В работе - Вирус fixhosts.exe помогите

Тема в разделе "Раздел по борьбе с вирусами", создана пользователем Ghost888, 11 окт 2011.

  1. Ghost888

    Ghost888 Newbie

    Ghost888, 11 окт 2011
    #1
  2. oleg

    oleg Expert Вирусоборец

    1. Отключите антивирус/фаервол, интернет.

    2. Скачайте ATF Cleaner, запустите, поставьте галочку напротив Select All и нажмите Empty Selected.
    - если вы используете Firefox, нажмите Firefox - Select All - Empty Selected
    - нажмите No, если вы хотите оставить ваши сохраненные пароли
    - если вы используете Opera, нажмите Opera - Select All - Empty Selected
    - нажмите No, если вы хотите оставить ваши сохраненные пароли

    3. Выполните скрипт в AVZ (Запустите AVZ, Меню - Файл - Выполнить скрипт -- в открывшееся окно вставляем -- ниже написанный скрипт -- и нажимаем - Запустить.)
    Код:
    begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 ClearHostsFile;
 TerminateProcessByName('c:\windows\vid_11ff&pid_3340\watchdevice.exe');
 TerminateProcessByName('c:\documents and settings\2245\application data\lsass.exe');
 StopService('XDva388');
 StopService('XDva386');
 StopService('XDva385');
 StopService('XDva384');
 StopService('XDva383');
 StopService('XDva380');
 StopService('XDva379');
 StopService('XDva377');
 StopService('XDva372');
 StopService('XDva370');
 StopService('XDva359');
 StopService('XDva349');
 DeleteFile('C:\DOCUME~1\ALLUSE~1\APPLIC~1\VKSaver\vksaver3.dll');
 DeleteFile('C:\WINDOWS\system32\XDva349.sys');
 DeleteFile('C:\WINDOWS\system32\XDva359.sys');
 DeleteFile('C:\WINDOWS\system32\XDva370.sys');
 DeleteFile('C:\WINDOWS\system32\XDva372.sys');
 DeleteFile('C:\WINDOWS\system32\XDva377.sys');
 DeleteFile('C:\WINDOWS\system32\XDva379.sys');
 DeleteFile('C:\WINDOWS\system32\XDva380.sys');
 DeleteFile('C:\WINDOWS\system32\XDva383.sys');
 DeleteFile('C:\WINDOWS\system32\XDva384.sys');
 DeleteFile('C:\WINDOWS\system32\XDva385.sys');
 DeleteFile('C:\WINDOWS\system32\XDva386.sys');
 DeleteFile('C:\WINDOWS\system32\XDva388.sys');
 DeleteFile('C:\Documents and Settings\2245\Application Data\Lqsqsb.exe');
 DeleteFile('C:\Documents and Settings\2245\Application Data\lsass.exe');
 DeleteFile('C:\Documents and Settings\2245\Application Data\txosjn.exe');
 DeleteFile('C:\WINDOWS\VID_11FF&PID_3340\WatchDevice.exe');
 DeleteFile('C:\WINDOWS\system32\H@tKeysH@@k.DLL');
 DeleteService('XDva388');
 DeleteService('XDva386');
 DeleteService('XDva385');
 DeleteService('XDva384');
 DeleteService('XDva383');
 DeleteService('XDva380');
 DeleteService('XDva379');
 DeleteService('XDva377');
 DeleteService('XDva372');
 DeleteService('XDva370');
 DeleteService('XDva359');
 DeleteService('XDva349');
 RegKeyStrParamWrite('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Windows  NT\CurrentVersion\Winlogon\', 'Userinit', GetEnvironmentVariable  ('WinDir')+'\System32\userinit.exe,');
BC_ImportAll;
 ExecuteSysClean;
BC_Activate;
 ExecuteWizard('TSW',2,3,true);
RebootWindows(true);
end.
    после выполнения скрипта компьютер перезагрузится.

    ВНИМАНИЕ! Если при попытке выполнить скрипт AVZ зависает выполните следующее:

    1. Скопируйте лечебный скрипт из пункта 3 в блокнот и сохраните как C:\script.txt
    Внимание: файл должен называться именно так и не как больше, и лежать он должен в корне диска C.
    2. Перенесите папку avz4 в корень диска C:\, таким образом, чтобы путь к файлу avz.exe был таким: C:\avz4\avz.exe
    3. Скачайте файл RunAVZScript.vbs и поместите его в корне диска C:\, путь до него должен быть такой С:\RunAVZScript.vbs

    После чего запустите файл С:\RunAVZScript.vbs, рабочий стол пропадет и будет выполнен скрипт автоматически, после чего компьютер должен сам перезагрузиться.
    -------------------------------------------

    После, выполните пункты 4,5,6.

    4. Пофиксите в HijackThis следующие строчки:

    Внимание: некоторые строки могут отсутствовать, это нормально, просто сообщите какие не нашли при фиксе.

    Код:
    F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,C:\Documents and Settings\2245\Application Data\lsass.exe
O4 - HKCU\..\Run: [Lqsqsb] C:\Documents and Settings\2245\Application Data\Lqsqsb.exe
O20 - AppInit_DLLs: C:\DOCUME~1\ALLUSE~1\APPLIC~1\VKSaver\vksaver3.dll
    5. Сделайте новые логи AVZ и HijackThis

    6. Cделайте лог MBAM и дайте ссылку на файл лога.

    После выполнения всех пунктов (1 по 6) проверьте, остался ли вирус? Если да, выполните следующее:
     
    oleg, 12 окт 2011
    #2
  3. Ghost888

    Ghost888 Newbie

    я хотел профиксить в хиджастикс но не нащёл там ни одной строчки !
    Это нормально ?
     
    Ghost888, 12 окт 2011
    #3
  4. oleg

    oleg Expert Вирусоборец

    сообщите, решена ли проблема? и где лог MBAM ?
     
    oleg, 12 окт 2011
    #4

Поделиться этой страницей