» Помощь при лечении компьютера от вирусов

VETER82
В Вашем случае - нет.

Переустановил систему. Установил Оутпост - http://savepic.ru/3143267.png видна активность, но не знаю как побороть
Отключил службу обнаружения SSDP (Simple Service Discovery Protocol), не помогло.

VETER82
Чего Вы решили что это - вредоносная активность?

Мой предыдущий пост был верный, ответа не последовало!!!!

elvin04
Прошу прощения. В Ваших логах ничего вредоносного не обнаружено.

gjf
Благодарю.

Здрвствуйте, поймал такой вот блокиратор.

Посмотрел AntiWinLocker'ом, в автозагруке сидел на раб. столе,.. скрыл,.. перезагрузился. С экрана исчез.
Проверил Dr. Web CureIt'ом, нашёл 2 штуки, удлил.

Логи:
virusinfo_syscure.zip
log.txt
info.txt

Alex_Caspersky
Сейчас в логах всё чисто.

gjf
Большое спасибо!

Вот моя проблема: http://forum.ru-board.com/topic.cgi?forum=5&bm=1&topic=35152&start=3580

чего тока не испробовал......
в отчаянии....

ХЭЛП!

Cancer to Shanghai

1. Скопировать на флешку файлы userinit.exe и taskmgr.exe (чистые с дистрибутива или скопировать с системы, аналогичной заблокированной)
2. Загрузиться с Live CD
3. Удалить файлы: C:\documents and settings\all users\application data\22cc6c32.exe, userinit.exe и taskmgr.exe (в папках system32 и system32\dllcache)
4. Скопировать c флешки файлы userinit.exe и taskmgr.exe в C:\WINDOWS\system32
5. Исправляете параметры: shell, где должно быть указано explorer.exe и userinit, где должно быть указано C:\WINDOWS\system32\userinit.exe, (включая запятую!).

Пробуете стартовать в проблемной системе

скажите,если вирус не дает открыть ни одну программу-ни один файл.
как открыть антиврус и проверить?

видмо вирус svchost

qweik
1. Воспользоваться другим профилем (пользователем);
2. Загрузиться с CD/DVD/USB;
3. Подключить заражённый жесткий диск к другому ПК.

qweik

Цитата:

видмо вирус svchost

svchost.exe - не вирус, но он может быть заражён.

Цитата:

скажите,если вирус не дает открыть ни одну программу-ни один файл.

Загрузиться с CD/DVD или с флэшки и использовать "мобильные" антивирусные утилиты (которым не требуется предварительная установка), другой вариант - подключить винт к другому компу, на котором имеется антивирусная программа.

Цитата:

1. Воспользоваться другим профилем (пользователем);

на компе у меня один пользователь. Как зайти под другим пользователем?


Цитата:

2. Загрузиться с CD/DVD/USB;

нельзя открыть - Мой компьютер, ни файлы и соответственно ни флешку, ни диски.



Цитата:

3. Подключить заражённый жесткий диск к другому ПК.

только один комп. у меня.

qweik

Цитата:

нельзя открыть - Мой компьютер, ни файлы и соответственно ни флешку, ни диски.

В смысле "нельзя открыть"? Подготовьте CD/DVD-диск или флэшку на другом компьютере.

Цитата:

только один комп. у меня.

У знакомых, на работе и т. д.

Цитата:

Подготовьте CD/DVD-диск или флэшку на другом компьютере.

подготовил - втсавляю в комп, пытаюсь открыть флешку через "Мой компютер", но "Мой компьютер" не открывается. Файлы, которые у меня на компьютере также не открываются.

qweik
Цитата:

на компе у меня один пользователь. Как зайти под другим пользователем?

Никак.
Попробуйте загрузиться в безопасном режиме (Safe mode) и создать пользователя. Можно попробовать переименовать текущего пользователя. После загрузки операционная система должна будет предложить создать нового пользователя.

Цитата:

Попробуйте загрузиться в безопасном режиме (Safe mode) и создать пользователя

т.е. один из способов - это загрузиться в безопасном режиме, затем создать нового пользователя, потом вставить флешку с антивирусом и все просканировать.

правильно понимаю?


вопрос - как загрузиться в безопасном режиме?

qweik

Цитата:

пытаюсь открыть флешку через "Мой компютер", но "Мой компьютер" не открывается

Видимо, я не достаточно точно объяснил. Подразумевалось: "загрузочные" CD/DVD-диск или флэшка. Загрузившись с которых можно проверить комп на вирусы и получить доступ к файловой системе.

Добавлено:

Цитата:

вопрос - как загрузиться в безопасном режиме?

При загрузке удерживайте клавишу <F8>, появится меню, где и можно выбрать данный пункт.

Немного добавлю.

Цитата:

Подразумевалось: "загрузочные" CD/DVD-диск или флэшка

При этом нужно в БИОСЕ выставить соответствующий порядок загрузки, или при загрузке жать какую-то F (на разных компах бывают разные. Встречал F11, F10, F2), т. е. что-бы "подхватилась" соотв. внешняя загрузка, а не с винта.

qweik
Имхо, Вам следует попросить помощи у друзей/коллег/родственников, живущих поблизости. Без обид.

Цитата:

вопрос - как загрузиться в безопасном режиме?

Скорее всего уже это невозможно. "Приличные" вирусы блокируют загрузку в безопасном режиме, попробовать, конечно, можно.
Судя по вопросам, reff вам посоветовал прямо в точку. Самый простой способ скачать Dr.Web® LiveCD и на заведомо чистом компе записать на CD. Или аналогичную Kaspersky Rescue Disk. На CD по крайней мере вирус сам не запишется как на флешку (впрочем, на флешку типа SD с защитой от записи тоже)

Добрый день.
На компьюторе (WinXP SP3, DrWeb Antivirus) несколько раз ловили банеры. Все это решалось путем загрузки с ЛайвСиДи и подменой, если надо userinit.exe & taskmgr.exe. Далее проводилось сканирование CureIT, AVPTool, AVZ. Однако есть предположение. что что-то осталось. В последнее время машина сильно тормозит.

Логи:
virusinfo_syscure.zip
log.txt
info.txt

Заранее спасибо.

champa
- Выполните скрипт:

Код: begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
ExecuteStdScr(5); {обновление баз AVZ с автоматической настройкой}
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DelCLSID('88888888-8888-8888-8888-888888888888');
DeleteFile('C:\WINDOWS\TEMP\JuW5u5wp.sys');
BC_ImportAll;
ExecuteSysClean;
SetAVZPMStatus(true);
BC_Activate;
RebootWindows(true);
end.

Спасибо. Выполнив скрипт, при перезагрузке поругался на svhost.exe.

Логи:
virusinfo_syscure.zip
log.txt
info.txt

champa
В RSIT исправьте эту строку:

Код: F2 - REG:system.ini: UserInit=c:\windows\system32\userinit.exe

gjf

Цитата:

В RSIT исправьте эту строку:

Код: F2 - REG:system.ini: UserInit=c:\windows\system32\userinit.exe

Не понял как это "скушать", но в реестре стоит правильно.

Ругается на
Цитата:

svchost.exe

. Окно вылетает с ошибкой приложения.


Цитата:

Проблема осталась

По прежнему есть подвисания системы. Сейчас удалил ДрВэб = посмотрим как поработает.

champa
Копнём глубже. Сделайте лог с помощью GMER.
gmer.log

Свежеустановленная англ. Win7 Enterprise SP1 amd64 + Vmware Tools

Нормально ли, что AVZ выдаёт красную ругань?


Цитата:

Анализ user32.dll, таблица экспорта найдена в секции .text
Функция user32.dll:DefDlgProcA (1657) перехвачена, метод ProcAddressHijack.GetProcAddress ->75875F5A->7743AA9D
Функция user32.dll:DefDlgProcW (1658) перехвачена, метод ProcAddressHijack.GetProcAddress ->75875F75->77424100
Функция user32.dll:DefWindowProcA (1664) перехвачена, метод ProcAddressHijack.GetProcAddress ->75875F90->774024E0
Функция user32.dll:DefWindowProcW (1665) перехвачена, метод ProcAddressHijack.GetProcAddress ->75875FAB->773F25DD

.....
1.2 Поиск перехватчиков API, работающих в KernelMode
Ошибка загрузки драйвера - проверка прервана [C000036B]
1.4 Поиск маскировки процессов и драйверов
Проверка не производится, так как не установлен драйвер мониторинга AVZPM
1.5 Проверка обработчиков IRP
Ошибка загрузки драйвера - проверка прервана [C000036B]

Это после обновления баз avz. До обновления ругани много больше (типа были перехвачены куча функций advapi32.dll и netapi32.dll).