tpp3'); RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Tjii321'); DeleteFile('C:\Documents and Settings\Алёна\Application Data\sxyawav.exe'); RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','msnmsgs'); RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','msnmsgs'); RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','msnmsgs'); DeleteFile('C:\Documents and Settings\NetworkService\Application Data\huguhaq.exe'); RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','VGA'); RegKeyParamDel('HKEY_USERS','S-1-5-18\Software\Microsoft\Windows\CurrentVersion\Run','msnmsgs'); RegKeyParamDel('HKEY_USERS','.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run','msnmsgs'); RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','VGA'); RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Winlogon','Taskman'); BC_ImportAll; ExecuteSysClean; ExecuteWizard('TSW',2,2,true); BC_Activate; RebootWindows(true); end.
После перезагрузки:
- выполните такой скрипт
Пришлите файл quarantine.zip из папки AVZ по ссылке Прислать запрошенный карантин над первым сообщением этой темы.Код:begin CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); end.
- Повторите логи
Спасибо за скорый ответ!
В Process Explorer отобразились процессы:
420.exe
cfdrive32.exe
msvmiode.exe
До получения первых логов выключала восстановление системы, сейчас решила проверить - вкладка "восстановления системы" пропала..
Закройте все программы
Отключите
- ПК от интернета/локалки.
- Антивирус и Файрвол
- Системное восстановление обязательно
Выполните скрипт в АВЗ в безопасном режиме -
После выполнения скрипта компьютер перезагрузится.Код:begin SearchRootkit(true, true); SetAVZGuardStatus(true); DeleteFileMask(GetAVZDirectory + 'Quarantine', '*.*', true); DeleteFile('C:\WINDOWS\system32\33.exe'); DeleteFile('C:\WINDOWS\system32\04.exe'); DeleteFile('C:\WINDOWS\system32\70.exe'); DeleteFile('C:\WINDOWS\system32\57.exe'); DeleteFile('C:\WINDOWS\system32\21.exe'); DeleteFile('C:\WINDOWS\system32\53.exe'); DeleteFile('C:\WINDOWS\system32\33.exe'); DeleteFile('C:\WINDOWS\system32\28.exe'); DeleteFile('C:\WINDOWS\system32\04.exe'); DeleteFile('C:\WINDOWS\system32\70.exe'); DeleteFile('C:\WINDOWS\system32\57.exe'); DeleteFile('C:\WINDOWS\system32\21.exe'); DeleteFile('C:\WINDOWS\system32\53.exe'); DeleteFile('C:\RECYCLER\S-1-5-21-4014195607-5554230916-668936954-7871\mcssc.exe'); RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','VGA'); RegKeyParamDel('HKEY_USERS','S-1-5-18\Software\Microsoft\Windows\CurrentVersion\Run','VGA'); RegKeyParamDel('HKEY_USERS','.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run','VGA'); RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','VGA'); RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','Driversys'); RegKeyParamDel('HKEY_USERS','S-1-5-18\Software\Microsoft\Windows\CurrentVersion\Run','Driversys'); RegKeyParamDel('HKEY_USERS','.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run','Driversys'); DeleteFile('C:\WINDOWS\dovceny.exe'); RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Driversys'); DeleteFile('C:\Documents and Settings\NetworkService\Application Data\ahjuyvy.exe'); RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','msnmsgs'); RegKeyParamDel('HKEY_USERS','S-1-5-18\Software\Microsoft\Windows\CurrentVersion\Run','msnmsgs'); RegKeyParamDel('HKEY_USERS','.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run','msnmsgs'); RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','msnmsgs'); RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Winlogon','Taskman'); BC_ImportAll; ExecuteSysClean; BC_Activate; RebootWindows(true); end.
- Сделайте новые логи АВЗ + сделайте лог полного сканирования МВАМ
вот..
Удалите в МВАМ всё, кроме -
Код:Зараженные файлы: Зараженные файлы: C:\Documents and Settings\Алёна\Мои документы\Гамы\zuma\Zuma_kg.exe (Malware.Packer.Gen) -> No action taken. C:\Documents and Settings\Алёна\Мои документы\Софт\Nero 9.4.26.0\keymaker 5.55.exe (Trojan.Agent) -> No action taken. C:\Documents and Settings\Алёна\Мои документы\Софт\UltraISO Premium Edition 9.3.3 Build 2685\keygen.exe (Trojan.Agent.CK) -> No action taken. C:\Program Files\Total Commander Podarok Edition\Programm\DameWare NT Utilities\keygen.exe (Trojan.Downloader) -> No action taken. C:\Program Files\Total Commander Podarok Edition\Programm\Hide IP Platinum\регистрация.exe (Trojan.Downloader) -> No action taken. C:\Program Files\Total Commander Podarok Edition\Programm\MyProxy\loader.exe (Trojan.Downloader) -> No action taken. C:\Program Files\TuneUp Utilities 2008\Data\Integrator\taskdlg_buttonll_bl.png (Extension.Mismatch) -> No action taken.
не помогло
Сделайте лог ComboFix
извините за долгое отсутствие!
вот лог
кажется, я что-то неправильно сделала..
Да, что-то явно не то. Точно по инструкции выпоняли?
да! точно по инструкции!
в начале работы combofix появлялась ошибка "PEV.cfxxe - ошибка приложения Исключение неизвестное программное исключение (0х0000417) в приложении по адресу 0х00482899". По завершении работы combofix комп 2 раза перезагружался.
В общем, не дожидаясь Вашего ответа, осмелилась снова запустить этот страшный "мощный инструмент в борьбе с вредоносным ПО". Ошибка приложения вновь появилась, однако копм не перезагружался и по завершении открылся log.txt, его прикрепляю к сообщению.
Пока пишу это сообщение в process explorer появляются cfdrive32.exe, msvmiode.exe, а еще Zsqrm.exe от него отходит seh.exe.
Скопируйте текст ниже в блокнот и сохраните как файл с названием CFScript.txt на рабочий стол.
После сохранения переместите CFScript.txt на пиктограмму ComboFix.exe.Код:KillAll:: File:: c:\documents and settings\Алёна\Application Data\oekx.exe c:\windows\system32\Zsqrm.exe c:\documents and settings\Алёна\Application Data\ltzqai.exe Driver:: Folder:: Registry:: FileLook:: DirLook::
Когда сохранится новый отчет ComboFix.txt, прикрепите его к сообщению.
Внимание! Официальная поддержка (и выпуск обновлений) для Windows XP SP2 прекращена
Установите SP3 (может потребоваться активация) + все новые обновления для Windows
Установите Internet Explorer 8 (даже если им не пользуетесь)
Пока систему не обновите, лечиться будете до зимы
Microsoft MVP 2012-2016 Consumer Security
Microsoft MVP 2016 ReconnectАнтивирусная помощь
Статистика проведенного лечения:
- Получено карантинов: 2
- Обработано файлов: 59
- В ходе лечения обнаружены вредоносные программы:
- c:\\recycler\\s-1-5-21-0243556031-888888379-781863308-1455\\fjidg.exe - Trojan.Win32.Agent2.loo ( DrWEB: Win32.HLLW.Autoruner.26570, BitDefender: Trojan.Generic.4596497, NOD32: Win32/Lethic.AA trojan, AVAST4: Win32:Trojan-gen )
- c:\\recycler\\s-1-5-21-0243556031-888888379-781863308-1455\\gpp3g.exe - P2P-Worm.Win32.Palevo.avxy ( DrWEB: Trojan.Inject.10612, BitDefender: Worm.Generic.275168, NOD32: Win32/Lethic.AA trojan, AVAST4: Win32:Trojan-gen )
- c:\\recycler\\s-1-5-21-0243556031-888888379-781863308-1455\\mpp2g.exe - Trojan.Win32.Scar.cxmy ( DrWEB: Trojan.PWS.SpySweep.35, BitDefender: Trojan.Generic.4876208, NOD32: Win32/Injector.DUW trojan, AVAST4: Win32:Malware-gen )
- c:\\recycler\\s-1-5-21-0243556031-888888379-781863308-1455\\psyjo32.exe - Trojan.Win32.Agent2.loo ( DrWEB: Win32.HLLW.Autoruner.26570, BitDefender: Trojan.Generic.4596497, NOD32: Win32/Lethic.AA trojan, AVAST4: Win32:Trojan-gen )
- c:\\recycler\\s-1-5-21-0243556031-888888379-781863308-1455\\psysnew2.exe - Packed.Win32.Katusha.o ( DrWEB: Win32.HLLW.Autoruner.27186, BitDefender: Worm.Generic.323441, NOD32: Win32/Lethic.AA trojan, AVAST4: Win32:Rootkit-gen [Rtk] )
- c:\\recycler\\s-1-5-21-0243556031-888888379-781863308-1455\\psyu44.exe - Packed.Win32.Katusha.o ( DrWEB: Trojan.DownLoader1.19102, BitDefender: Worm.Generic.323441, NOD32: Win32/Lethic.AA trojan, AVAST4: Win32:Rootkit-gen [Rtk] )
- c:\\recycler\\s-1-5-21-0243556031-888888379-781863308-1456\\budau44.exe - Trojan.Win32.Agent2.loo ( DrWEB: Win32.HLLW.Autoruner.26570, BitDefender: Trojan.Generic.4596497, NOD32: Win32/Lethic.AA trojan, AVAST4: Win32:Trojan-gen )
- c:\\recycler\\s-1-5-21-7131465678-0633189922-567391587-6644\\mcssc.exe - P2P-Worm.Win32.Palevo.axcy ( DrWEB: Trojan.DownLoader1.28711, BitDefender: Trojan.Generic.4930345, AVAST4: Win32:Malware-gen )
- c:\\windows\\cfdrive32.exe - Trojan.Win32.Jorik.SdBot.ex ( DrWEB: Trojan.Spambot.9106, BitDefender: IRC-Worm.Generic.14455, NOD32: IRC/SdBot trojan, AVAST4: Win32:Rebhip-AC [Trj] )
- c:\\windows\\gigdeug.exe - P2P-Worm.Win32.Palevo.axcy ( DrWEB: Trojan.DownLoader1.28711, BitDefender: Trojan.Generic.4930345, AVAST4: Win32:Malware-gen )
- c:\\windows\\system32\\msvmiode.exe - Trojan.Win32.Jorik.Tedroo.o ( DrWEB: Trojan.Spambot.9106, BitDefender: Trojan.Generic.5214313, AVAST4: Win32:Rebhip-AC [Trj] )
- c:\\windows\\system32\\umdmgr.exe - Trojan.Win32.Scar.cywj ( DrWEB: Trojan.DownLoader1.28625, BitDefender: Trojan.Generic.5044547, AVAST4: Win32:Agent-AMGN [Trj] )
- c:\\windows\\system32\\63.exe - P2P-Worm.Win32.Palevo.axcy ( DrWEB: Trojan.DownLoader1.28711, BitDefender: Trojan.Generic.4930345, AVAST4: Win32:Malware-gen )
- c:\\windows\\widrive32.exe - Trojan.Win32.Jorik.SdBot.kb ( DrWEB: Trojan.Packed.21077, BitDefender: Trojan.Swizzor.16743, AVAST4: Win32:Rebhip-AC [Trj] )
Уважаемый(ая) geschopf, наши специалисты оказали Вам всю возможную помощь по вашему обращению.
В целях поддержания безопасности вашего компьютера настоятельно рекомендуем:
Чтобы всегда быть в курсе актуальных угроз в области информационной безопасности и сохранять свой компьютер защищенным, рекомендуем следить за последними новостями ИТ-сферы портала Anti-Malware.ru:
Надеемся больше никогда не увидеть ваш компьютер зараженным!
Если Вас не затруднит, пополните пожалуйста нашу базу безопасных файлов.
Ваши права в разделе
