» Помощь при лечении компьютера от вирусов

Спасибо за помощь,теперь буду знать в каком направлении мне нужно думать!

http://rghost.ru/4168546
http://rghost.ru/4168531

http://gettyfile.ru/701670/

Гляньте Пж

---
Что скажите?
Цитата:

WinLock Был пойман пользователем
Система разлочена через правку реестра LivCD
XP-SP2
Перед уходом поставлена на проверку вся система Dr.Web CureIt

После всё заработало кроме


Сайты Работают!
http://www.yandex.ru/
http://www.mail.ru/


На сайт не возможно зайти!
http://www.drweb.com/
http://www.drweb.com/unlocker/fairytale
http://www.freedrweb.com/

Hosts файл чистый !

netsh winsock reset
netsh int ip reset all
route –f
Выполнены в командной строке

Доступ на НеВОЗ можен !!
http://www.drweb.com/
http://www.drweb.com/unlocker/fairytale
http://www.freedrweb.com/

Что может быть ???

AdapterLp
Ну и почему файлы удалены?
- Выполните скрипт:

Код: begin
ExecuteStdScr(5); {обновление баз AVZ с автоматической настройкой}
ExecuteFile('net.exe', 'stop tcpip /y', 0, 90000, false);
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFileMask(GetAVZDirectory+'Quarantine', '*.*', true); {ClearQuarantine;}
QuarantineFile('C:\WINDOWS\Installer\4696a34.msi','');
QuarantineFile('calc.exe','');
QuarantineFile('C:\Documents and Settings\Администратор\Мои документы\Загрузки\xxx_video.avi.exe','');
DeleteFile('C:\Documents and Settings\Администратор\Мои документы\Загрузки\xxx_video.avi.exe');
BC_ImportAll;
ExecuteSysClean;
ExecuteRepair(9); {удаление отладчиков системных процессов}
SetAVZPMStatus(true);
BC_Activate;
RebootWindows(true);
end.

Вот что вылезает в браузерах opera,IE,chrome,mozila...
http://i018.radikal.ru/1102/56/e386a8f9f4c7.jpg
http://s46.radikal.ru/i113/1102/2f/02120d01e1a7.jpg
http://s60.radikal.ru/i167/1102/31/5b70f6d84435.jpg
http://i039.radikal.ru/1102/b5/bb2694455bfb.jpg
http://s003.radikal.ru/i203/1102/19/f06f6de093ae.jpg
PS если следствию поможет, у ми долго грузятся страницы, кроме мозилы безопасного режима...
PSS еще скайп не хочет добавлять контакты...

koshac
Следствию ничего не поможет, кроме выполнения указаний в шапке темы!

Добрый день!
Прошу помощи Win XP SP3 32bit
Возникла следующая проблема: при выключени комп сначала перезагружался, а потом уже при повторном выключении выключался нормально.
Сегодня проблема стала еще интереснее: комп стал перезагружаться сам, без видимых на то причин.
Теперь вообще спонтанно выкидывает на синий экран (предполагаю, что после отключения восстановления системы)
Железо в норме.


Dr.web CureIt находит 2 виря с одинаковым именем и немного разными путями (WINDOWS/system32 и windows/system32) mssfc.dll Trojan.WinSpy.990 исцеляет, но после перезагрузки и повторном сканировании они определяются вновь.

AVZ
RSIT info
RSIT log

Allex13 Железо в норме что значит ???
БП сколько вольт на 12v выводит?
MHDD, Victoria есть BAD блоки ??
Тест RAM ??

AdapterLp
Выводит 11.88

Allex13
Инфекция есть и много. Обрабатываю.
AdapterLp
Не лезьте куда не просят.

AdapterLp
Выводит 11.88v
Битых секторов не было
RAM не проверял((
Лазил в системник сегодня, конденсаторы целые,ничего не вздуто...

Allex13
- Отключите Антивирус и Файервол.
- Выполните скрипт:

Код: Function RegKeyResetSecurityEx(ARoot, AName : string) : boolean;
var
i : integer;
KeyList : TStringList;
KeyName : string;
begin
RegKeyResetSecurity(ARoot, AName);
KeyList := TStringList.Create;
RegKeyEnumKey(ARoot, AName, KeyList);
for i := 0 to KeyList.Count-1 do
begin
KeyName := AName+'\'+KeyList[i];
RegKeyResetSecurity(ARoot, KeyName);
RegKeyResetSecurityEx(ARoot, KeyName);
end;
KeyList.Free;
end;
Function BC_ServiceKill(AServiceName : string; AIsSvcHosted : boolean = true) : byte;
var
i : integer;
KeyList : TStringList;
KeyName : string;
begin
Result := 0;
if StopService(AServiceName) then Result := Result or 1;
if DeleteService(AServiceName, not(AIsSvcHosted)) then Result := Result or 2;
KeyList := TStringList.Create;
RegKeyEnumKey('HKLM','SYSTEM', KeyList);
for i := 0 to KeyList.Count-1 do
if pos('controlset', LowerCase(KeyList[i])) > 0 then begin
KeyName := 'SYSTEM\'+KeyList[i]+'\Services\'+AServiceName;
if RegKeyExistsEx('HKLM', KeyName) then begin
Result := Result or 4;
RegKeyResetSecurityEx('HKLM', KeyName);
RegKeyDel('HKLM', KeyName);
if RegKeyExistsEx('HKLM', KeyName) then
Result := Result or 8;
end;
end;
if AIsSvcHosted then
BC_DeleteSvcReg(AServiceName)
else
BC_DeleteSvc(AServiceName);
KeyList.Free;
end;

begin
ExecuteFile('net.exe', 'stop tcpip /y', 0, 90000, false);
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFileMask(GetAVZDirectory+'Quarantine', '*.*', true); {ClearQuarantine;}
BC_ServiceKill('xmzbo');
BC_ServiceKill('whgzeevw');
BC_ServiceKill('wdrcg');
BC_ServiceKill('wbjgc');
BC_ServiceKill('vqzxkjzv');
BC_ServiceKill('twdsjmp');
BC_ServiceKill('saqru');
BC_ServiceKill('rnckap');
BC_ServiceKill('oucwhv');
BC_ServiceKill('oojmqgj');
BC_ServiceKill('oayyuzpts');
BC_ServiceKill('nuqkztuen');
BC_ServiceKill('ntpxxi');
BC_ServiceKill('nrocksda');
BC_ServiceKill('ncqorvtcq');
BC_ServiceKill('mmabnjhjb');
BC_ServiceKill('mczkwk');
BC_ServiceKill('lkhfnnum');
BC_ServiceKill('ktvgqq');
BC_ServiceKill('koinfcar');
BC_ServiceKill('kmjrwr');
BC_ServiceKill('jwxqjopo');
BC_ServiceKill('hylqkd');
BC_ServiceKill('hvatgyrc');
BC_ServiceKill('hhfnac');
BC_ServiceKill('fxxcthad');
BC_ServiceKill('fbpope');
BC_ServiceKill('fbdgp');
BC_ServiceKill('dymzv');
BC_ServiceKill('dsktfe');
BC_ServiceKill('djojw');
BC_ServiceKill('chfnpsd');
QuarantineFile('C:\WINDOWS\system32\ctlfree.exe','');
QuarantineFile('C:\WINDOWS\system32\ctlqua.exe','');
QuarantineFile('C:\WINDOWS\system32\06.tmp','');
QuarantineFile('C:\WINDOWS\system32\03.tmp','');
QuarantineFile('dymzv.sys','');
QuarantineFile('C:\WINDOWS\system32\02.tmp','');
QuarantineFile('fbpope.sys','');
QuarantineFile('hhfnac.sys','');
QuarantineFile('hvatgyrc.sys','');
QuarantineFile('koinfcar.sys','');
QuarantineFile('lbrtfdc.sys','');
QuarantineFile('mmabnjhjb.sys','');
QuarantineFile('nuqkztuen.sys','');
QuarantineFile('oucwhv.sys','');
QuarantineFile('vqzxkjzv.sys','');
QuarantineFile('djojw.sys','');
DeleteFile('C:\WINDOWS\system32\03.tmp');
DeleteFile('djojw.sys');
DeleteFile('dymzv.sys');
DeleteFile('C:\WINDOWS\system32\02.tmp');
DeleteFile('fbpope.sys');
DeleteFile('hhfnac.sys');
DeleteFile('hvatgyrc.sys');
DeleteFile('koinfcar.sys');
DeleteFile('mmabnjhjb.sys');
DeleteFile('C:\WINDOWS\system32\06.tmp');
DeleteFile('nuqkztuen.sys');
DeleteFile('oucwhv.sys');
DeleteFile('vqzxkjzv.sys');
DeleteFile('C:\WINDOWS\system32\ctlqua.exe');
DeleteFile('C:\WINDOWS\system32\ctlfree.exe');
BC_ImportAll;
ExecuteSysClean;
BC_LogFile(GetAVZDirectory + 'boot_clr.log');
SetAVZPMStatus(true);
BC_Activate;
RebootWindows(true);
end.

Что то у меня подозрение, что quarantine.zip пуст, всего 1кб весит!

Новые логи AVZ
boot_clr.log

gjf
Только что опять вылетел в синий экран. Возможно проблемы уже не в вирусах?

Allex13
Выполните скрипт:

Код: begin
ExecuteStdScr(6); {удаление всех драйверов и ключей AVZ}
SetAVZPMStatus(false);
RebootWindows(false);
end.

gjf
CureIt продолжает находить те же mssfc.dll Trojan.WinSpy.990

Allex13

Цитата:

AdapterLp
Выводит 11.88v
Битых секторов не было
RAM не проверял((
Лазил в системник сегодня, конденсаторы целые,ничего не вздуто..

Выводит 11.88v Хм...

Северный Южный мост не больше 55С градусов?

Allex13
Понятно.
Давайте так.
Выполните скрипт:

Код: begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\System32\sfcfiles.dll','');
RenameFile('C:\WINDOWS\System32\sfcfiles.dll', 'C:\WINDOWS\System32\sfcfiles.bak');
CopyFile('C:\WINDOWS\System32\dllcache\sfcfiles.dll','C:\WINDOWS\System32\sfcfiles.dll');
DeleteFile('C:\WINDOWS\System32\sfcfiles.bak');
BC_ImportAll;
ExecuteSysClean;
SetAVZPMStatus(false);
RebootWindows(true);
end.

Принято решение полностью переустановить систему.
Комп студийный.

gjf
В любом случае спасибо за помощь и оперативность!!!

Allex13
Ну и так можно Пожалуйста, обращайтесь!

Открывал отдельную тему:
http://forum.ru-board.com/topic.cgi?forum=62&bm=1&topic=21869#1
но мне посоветовали обратиться и сюда.
Семерка Ультима с обновленным Касперским, согласно ему вирусов нет.
В АВЗ скрипт отказался запускаться с сообщением Ошибка скрипта: '.' expected, позиция [4:6]", поэтому я вручную отключил сетевой адаптер и по возможности выгрузил почти все программы и выполнил сканирование диска С:.
Логи прилагаю:
http://rghost.ru/4514091

Кому лень смотреть мой вышеуказанный пост, скопирую сюда:

Цитата:

Минут через 5 после подьема 7-ой винды, ни с того ни с сего, громко квакает "ку-ку" 2 раза и через секунд 15 еще раз. Кроме того на втором плане есть тихие щелчки, как будто переходят по линкам браузера, хотя сам браузер не включен. Проверил Касперским - чисто.
так, вроде это оно:
C:\Program Files\Common Files\Sysupdate\wmupd.exe
я думал, что это виндовая приблуда, но оказалось - нет.
вирустотал, только макафи плачется:
http://www.virustotal.com/file-scan/report.html?id=3a4409d702963d463a9dbf2500978a07cd933c2ecb4aa016b238c28fe316e327-1290341010
По дате оно сидит с конца августа, вроде никаких проблем не было...

Я вычистил это дело, но оно вернулось, правда вроде без звуков, вторая цитата:

Цитата:

Сегодня опять обнаружил эту гадость, но уже в директории:
C:\Program Files\Common Files\Adobe
Что же оно делает ???
Еще раз ссылка, отсылайте в антивирусные компании:
http://rghost.ru/4503247

Добавлено:
Кстати, по вирустотал теперь даже макафи не плачется:
http://www.virustotal.com/file-scan/report.html?id=8b691099bfb8481a0615c8cf7b3f7ce7652524dc1db860eb939d691d63b2340f-1298470593

Trex
Логи сделайте по правилам в шапке.

gjf
Так я написал, что скрипт АВЗ у меня не запустился, и поэтому я просто провел сканирование дсика С:, а логи RSIT я сделал по правилам и запаковал 2 лога RSIT и один лог АВЗ в архив и выложил.
Меня больше волнует, чем занимается вышеприведенный файлик, т.к. вирусов у меня нет, я обсканировал всем, чем только можно, включая сканирование при загрузке с ЛАйфСД.

Trex
Я видел. Попробуйте пожалуйста ещё раз лог АВЗ получить. Скрипт скопируйте и выполните ещё раз.

По файлу - какой-то даунлоадер:
[more]Internet connection: Connects to "127.0.0.1" on port 2604.
Internet connection: Connects to "188.95.49.64" on port 80.
Internet connection: Connects to "213.180.204.131" on port 80.
Internet connection: Connects to "213.180.204.143" on port 80.
Internet connection: Connects to "213.180.204.159" on port 80.
Internet connection: Connects to "213.180.204.24" on port 443.
Internet connection: Connects to "213.180.204.3" on port 80.
Internet connection: Connects to "213.180.204.35" on port 80.
Internet connection: Connects to "213.180.204.44" on port 80.
Internet connection: Connects to "213.180.204.47" on port 80.
Internet connection: Connects to "213.180.204.51" on port 80.
Internet connection: Connects to "213.180.204.61" on port 80.
Internet connection: Connects to "213.180.204.63" on port 80.
Internet connection: Connects to "213.180.204.90" on port 80.
Internet connection: Connects to "213.180.204.91" on port 80.
Internet connection: Connects to "213.186.116.18" on port 80.
Internet connection: Connects to "213.186.117.133" on port 80.
Internet connection: Connects to "217.69.134.121" on port 80.
Internet connection: Connects to "217.73.200.219" on port 80.
Internet connection: Connects to "67.215.66.132" on port 80.
Internet connection: Connects to "74.125.87.99" on port 80.
Internet connection: Connects to "77.88.48.229" on port 80.
Internet connection: Connects to "87.242.88.122" on port 80.
Internet connection: Connects to "87.242.88.125" on port 80.
Internet connection: Connects to "88.212.196.101" on port 80.
Internet connection: Connects to "92.53.112.124" on port 80.
Internet connection: Connects to "92.53.113.245" on port 80.
Internet connection: Connects to "92.53.113.61" on port 80.
Internet connection: Connects to "ab.goodsblock.dt00.net" on port 80.
Internet connection: Connects to "ae.goodsblock.dt00.net" on port 80.
Internet connection: Connects to "art-planet.net" on port 80.
Internet connection: Connects to "awaps.yandex.ua" on port 80.
Internet connection: Connects to "counter.yadro.ru" on port 80.
Internet connection: Connects to "d7.cf.bb.a1.top.mail.ru" on port 80.
Internet connection: Connects to "exebit.net" on port 80.
Internet connection: Connects to "img.yandex.net" on port 80.
Internet connection: Connects to "img3-fotki.yandex.net" on port 80.
Internet connection: Connects to "imgg.dt00.net" on port 80.
Internet connection: Connects to "kiks.yandex.ru" on port 80.
Internet connection: Connects to "mc.yandex.ru" on port 80.
Internet connection: Connects to "mg.dt00.net" on port 80.
Internet connection: Connects to "p82873.adskape.ru" on port 80.
Internet connection: Connects to "passport.yandex.ru" on port 80.
Internet connection: Connects to "sbornik-mp3.ru" on port 80.
Internet connection: Connects to "softmagnit.ru" on port 80.
Internet connection: Connects to "suggest.yandex.ua" on port 80.
Internet connection: Connects to "www.karbrrbrr.co.cc" on port 80.
Internet connection: Connects to "www.tns-counter.ru" on port 80.
Internet connection: Connects to "www.yandex.ru" on port 80.
Internet connection: Connects to "yabs.yandex.ua" on port 80.
Internet connection: Connects to "yandex.st" on port 80.
Internet connection: Connects to "yandexgaua.hit.gemius.pl" on port 80.[/more]

gjf
удивительно, но сейчас скрипт выполнился, хотя до этого, пробовал раз 5:
http://rghost.ru/4516705

Trex
Это Вы сделали?

Цитата:

Опасно - отладчик процесса "skypePM.exe" = "rundll32.exe"

Цитата:

>> Заблокирован элемент Выполнить в меню Пуск

gjf
я убрал skypePM.exe из автозапуска и стер сам файл, ибо оно мне не надо, а скайп без него отлично работает.

Trex
В остальном всё чисто.

gjf
Спасибо за проверку !
но что же это за файл, как он попадает на комп и если он что-то передает с компа или наооборот скачивает на комп, почему ни один антивирус не ругается на него ?

Trex
Понятия не имею, возможно что-то новое
Если это вирус - его добавят в базы.

gjf
этому "новому" скоро год будет . Если есть выход на Касперского, нельзя их попросить, чтобы тихонечко добавили в свою базу, чтобы оно без спросу не лезло на комп и не прописывало себя в автозапуск ?

Trex
Уже попросил Проанализируют и в случае подтверждения вредоносности - добавят.