Sector_21 и др.

[insanehead]

Ребят.Поселился Некий Win32.Sector_21.Прогонял и CureIT и Nod.Не хочет выселяться ни в какую.Прощу вашей помощи,т.к. бьюсь уже 3-ий день.Прилагаю Логи.После одного запуска AVZ удалось снять только ЛОГ по пункту 2.

Заранее Спасибо!

[light59]

Обновите базы AVZ! . Если не обновляется через программу, то скачайте их отсюда

В AVZ - файл - выполнить скрипт

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1001', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
 TerminateProcessByName('c:\docume~1\admin\locals~1\temp\lgfwmo.exe');
 QuarantineFile('c:\docume~1\admin\locals~1\temp\lgfwmo.exe','');
 DeleteFile('c:\docume~1\admin\locals~1\temp\lgfwmo.exe');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.
Пришлите карантин, как написано в правилах.

Пункт 1 диагностики сделайте.
Либо скачайте AVPTool и сделайте лог им

[insanehead]

Прилагаю лог по пункту 1.

Карантин почему-то пуст.

[insanehead]

Жду вашей помощи.

[olejah]

Полечитесь так - http://support.kaspersky.ru/faq?qid=208636131

[insanehead]

Полечился как вы сказали.Появился Диспетчер,раньше был отключен вирусом.Сейчас сканирую НОД.Sality пропал,остался Win32.Vasor.Что с ним делать?

[olejah]

Сделайте новые логи.

[insanehead]

Прилагаю логи.

[olejah]

Закройте все программы
Отключите
- ПК от интернета/локалки.
- Антивирус и Файрвол
- Системное восстановление

Выполните скрипт в АВЗ -

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(true);
 DeleteFileMask(GetAVZDirectory + 'Quarantine', '*.*', true);
 DeleteService('amsint32');
 QuarantineFile('C:\WINDOWS\system32\drivers\mnsso.sys','');
 DeleteFile('C:\WINDOWS\system32\drivers\mnsso.sys');
 BC_DeleteSvc('amsint32');  
 BC_ImportAll;
 ExecuteSysClean;
 ExecuteWizard('TSW',2,2,true);
 BC_Activate;
 RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.

После перезагрузки:
- выполните такой скрипт

begin
  CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
 end.

Пришлите файл quarantine.zip из папки AVZ по ссылке Прислать запрошенный карантин над первым сообщением этой темы.

- Обновите базы АВЗ

- Сделайте новые логи

остался Win32.Vasor.

Где остался? Путь к файлу и имя, будьте добры.

[insanehead]

Выполнил всё как написали.
Прилагаю новые логи.Карантин выслан.

Вот Нод показывает на этот и многие другие файлы C:\Documents and Settings\Admin\Local Settings\Temp\Redist\shfolder.exe - вероятно модифицированный Win32/Vasor.B вирус - выбор действия отложен до завершения сканирования

Не работает regedit,cmd,gpedit.msc.

[olejah]

Пока первым делом проверьте все эти файлы, или часть из них, по очереди на ВирусТотал

Ссылки на результат, приложите сюда

[insanehead]

Не хочет загружать почему-то.

Добавлено через 48 минут

Жду альтернативного варианта решения проблемы.
regedit,gpedit.msc,cmd не работают до сих пор.Не работает Диспетчер устройств.
Что-то с реестром по ходу.

[olejah]

Выполните скрипт в АВЗ -

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(true);
 DeleteFileMask(GetAVZDirectory + 'Quarantine', '*.*', true);
 QuarantineFile('C:\Documents and Settings\Admin\Local Settings\Temp\Redist\50comupd.exe','');
 QuarantineFile('C:\Documents and Settings\Admin\Local Settings\Temp\Redist\shfolder.exe','');  
 BC_ImportAll;
 ExecuteRepair(6);
 ExecuteRepair(17);
 RegKeyIntParamWrite('HKLM', 'SOFTWARE\Microsoft\Windows\CurrentVersion\policies\NonEnum', '{BDEADF00-C265-11D0-BCED-00A0C90AB50F}', 1);
 BC_Activate;
 RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.

После перезагрузки:
- выполните такой скрипт

begin
  CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
 end.

Пришлите файл quarantine.zip из папки AVZ по ссылке Прислать запрошенный карантин над первым сообщением этой темы.

[insanehead]

Карантин выслан.Жду указаний.

[thyrex]

Что с проблемой?

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 4
• Обработано файлов: 19
• В ходе лечения вредоносные программы в карантинах не обнаружены