Победить змея горыныча

[andr60]

Помогите отрубить все головы этого змея, пока не пришла переустановка ...

[olejah]

Закройте все программы
Отключите
- ПК от интернета/локалки.
- Антивирус и Файрвол
- Системное восстановление

Выполните скрипт в АВЗ -

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(true);
 DeleteFileMask(GetAVZDirectory + 'Quarantine', '*.*', true);
 TerminateProcessByName('c:\windows\cfdrive32.exe');
 QuarantineFile('C:\WINDOWS\System32\winlogon.exe','');
 QuarantineFile('C:\WINDOWS\system32\mstscax.bak','');
 QuarantineFile('C:\WINDOWS\system32\winlogon.bak','');
 DeleteFile('C:\WINDOWS\cfdrive32.exe');
 DeleteFile('C:\WINDOWS\system32\33.exe');
 DeleteFile('C:\WINDOWS\system32\12.exe');
 DeleteFile('C:\WINDOWS\system32\53.exe');
 DeleteFile('C:\RECYCLER\S-1-5-21-5587703652-5699405618-376803249-6333\syscr.exe');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Microsoft Driver Setup');
 DeleteFile('C:\Documents and Settings\Анр Админ\Application Data\ltzqai.exe');
 DeleteFile('C:\RECYCLER\S-1-5-21-5587703652-5699405618-376803249-6333\syscr.exe');
 TerminateProcessByName('c:\windows\system32\msvmiode.exe');
 DeleteFile('C:\WINDOWS\system32\msvmiode.exe');
 DeleteFile('C:\WINDOWS\system32\53.exe');
 DeleteFile('C:\WINDOWS\system32\12.exe');
 DeleteFile('C:\WINDOWS\system32\33.exe');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','MSODESNV7');
 DeleteFile('1.exe');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','patches');  
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Winlogon','Taskman');
 BC_ImportAll;
 ExecuteSysClean;
 ExecuteWizard('TSW',2,2,true);
 BC_Activate;
 RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.

После перезагрузки:
- выполните такой скрипт

begin
  CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
 end.

Пришлите файл quarantine.zip из папки AVZ по ссылке Прислать запрошенный карантин над первым сообщением этой темы.

- Повторите логи

[andr60]

Выполнил.

[thyrex]

Выполните скрипт в AVZ

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
TerminateProcessByName('c:\program files\common files\readers_sl.exe');
 QuarantineFile('c:\program files\common files\readers_sl.exe','');
BC_ImportAll;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.

Пришлите карантин согласно Приложения 3 правил по красной ссылке Прислать запрошенный карантин вверху темы

Сделайте новые логи

[andr60]

новые логи , карантин не отправляется говорит что файл уже был загружен

[olejah]

Закройте все программы
Отключите
- ПК от интернета/локалки.
- Антивирус и Файрвол
- Системное восстановление

Выполните скрипт в АВЗ -

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(true);
 DeleteFileMask(GetAVZDirectory + 'Quarantine', '*.*', true);
 TerminateProcessByName('c:\windows\cfdrive32.exe');
 TerminateProcessByName('c:\windows\system32\msvmiode.exe');
 QuarantineFile('C:\WINDOWS\System32\winlogon.exe','');
 DeleteFile('C:\WINDOWS\cfdrive32.exe');
 DeleteFile('C:\WINDOWS\system32\25.exe');
 DeleteFile('C:\WINDOWS\system32\78.exe');
 DeleteFile('C:\WINDOWS\system32\msvmiode.exe');
 DeleteFile('C:\Documents and Settings\Анр Админ\Application Data\ltzqai.exe');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','MSODESNV7');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','Microsoft Driver Setup');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Microsoft Driver Setup');
 DeleteFile('1.exe');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','patches');  
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Winlogon','Taskman');  
 DeleteFileMask('C:\Documents and Settings\Администратор\Local Settings\Temporary Internet Files\Content.IE5','*.*',true);    
 DeleteFileMask('C:\RECYCLER\S-1-5-21-1417001333-630328440-839522115-1003','*.*',true);    
 BC_ImportAll;
 ExecuteSysClean;
 ExecuteWizard('TSW',2,2,true);
 ExecuteWizard('SCU',2,2,true);
 ExecuteRepair(8);
 BC_Activate;
 RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.

После перезагрузки:
- выполните такой скрипт

begin
  CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
 end.

Пришлите файл quarantine.zip из папки AVZ по ссылке Прислать запрошенный карантин над первым сообщением этой темы.

- Повторите логи АВЗ + сделайте лог полного сканирования МВАМ

[andr60]

выполнил

[olejah]

Удалите всё, что обнаружил МВАМ.

- Повторите его лог

[andr60]

спасибо за помощь, все головы горыныча сегодня поотрубал dr.web live-CD ... как я раньше о нем не знал?...

[olejah]

Так мы тоже неплохо постарались

- Microsoft прекратил поддержку и выпуск обновлений безопасности для ОС Windows XP, на которых не установлен Сервис Пак 3. Установите Сервис Пак 3 - возможно потребуется активация. Перед установкой Сервис Пака необходимо выгрузить все защитные приложения (антивирус, файрвол а так же резидентные приложения типа TeaTimer (Spybot Search and Destroy) и др.)
- Установите все важные обновления.
- Установите IE 8 - даже если Вы им не пользуетесь.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 2
• Обработано файлов: 13
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\docume~1\\07b3~1\\locals~1\\temp\\014.exe - Trojan.Win32.Pincav.aizc ( DrWEB: Win32.HLLW.Lime.2122, BitDefender: Trojan.Generic.5168817, NOD32: Win32/Bflient.K worm, AVAST4: Win32:Malware-gen )
  2. c:\\windows\\cfdrive32.exe - Trojan.Win32.Jorik.SdBot.fs ( DrWEB: Trojan.Click.50748, BitDefender: Trojan.Swizzor.16774, NOD32: IRC/SdBot trojan, AVAST4: Win32:Rebhip-AC [Trj] )
  3. c:\\windows\\system32\\msvmiode.exe - P2P-Worm.Win32.Palevo.axlr ( DrWEB: Trojan.DownLoader1.25491, BitDefender: Trojan.Generic.7470701, NOD32: Win32/SpamTool.Tedroo.AN trojan, AVAST4: Win32:Malware-gen )
  4. c:\\windows\\system32\\67.exe - P2P-Worm.Win32.Palevo.axir ( DrWEB: Trojan.DownLoader1.31141, BitDefender: Trojan.Generic.KDV.52598, NOD32: Win32/Peerfrag.FD worm, AVAST4: Win32:Malware-gen )