Опять ltzqai.exe, msvmiode.exe, oekx.exe

**ole g** · 10.11.2010, 16:47

Не могу извести указанные трояны - перепробовал все антивирусы, все без толку. Файлы программами находятся, удаляются, но после перезагрузки появляются снова.

Заниматься проблемой начал после того, как внезапно обнаружилась неприятность - через пару секунд после загрузки Windows рабочий стол стал вываливаться в черный экран с мигающей лампочкой питания монитора, как при проблемах с видеокартой. При запуске в безопасном режиме все работает, собственно в нем и проводились все антивирусные действия.

Указанная проблема ни разу после пролечивания не решилась.

Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

**Bratez** · 10.11.2010, 17:59

Выполните скрипт в AVZ:

Код:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\RECYCLER\S-1-5-21-5396712929-3480602652-659059580-9908\winmap.exe','');
QuarantineFile('C:\RECYCLER\S-1-5-21-4962782565-5577275224-167854618-6570\syscr.exe','');
QuarantineFile('C:\RECYCLER\S-1-5-21-6464965755-6916261800-296635572-0108\winmap.exe','');
QuarantineFile('C:\Documents and Settings\and\Application Data\ltzqai.exe','');
QuarantineFile('C:\RECYCLER\S-1-5-21-9657992421-5972527371-600895257-0090\syscr.exe','');
DeleteFile('C:\RECYCLER\S-1-5-21-5396712929-3480602652-659059580-9908\winmap.exe');
DeleteFile('C:\RECYCLER\S-1-5-21-4962782565-5577275224-167854618-6570\syscr.exe');
DeleteFile('C:\RECYCLER\S-1-5-21-6464965755-6916261800-296635572-0108\winmap.exe');
DeleteFile('C:\Documents and Settings\and\Application Data\ltzqai.exe');
DeleteFile('C:\RECYCLER\S-1-5-21-9657992421-5972527371-600895257-0090\syscr.exe');
 QuarantineFile('C:\Documents and Settings\and\Application Data\oekx.exe','');
 QuarantineFile('C:\DOCUME~1\and\LOCALS~1\Temp\0466303.exe','');
 DeleteFile('C:\DOCUME~1\and\LOCALS~1\Temp\0466303.exe');
 DeleteFile('C:\Documents and Settings\and\Application Data\oekx.exe');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','PCHDPlayer');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows NT\CurrentVersion\Winlogon','Shell');
 RegKeyParamDel('HKLM', 'Software\Microsoft\Windows NT\CurrentVersion\Winlogon', 'Taskman');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.
Пришлите карантин согласно приложению 3 правил
(загружать тут: http://virusinfo.info/upload_virus.php?tid=91445).
Сделайте новые логи.

**ole g** · 10.11.2010, 19:18

Новые логи.

**thyrex** · 11.11.2010, 00:12

Выполните скрипт в AVZ

Код:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\dn.exe','');
 QuarantineFile('C:\WINDOWS\system32\84.exe','');
 QuarantineFile('C:\WINDOWS\system32\62.exe','');
 QuarantineFile('C:\WINDOWS\system32\35.exe','');
 QuarantineFile('C:\WINDOWS\system32\25.exe','');
 QuarantineFile('C:\WINDOWS\system32\24.exe','');
 QuarantineFile('C:\WINDOWS\system32\23.exe','');
 QuarantineFile('C:\WINDOWS\system32\21.exe','');
 QuarantineFile('C:\WINDOWS\system32\18.exe','');
 QuarantineFile('C:\WINDOWS\system32\15.exe','');
 QuarantineFile('C:\WINDOWS\system32\13.exe','');
 QuarantineFile('C:\WINDOWS\system32\01.exe','');
 QuarantineFile('C:\WINDOWS\winlogin.exe','');
 QuarantineFile('C:\WINDOWS\system32\msvmiode.exe','');
 QuarantineFile('C:\WINDOWS\system32\dn.exe','');
 QuarantineFile('C:\WINDOWS\TEMP\WinDefender.exe','');
 QuarantineFile('C:\WINDOWS\system32\drivers\cdaudio.sys','');
 QuarantineFile('C:\Documents and Settings\and\Application Data\oekx.exe,C:\RECYCLER\S-1-5-21-7456921868-3999655110-903948826-1758\winmap.exe,explorer.exe,C:\Documents and Settings\and\Application Data\ltzqai.exe','');
 QuarantineFile('C:\Documents and Settings\and\Application Data\oekx.exe','');
 QuarantineFile('C:\DOCUME~1\9335~1\LOCALS~1\Temp\28347.exe','');
 DeleteFile('C:\DOCUME~1\9335~1\LOCALS~1\Temp\28347.exe');
 DeleteFile('C:\Documents and Settings\and\Application Data\oekx.exe');
 DeleteFile('C:\Documents and Settings\and\Application Data\oekx.exe,C:\RECYCLER\S-1-5-21-7456921868-3999655110-903948826-1758\winmap.exe,explorer.exe,C:\Documents and Settings\and\Application Data\ltzqai.exe');
 DeleteFile('C:\WINDOWS\TEMP\WinDefender.exe');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','WinDefender');
 RegKeyParamDel('HKEY_USERS','.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run','WinDefender');
 RegKeyParamDel('HKEY_USERS','S-1-5-18\Software\Microsoft\Windows\CurrentVersion\Run','WinDefender');
 DeleteFile('C:\WINDOWS\system32\dn.exe');
 DeleteFile('C:\WINDOWS\system32\msvmiode.exe');
 DeleteFile('C:\WINDOWS\winlogin.exe');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Windows Data Serivce');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','MSODESNV7');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Windows');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Terminal Server\Install\Software\Microsoft\Windows\CurrentVersion\Run','Windows');
 DeleteFile('C:\WINDOWS\system32\01.exe');
 DeleteFile('C:\WINDOWS\system32\13.exe');
 DeleteFile('C:\WINDOWS\system32\15.exe');
 DeleteFile('C:\WINDOWS\system32\18.exe');
 DeleteFile('C:\WINDOWS\system32\21.exe');
 DeleteFile('C:\WINDOWS\system32\23.exe');
 DeleteFile('C:\WINDOWS\system32\24.exe');
 DeleteFile('C:\WINDOWS\system32\25.exe');
 DeleteFile('C:\WINDOWS\system32\35.exe');
 DeleteFile('C:\WINDOWS\system32\62.exe');
 DeleteFile('C:\WINDOWS\system32\84.exe');
 DeleteFile('C:\WINDOWS\dn.exe');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Winlogon','Taskman');
RebootWindows(true);
end.

Компьютер перезагрузится.

Пришлите карантин согласно Приложения 3 правил по красной ссылке Прислать запрошенный карантин вверху темы

Ваша проблема в этом

Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.5730.0013)

Внимание! Официальная поддержка (и выпуск обновлений) для Windows XP SP2 прекращена

Установите SP3 (может потребоваться активация) + все новые обновления для Windows
Установите Internet Explorer 8 (даже если им не пользуетесь)
Установите Acrobat Reader 9.4 или удалите старый

Сделайте новые логи

Сделайте лог полного сканирования МВАМ

**ole g** · 11.11.2010, 08:49

Карантин выслал, новые логи и сканирование МВАМ присылать после установки всех обновлений?

**ole g** · 11.11.2010, 11:41

В общем, обновил все - кроме акробата, так как сделать это не позволил безопасный режим.

Вот новые логи и лог МВАМ.

Исходная проблема не исчезла.

**Bratez** · 11.11.2010, 14:14

Удалите все найденное в MBAM.
Пофиксите в HijackThis:

Код:

O4 - HKLM\..\Run: [Advanced DHTML Enable] C:\DOCUME~1\and\LOCALS~1\Temp\9696.exe
O4 - HKLM\..\Run: [MSODESNV7] C:\WINDOWS\system32\msvmiode.exe
O4 - HKCU\..\Run: [12CFG214-K641-12SF-N85P] C:\RECYCLER\S-1-5-21-0243936033-3052116371-381863308-1811\vsbntlo.exe

Выполните скрипт в AVZ:

Код:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 DeleteFile('C:\DOCUME~1\and\LOCALS~1\Temp\724294.exe');
 DeleteFile('C:\Documents and Settings\and\Application Data\ltzqai.exe');
 DeleteFile('C:\Documents and Settings\and\Application Data\oekx.exe');
 DeleteFile('C:\Documents and Settings\Администратор\Application Data\ltzqai.exe');
 DeleteFile('C:\RECYCLER\S-1-5-21-0243936033-3052116371-381863308-1811\vsbntlo.exe');
 DeleteFile('C:\RECYCLER\S-1-5-21-4671697783-6289505091-726542060-6830\winmap.exe');
 DeleteFile('C:\RECYCLER\S-1-5-21-5894490302-2567243195-033080754-3250\syscr.exe');
 DeleteFile('C:\Documents and Settings\Администратор\Application Data\oekx.exe');
 DeleteFile('C:\WINDOWS\system32\msvmiode.exe');
 DeleteFile('C:\RECYCLER\S-1-5-21-4942447682-6123350164-205353737-3669\syscr.exe');
 DeleteFile('C:\WINDOWS\system32\00.exe');
 DeleteFile('C:\WINDOWS\system32\05.exe');
 DeleteFile('C:\WINDOWS\system32\30.exe');
 DeleteFile('C:\WINDOWS\system32\63.exe');
 DeleteFile('C:\WINDOWS\system32\67.exe');
BC_ImportDeletedList;
ExecuteSysClean;
 BC_DeleteSvc('Creative Service for CDROM Access');
 BC_DeleteSvc('NrConnmags');
 BC_DeleteSvc('17040611');
 BC_DeleteSvc('17040612');
 BC_DeleteSvc('setup_9.0.0.722_09.11.2010_16-13drv');
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.
Сделайте новые логи.

**ole g** · 11.11.2010, 20:44

Пофиксите в HijackThis:

Код:
O4 - HKLM\..\Run: [Advanced DHTML Enable] C:\DOCUME~1\and\LOCALS~1\Temp\9696.exe
O4 - HKLM\..\Run: [MSODESNV7] C:\WINDOWS\system32\msvmiode.exe
O4 - HKCU\..\Run: [12CFG214-K641-12SF-N85P] C:\RECYCLER\S-1-5-21-0243936033-3052116371-381863308-1811\vsbntlo.exe

Таких строк в логе нет, лог прилагаю.

Скрипт выполнять не стал, до выяснения ситуации.

Вот.

**Bratez** · 12.11.2010, 03:26

Хорошо, выполняйте скрипт.

**ole g** · 12.11.2010, 10:01

Выполнил, вот новые логи.

**polword** · 12.11.2010, 10:38

- сделайте лог Combofix

**ole g** · 12.11.2010, 11:08

Выполнил.

**polword** · 12.11.2010, 12:48

- Сделайте повторный лог virusinfo_syscheck.zip;

**ole g** · 12.11.2010, 15:43

Вот.

**polword** · 12.11.2010, 16:20

Отключите Системное восстановление!!! как- посмотреть можно тут
- Выполните скрипт в AVZ

Код:

begin
 DeleteFileMask(GetAVZDirectory + 'Quarantine', '*.*', true);
 ExecuteWizard('TSW', 2, 2, true);
 ExecuteWizard('SCU', 2, 2, true);
 RegKeyIntParamWrite('HKLM','SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer','NoDriveTypeAutoRun',221);
 RebootWindows(true);
end.

После перезагрузки:

- Откройте файл ScanVuln.txt. Выполните из этого файла скрипт в AVZ. В результате работы скрипта будет создан файл - avz_log.txt.
Пройдитесь по ссылкам из файла avz_log.txt и установите все рекомендуемые обновления(если таковые будут).
Перезагрузите компьютер.
Снова выполните этот скрипт и убедитесь, что уязвимости устранены.

**ole g** · 12.11.2010, 17:10

Все сделал, все обновления Windows установил. Остались три уязвимости, связанные со сторонними программными продуктами, удалить которые и заменить новыми версиями в безопасном режиме не получается, а в обычном система по-прежнему не загружается.

Установите Adobe Reader 9.4 или удалите старый.
http://get.adobe.com/reader/otherversions
Множественные уязвимости в Sun Java JDK и JRE. Деинсталлируйте старую версию и установите новую:
http://www.java.com/ru/download/manual.jsp
QuickTime 7.0.4 устарел. Удалите его или установите новый
http://www.apple.com/quicktime/download

**ole g** · 12.11.2010, 17:42

Новые логи.

**Bratez** · 12.11.2010, 17:49

Только было чисто - и опять все на месте!
Может, вы со съемных носителей их заносите? Флэшку пользуете?

**ole g** · 12.11.2010, 17:52

Ничего не пользую!

Максимально прекратил использование по назначению, только с вирусами третий день борюсь...

**Bratez** · 12.11.2010, 18:01

Сделайте полное сканирование с помощью DrWeb Live CD, это довольно долго, но он должен справиться.

Опять ltzqai.exe, msvmiode.exe, oekx.exe (заявка № 91445)

Опции темы

Опять ltzqai.exe, msvmiode.exe, oekx.exe

Антивирусная помощь

Похожие темы

Как и у большинства ltzqai.exe, msvmiode.exe

ltzqai.exe, msvmiode.exe

И снова msvmiode.exe, ltzqai.exe, oekx.exe, qwdrive32.exe и вся их семейка!

Вирусы cfdrive32.exe, msvmiode.exe, psysnew.exe, vsbntlo.exe, ltzqai.exe, oekx.exe, spooler.exe, cwdrive32.exe, winmap.exe и все все все...

cwdrive32.exe , msvmiode.exe , ltzqai.exe и т.д.

Ваши права в разделе