» Помощь при лечении компьютера от вирусов

Alvarius80

Дополнительно к сказанному gjf

Установите все новые обновления для Windows
Установите Internet Explorer 8 (даже если им не пользуетесь)

Код: Malwarebytes' Anti-Malware 1.46
www.malwarebytes.org

Версия базы данных: 5016

Windows 5.1.2600 Service Pack 3
Internet Explorer 6.0.2900.5512

02.11.2010 18:49:19
mbam-log-2010-11-02 (18-49-19).txt

Тип сканирования: Полное сканирование (C:\|)
Просканированные объекты: 258299
Времени прошло: 15 минут, 32 секунд

Зараженные процессы в памяти: 0
Зараженные модули в памяти: 0
Зараженные ключи в реестре: 0
Зараженные параметры в реестре: 0
Объекты реестра заражены: 0
Зараженные папки: 0
Зараженные файлы: 11

Зараженные процессы в памяти:
(Вредоносных программ не обнаружено)

Зараженные модули в памяти:
(Вредоносных программ не обнаружено)

Зараженные ключи в реестре:
(Вредоносных программ не обнаружено)

Зараженные параметры в реестре:
(Вредоносных программ не обнаружено)

Объекты реестра заражены:
(Вредоносных программ не обнаружено)

Зараженные папки:
(Вредоносных программ не обнаружено)

Зараженные файлы:
C:\Documents and Settings\Admin\Local Settings\Temporary Internet Files\Content.IE5\6M2PLC7X\5[1].jpg (Worm.Hamweq) -> No action taken.
C:\Documents and Settings\Admin\Local Settings\Temporary Internet Files\Content.IE5\4JT459SW\6[1].jpg (Extension.Mismatch) -> No action taken.
C:\Documents and Settings\Admin\Local Settings\Temporary Internet Files\Content.IE5\4JT459SW\7[1].jpg (Extension.Mismatch) -> No action taken.
C:\Documents and Settings\Admin\Local Settings\Temporary Internet Files\Content.IE5\L38F1R79\caim[1]._ (Trojan.Dropper) -> No action taken.
C:\Documents and Settings\Admin\Local Settings\Temporary Internet Files\Content.IE5\L38F1R79\1[1].jpg (Worm.Hamweq) -> No action taken.
C:\Documents and Settings\Admin\Local Settings\Temporary Internet Files\Content.IE5\L38F1R79\4[1].jpg (Trojan.Agent) -> No action taken.
C:\Documents and Settings\Admin\Local Settings\Temporary Internet Files\Content.IE5\L38F1R79\isis[2]._ (Trojan.Dropper) -> No action taken.
C:\Documents and Settings\Admin\Local Settings\Temporary Internet Files\Content.IE5\S3SO1QRB\3[1].jpg (Worm.Hamweq) -> No action taken.
C:\Documents and Settings\Admin\Local Settings\Temporary Internet Files\Content.IE5\S3SO1QRB\2[1].jpg (Worm.Hamweq) -> No action taken.
C:\Игры\Tatosha\WrapperInstall.exe (Spyware.Banker) -> No action taken.
C:\Program Files\Giza\dsetup.dll (Malware.Packer.Gen) -> No action taken.

Alvarius80
Выполните написанное в сообщении над Вашим

Удалите

Код: C:\Documents and Settings\Admin\Local Settings\Temporary Internet Files\Content.IE5\6M2PLC7X\5[1].jpg (Worm.Hamweq) -> No action taken.
C:\Documents and Settings\Admin\Local Settings\Temporary Internet Files\Content.IE5\4JT459SW\6[1].jpg (Extension.Mismatch) -> No action taken.
C:\Documents and Settings\Admin\Local Settings\Temporary Internet Files\Content.IE5\4JT459SW\7[1].jpg (Extension.Mismatch) -> No action taken.
C:\Documents and Settings\Admin\Local Settings\Temporary Internet Files\Content.IE5\L38F1R79\caim[1]._ (Trojan.Dropper) -> No action taken.
C:\Documents and Settings\Admin\Local Settings\Temporary Internet Files\Content.IE5\L38F1R79\1[1].jpg (Worm.Hamweq) -> No action taken.
C:\Documents and Settings\Admin\Local Settings\Temporary Internet Files\Content.IE5\L38F1R79\4[1].jpg (Trojan.Agent) -> No action taken.
C:\Documents and Settings\Admin\Local Settings\Temporary Internet Files\Content.IE5\L38F1R79\isis[2]._ (Trojan.Dropper) -> No action taken.
C:\Documents and Settings\Admin\Local Settings\Temporary Internet Files\Content.IE5\S3SO1QRB\3[1].jpg (Worm.Hamweq) -> No action taken.
C:\Documents and Settings\Admin\Local Settings\Temporary Internet Files\Content.IE5\S3SO1QRB\2[1].jpg (Worm.Hamweq) -> No action taken.

Цитата:

Дополнительно к сказанному gjf

Установите все новые обновления для Windows
Установите Internet Explorer 8 (даже если им не пользуетесь)

Загрузил и установил все доступные обновления, повторно запустил MBAM и очистил

Код: C:\Documents and Settings\Admin\Local Settings\Temporary Internet Files\Content.IE5\6M2PLC7X\5[1].jpg (Worm.Hamweq) -> No action taken.
C:\Documents and Settings\Admin\Local Settings\Temporary Internet Files\Content.IE5\4JT459SW\6[1].jpg (Extension.Mismatch) -> No action taken.
C:\Documents and Settings\Admin\Local Settings\Temporary Internet Files\Content.IE5\4JT459SW\7[1].jpg (Extension.Mismatch) -> No action taken.
C:\Documents and Settings\Admin\Local Settings\Temporary Internet Files\Content.IE5\L38F1R79\caim[1]._ (Trojan.Dropper) -> No action taken.
C:\Documents and Settings\Admin\Local Settings\Temporary Internet Files\Content.IE5\L38F1R79\1[1].jpg (Worm.Hamweq) -> No action taken.
C:\Documents and Settings\Admin\Local Settings\Temporary Internet Files\Content.IE5\L38F1R79\4[1].jpg (Trojan.Agent) -> No action taken.
C:\Documents and Settings\Admin\Local Settings\Temporary Internet Files\Content.IE5\L38F1R79\isis[2]._ (Trojan.Dropper) -> No action taken.
C:\Documents and Settings\Admin\Local Settings\Temporary Internet Files\Content.IE5\S3SO1QRB\3[1].jpg (Worm.Hamweq) -> No action taken.
C:\Documents and Settings\Admin\Local Settings\Temporary Internet Files\Content.IE5\S3SO1QRB\2[1].jpg (Worm.Hamweq) -> No action taken.

Alvarius80
В следующий раз простыни логов лучше сохраняйте на внешних обменниках, как это делали вначале.

Ничего вредоносного больше не обнаружено. Какие-либо жалобы есть?

Проверю MBAMом еще через сутки, дабы убедится в полном отсутствии активности вируса, большое спасибо за помощь...

Alvarius80
Дополнительно проведите полное сканирование компьютера антивирусом с обновленными базами. У Вас был Palevo - это p2p-червь, который гарантированно оставляет свои копии в папках p2p-клиентов типа eMule и т.д.

Кстати, MBAM лучше удалите. Как средство для повседневного пользования он довольно опасен. Выше уже можете почитать посты жертв неправильного использования MBAM.

У меня на компьютере поселился вирус

Симптомы:
1 Закрываются сами программы(касается в частности антивирусов, антитроянов и тэдэ) но некоторые смог установить но не помогает все ровно
2 Блокируется выход в Интернет для обновлений антивирусов

3 Отключается Брандмауэр( включаю..выхожу из него и он выключается. В службах стоит авто)

Вот названия файлов которые у меня появились и выглядят странно как вирусы(может поможет): autorun.inf(этот файл точно заражен, опознался антивирусами но не удаляется, сидит на всех 3х дисках С: D: и E, hgec.pif, lskkn.pif, wbwl.exe , ctkhgc.exe, hiberfil.sys, mmucik.pif, pigygx.exe, oigygx.exe, vdhl.exe.)

Сканировал Spyware Terminator, Dr. Web(ничего не нашел), Trojan Remover, stinger(находит файл после которого программы сами не закрываются, но после перезагрузки все снова само закрывается)

Что такое? Помогите пожалуйста =(((

DarKVaMpiRE
Где логи?

У меня почти такаяже проблема как тут
http://forum.ru-board.com/topic.cgi?forum=62&topic=16177&start=0
я всё зделал, как было написано там вот ссылка на файл из папки LOG

http: // depositfiles . com/ru/files/r9uzovihg

Помогите

P.S. Сорри, шо ссылку с пробелами кидаю, оно както не правильно понимает, если кидать как есть

Loki021

Выполните инструкции в указанном порядке

Выполните скрипт в AVZ

Код: begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\84.exe','');
QuarantineFile('C:\WINDOWS\system32\81.exe','');
QuarantineFile('C:\WINDOWS\system32\80.exe','');
QuarantineFile('C:\WINDOWS\system32\78.exe','');
QuarantineFile('C:\WINDOWS\system32\76.exe','');
QuarantineFile('C:\WINDOWS\system32\70.exe','');
QuarantineFile('C:\WINDOWS\system32\67.exe','');
QuarantineFile('C:\WINDOWS\system32\63.exe','');
QuarantineFile('C:\WINDOWS\system32\55.exe','');
QuarantineFile('C:\WINDOWS\system32\53.exe','');
QuarantineFile('C:\WINDOWS\system32\51.exe','');
QuarantineFile('C:\WINDOWS\system32\50.exe','');
QuarantineFile('C:\WINDOWS\system32\45.exe','');
QuarantineFile('C:\WINDOWS\system32\43.exe','');
QuarantineFile('C:\WINDOWS\system32\41.exe','');
QuarantineFile('C:\WINDOWS\system32\37.exe','');
QuarantineFile('C:\WINDOWS\system32\33.exe','');
QuarantineFile('C:\WINDOWS\system32\32.exe','');
QuarantineFile('C:\WINDOWS\system32\30.exe','');
QuarantineFile('C:\WINDOWS\system32\28.exe','');
QuarantineFile('C:\WINDOWS\system32\26.exe','');
QuarantineFile('C:\WINDOWS\system32\25.exe','');
QuarantineFile('C:\WINDOWS\system32\23.exe','');
QuarantineFile('C:\WINDOWS\system32\21.exe','');
QuarantineFile('C:\WINDOWS\system32\18.exe','');
QuarantineFile('C:\WINDOWS\system32\17.exe','');
QuarantineFile('C:\WINDOWS\system32\15.exe','');
QuarantineFile('C:\WINDOWS\system32\14.exe','');
QuarantineFile('C:\WINDOWS\system32\13.exe','');
QuarantineFile('C:\WINDOWS\system32\05.exe','');
QuarantineFile('C:\WINDOWS\system32\02.exe','');
QuarantineFile('C:\RECYCLER\S-1-5-21-9933746806-5342295970-161316153-5905\winmap.exe,C:\RECYCLER\S-1-5-21-7593912845-4244503595-252461779-8990\syscr.exe,C:\RECYCLER\S-1-5-21-5206024834-3942665754-777079821-5818\winmap.exe,C:\RECYCLER\S-1-5-21-8385190358-7761073826-814130675-6749\syscr.exe,C:\RECYCLER\S-1-5-21-8021399681-4547506656-147335018-6601\winmap.exe,C:\RECYCLER\S-1-5-21-8973358067-9960513778-832306599-0100\syscr.exe,C:\RECYCLER\S-1-5-21-8201502201-0598296037-929196297-1178\syscr.exe,C:\RECYCLER\S-1-5-21-4796574357-8636116486-746381213-1889\winmap.exe,C:\RECYCLER\S-1-5-21-1334587304-6184007640-073162681-6422\syscr.exe,C:\RECYCLER\S-1-5-21-5743341092-0521613507-043395557-7885\syscr.exe,C:\Documents and Settings\Loki\Application Data\oekx.exe,C:\RECYCLER\S-1-5-21-6447705580-7235645486-027323434-1811\winmap.exe,C:\RECYCLER\S-1-5-21-1979354528-0922165121-137822009-0147\syscr.exe,C:\RECYCLER\S-1-5-21-7248339113-6112119562-850105619-8923\syscr.exe,explorer.exe,C:\Documents and Settings\Loki\Application Data\ltzqai.exe','');
QuarantineFile('C:\RECYCLER\S-1-5-21-9933746806-5342295970-161316153-5905\winmap.exe','');
DeleteFile('C:\RECYCLER\S-1-5-21-9933746806-5342295970-161316153-5905\winmap.exe');
DeleteFile('C:\RECYCLER\S-1-5-21-9933746806-5342295970-161316153-5905\winmap.exe,C:\RECYCLER\S-1-5-21-7593912845-4244503595-252461779-8990\syscr.exe,C:\RECYCLER\S-1-5-21-5206024834-3942665754-777079821-5818\winmap.exe,C:\RECYCLER\S-1-5-21-8385190358-7761073826-814130675-6749\syscr.exe,C:\RECYCLER\S-1-5-21-8021399681-4547506656-147335018-6601\winmap.exe,C:\RECYCLER\S-1-5-21-8973358067-9960513778-832306599-0100\syscr.exe,C:\RECYCLER\S-1-5-21-8201502201-0598296037-929196297-1178\syscr.exe,C:\RECYCLER\S-1-5-21-4796574357-8636116486-746381213-1889\winmap.exe,C:\RECYCLER\S-1-5-21-1334587304-6184007640-073162681-6422\syscr.exe,C:\RECYCLER\S-1-5-21-5743341092-0521613507-043395557-7885\syscr.exe,C:\Documents and Settings\Loki\Application Data\oekx.exe,C:\RECYCLER\S-1-5-21-6447705580-7235645486-027323434-1811\winmap.exe,C:\RECYCLER\S-1-5-21-1979354528-0922165121-137822009-0147\syscr.exe,C:\RECYCLER\S-1-5-21-7248339113-6112119562-850105619-8923\syscr.exe,explorer.exe,C:\Documents and Settings\Loki\Application Data\ltzqai.exe');
DeleteFile('C:\WINDOWS\system32\02.exe');
DeleteFile('C:\WINDOWS\system32\05.exe');
DeleteFile('C:\WINDOWS\system32\13.exe');
DeleteFile('C:\WINDOWS\system32\14.exe');
DeleteFile('C:\WINDOWS\system32\15.exe');
DeleteFile('C:\WINDOWS\system32\17.exe');
DeleteFile('C:\WINDOWS\system32\18.exe');
DeleteFile('C:\WINDOWS\system32\21.exe');
DeleteFile('C:\WINDOWS\system32\23.exe');
DeleteFile('C:\WINDOWS\system32\25.exe');
DeleteFile('C:\WINDOWS\system32\26.exe');
DeleteFile('C:\WINDOWS\system32\28.exe');
DeleteFile('C:\WINDOWS\system32\30.exe');
DeleteFile('C:\WINDOWS\system32\32.exe');
DeleteFile('C:\WINDOWS\system32\33.exe');
DeleteFile('C:\WINDOWS\system32\37.exe');
DeleteFile('C:\WINDOWS\system32\41.exe');
DeleteFile('C:\WINDOWS\system32\43.exe');
DeleteFile('C:\WINDOWS\system32\45.exe');
DeleteFile('C:\WINDOWS\system32\50.exe');
DeleteFile('C:\WINDOWS\system32\51.exe');
DeleteFile('C:\WINDOWS\system32\53.exe');
DeleteFile('C:\WINDOWS\system32\55.exe');
DeleteFile('C:\WINDOWS\system32\63.exe');
DeleteFile('C:\WINDOWS\system32\67.exe');
DeleteFile('C:\WINDOWS\system32\70.exe');
DeleteFile('C:\WINDOWS\system32\76.exe');
DeleteFile('C:\WINDOWS\system32\78.exe');
DeleteFile('C:\WINDOWS\system32\80.exe');
DeleteFile('C:\WINDOWS\system32\81.exe');
DeleteFile('C:\WINDOWS\system32\84.exe');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Winlogon','Taskman');
RebootWindows(true);
end.

thyrannosaurus

Ок, щас это всё попробую зделать

Насколько реально производить снятия логов для запроса в эту тему (off-line)?
1. Создание образа зараженного диска (с другой OC).
2. Снятие логов из этого образа на новом (проверочном) HD или виртуальным диском.

...лечение (off-line)?
1. Создание образа зараженного диска.
2. Лечение при его запуске в качестве виртуального.
3. Качественная затирка исходного HD.
4. Восстановление диска из леченного образа.
Хотя второе может и

[thyrannosaurus

Вобщем ответ уже пришел вот он:



Цитата:

Здравствуйте,

Это сообщение сформировано автоматической системой приёма писем. Сообщение содержит информацию о том, какие вердикты на файлы (если таковые есть в письме) выносит антивирус с последними обновлениями. Письмо будет передано на рассмотрение вирусному аналитику.

13.exe,
14.exe,
21.exe,
43.exe,
53.exe,
76.exe,
81.exe - P2P-Worm.Win32.Palevo.azik
23.exe,
28.exe,
37.exe - P2P-Worm.Win32.Palevo.bazc
30.exe - P2P-Worm.Win32.Palevo.ayfr

В настоящий момент эти файлы определяются антивирусом со свежими антивирусными базами.

18.exe,
33.exe,
45.exe,
51.exe,
84.exe

Файлы в процессе обработки.

С уважением, Лаборатория Касперского

123060, Россия, Москва, 1-й Волоколамский проезд дом 10, стр 1
Тел./факс: + 7 (495) 797 8700
http://www.kaspersky.ru http://www.viruslist.ru

Цитата:

Сделайте лог ComboFix

Сделайте лог полного сканирования МВАМ

Это щас попробую зделать

thyrannosaurus

Так, это лог от ComboFix http: //depositfiles . com/files/z8pqunh74

Это лог MBAM http: //depositfiles . com/files/wna0x9a2z

Вроде всё?

Когда делал проверку MBAM несколько раз предлагало отправить отчет какихто левых файло типа 02.exe, 72.exe, ну шото такое, с цифрами, если это важно

Loki021

Скопируйте текст ниже в блокнот и сохраните как файл с названием CFScript.txt на рабочий стол.

Код: KillAll::

File::
c:\windows\system32\xwcvkw.dll

Driver::
hnqufx

NetSvc::
hnqufx

Folder::

Registry::
[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\GloballyOpenPorts\List]
"7764:TCP"=-

FileLook::

DirLook::

thyrannosaurus
Щас это всё зделаю, а вот
Цитата:

Удалите в МВАМ

это всё вручную выбирать, или можно както прописать и всё?


Цитата:

Внимание! Официальная поддержка (и выпуск обновлений) для Windows XP SP2 прекращена

Установите SP3 (может потребоваться активация) + все новые обновления для Windows
Установите Internet Explorer 8 (даже если им не пользуетесь)

У меня и так SP3, тока Автоматического обновления нету, это так важно?

Loki021

Цитата:

это всё вручную выбирать, или можно както прописать и всё?

А ссылка для кого была?


Цитата:

тока Автоматического обновления нету

Перейдите по ссылке и скачивайте. С данным вирусом, если не обновить систему, лечиться можно до бесконечности

Ну доигрался я изучая проблемму на чужом нетбуке LENOVO S10 (я просил здесь помощи по чистке ветки реестра, где прописаны СЕТЕВЫЕ ПЛАТЫ - место указали правильно:
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\NetworkCards], но это как-то не помогло!++++ ещё "ЭТА ЗАРАЗА" просочилась через флешку и ко мне на старый ноутбук Voyager FT6 - теже неудаляемые сетевые устройства- типа несколько минипортов WAN и отключённая родная сетевая плата!
Вирусов ни Доктор Вебер, ни МBAM, ни AVZ(от Зайцева) не определили!
Только AVZ указал на источник каких-то некритичных перехватчиков (в папке... Windows\drivers32\klif.sys и kln.sys - в названии могу немного ошибаться- потому, что сразу их снёс при перезагрузке в защищённом режиме) .........и всё стало на свои места!
Сетевая карта доступна, и лишние сетевые устройства отсутствуют!

Что за вирус??? был???

Цитата:

в папке... Windows\drivers32\klif.sys и kln.sys

Это драйвера от антивируса Касперского.

gjf
Спасибо за информацию, то то смотрел, что сетевые устройства (часть из них) были
с припиской Аntivirus Kaspersky Lab(минипорт WAN + ещё что-то)

PS. На своём Voyager FT6(Pentium III-1133MHz) Касперским в настоящее время
не пользуюсь (до этого как-то ставил KAV5, да и то как сканер, потому что в мониторе он сильно вешал систему)

В офисе у одного из пользователей, при входе в любой интернет браузер, касперский 6.0 версии тут же выдает окно что якобы C:/system32/winlogon.exe пытается внедриться в процессы, подскажите как узнать какая именно программа пытается это сделать, так как мне кажется это скорей всего троян который маскируется под winlogon.

DJMC
И опять мой любимый вопрос: где логи?

gjf

Цитата:

И опять мой любимый вопрос: где логи?

вот

thyrannosaurus
Ну я вроде всё зделал, кроме обновления, вобщем вот лог

http ://depositfiles . com/files/730dihnlv

Только я удалил немного больше файлов, например тут

C:\Qoobox\Quarantine\C\WINDOWS\system32\00.exe.vir (Trojan.Downloader) -> No action taken.
C:\Qoobox\Quarantine\C\WINDOWS\system32\24.exe.vir (Trojan.Downloader) -> No action taken.
C:\Qoobox\Quarantine\C\WINDOWS\system32\34.exe.vir (Trojan.Downloader) -> No action taken.
C:\Qoobox\Quarantine\C\WINDOWS\system32\40.exe.vir (Trojan.Downloader) -> No action taken.

А там еще был файл
C:\Qoobox\Quarantine\C\WINDOWS\system32\02.exe.vir (Trojan.Downloader) -> No action taken.
Я его тоже удалил

А на счет обновления, оно так не начнет доставать, шо у меня не лицензия? Винду то я сам ставил, а диск у друга брал, потому и отключил. Может можно как то без этого? Если не, то я конечно обновлю, но всё таки?

Loki021

Цитата:

А на счет обновления, оно так не начнет доставать, шо у меня не лицензия? Винду то я сам ставил, а диск у друга брал, потому и отключил. Может можно как то без этого? Если не, то я конечно обновлю, но всё таки?

Не лицензия тоже может обновляться - даже в этом форуме приведено минимум три рецепта (не просите - не покажу, юзайте поиск).

Без актуальных обновлений, как уже было сказано, лечиться можно до бесконечности - без толку.

DJMC
Я про логи, о которых речь идёт в шапке этой темы.

gjf
Ок, щас поищу

gjf

Цитата:

Я про логи, о которых речь идёт в шапке этой темы.

а понял, хорошо постараюсь на недели сесть за компьютер пользователя и выложить логи.

gjf
Кароче отпишусь когда найду и обновлю

Добавлено:
Не нашел(

Люди помогите. Исчез системный диск C, что делать не понимаю. AVP tool поймал три вируса. При всем этом система загружается нормально и стабильно.????