Подозрение на a-connect

[hitman-bober]

Периодически падает инет, куда-то уходят ресурсы системы+ проблемы со звуком...

[ARMA9000]

Отключить восстановление системы, защитное ПО.
Выполнить скрипт:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\system32\repsvc.exe','');
 QuarantineFile('C:\WINDOWS\system32\71.exe','');
 QuarantineFile('C:\WINDOWS\system32\msvmiode.exe','');
 QuarantineFile('C:\WINDOWS\system32\Macromed\Flash\FlashUtil10e.exe','');
 QuarantineFile('C:\WINDOWS\ggdrive32.exe','');
 QuarantineFile('C:\RECYCLER\S-1-5-21-1370593376-2316958803-716635200-8584\csisf.exe','');
 QuarantineFile('C:\Documents and Settings\Администратор\Application Data\bowcav.exe','');
 QuarantineFile('C:\WINDOWS\system32\drivers\Partizan.sys','');
 DeleteFile('C:\Documents and Settings\Администратор\Application Data\bowcav.exe');
 DeleteFile('C:\RECYCLER\S-1-5-21-1370593376-2316958803-716635200-8584\csisf.exe');
 DeleteFile('C:\WINDOWS\ggdrive32.exe');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Microsoft Driver Setup');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','Microsoft Driver Setup');
 DeleteFile('C:\WINDOWS\system32\msvmiode.exe');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','MSODESNV7');
 DeleteFile('C:\WINDOWS\system32\71.exe');
 DeleteFile('C:\WINDOWS\system32\repsvc.exe');
BC_ImportAll;
ExecuteSysClean;
ExecuteWizard('SCU', 2, 2, true);
ExecuteWizard('TSW',2,3,true);
BC_Activate;
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Winlogon','Taskman');
RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.
После перезагрузки пришлите попавшие в карантин файлы согласно правилам (для отправки файлов следует воспользоваться ссылкой "Прислать запрошенные файлы" над первым сообщением темы).
Логи повторить.

[hitman-bober]

Вот новые логи.

[thyrex]

Скачайте AVZ 4.35, обновите его базы

Переделайте логи в нормальном режиме

[hitman-bober]

Что значит логи в нормальном виде?

[thyrex]

У Вас лог AVZ сделан в безопасном режиме. А нужно в обычном режиме

[hitman-bober]

Понял. Уже делаю.

[hitman-bober]

Новые логи.

[Bratez]

Читайте внимательно в правилах, какие именно файлы следует прикреплять!

Выполните скрипт в AVZ:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 DeleteFile('C:\Documents and Settings\hitman\Application Data\bowcav.exe');
 DeleteFile('C:\WINDOWS\ggdrive32.exe');
 DeleteFile('C:\WINDOWS\system32\msvmiode.exe');
BC_ImportDeletedList;
ExecuteSysClean;
 BC_DeleteSvc('Partizan');
 BC_DeleteSvc('GGSAFERDriver');
BC_Activate;
RegKeyParamDel('HKLM', 'Software\Microsoft\Windows NT\CurrentVersion\Winlogon', 'Taskman');
RegKeyParamDel('HKCU', 'Software\Microsoft\Windows NT\CurrentVersion\Winlogon', 'Shell');
RebootWindows(true);
end.

Компьютер перезагрузится.
Сделайте новые логи.

[hitman-bober]

Спасибо огромное. Помогло)

[thyrex]

Еще не все

Сделайте новые логи.

[hitman-bober]

Логи.

[Bratez]

Один никак не желает удаляться.

Выполните скрипт в AVZ в безопасном режиме:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\Documents and Settings\hitman\Application Data\bowcav.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.

Лог virusinfo_syscure придется повторить (понимаю, что долго, но надо ).

[hitman-bober]

Скрипт не помог. Убил руками из под Хакинтоша. Временный файл avz Drweb убил сразу...

[polword]

- Поставте все последние обновления системы Windows - тут

- Сделайте лог MBAM

[hitman-bober]

Апдейты накатил еще вчера(аж 98 штук))) Лог прилагаю.

[polword]

чисто

[hitman-bober]

Спасибо за помощь)))

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 18
• В ходе лечения вредоносные программы в карантинах не обнаружены