В работе - Вирус, помогите отпределить что это

Тема в разделе "Раздел по борьбе с вирусами", создана пользователем Xammep, 14 окт 2011.

  1. Xammep

    Xammep Newbie

    Проблема вся в том, что компьютер не мой и могут возникнуть сложности со сканированием и другим.
    Всё началось, что принесли заражённую флешку, после её подключения выскакивала ошибка:
    Exeption Processing Massage c0000013 Parameters 75b3bf7c 4 75b3bf7c 75b3bf7c​
    Пытался найти в интернете, нашёл описание решения проблемы через редактор регистра, но выяснилось, что ни редактор регистра, ни диспечер задач запрещены администратором, пыиался настроить диспечер через групповую политику, ничего не вышло. Так же вирус блокирует антивирусы и AVZ, логи удалось получить только от HiJackThis: (http://webfile.ru/5603730)
    Помогите пожалуйста!
     
    Xammep, 14 окт 2011
    #1
  2. Nod

    Nod Moderator

    Nod, 14 окт 2011
    #2
  3. Nod

    Nod Moderator

    Доброе время суток!

    1. Скачайте ATF Cleaner, запустите, поставьте галочку напротив Select All и нажмите Empty Selected.
    - если вы используете Firefox, нажмите Firefox - Select All - Empty Selected
    - нажмите No, если вы хотите оставить ваши сохраненные пароли
    - если вы используете Opera, нажмите Opera - Select All - Empty Selected
    - нажмите No, если вы хотите оставить ваши сохраненные пароли

    2. Выполните скрипт в AVZ (Запустите AVZ, Меню - Файл - Выполнить скрипт -- в открывшееся окно вставляем -- ниже написанный скрипт -- и нажимаем - Запустить.)
    Код:
    begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 ClearHostsFile;
 DeleteFile('C:\WINDOWS\system32\WinSit.exe');
 DeleteFile('C:\WINDOWS\inf\Other.exe');
 DeleteFile('C:\WINDOWS\system32\config\Win.exe');
 DeleteFile('C:\WINDOWS\SVIQ.EXE');
 DeleteFile('C:\WINDOWS\system\Fun.exe');
 DeleteFile('C:\WINDOWS\dc.exe');
 RegKeyStrParamWrite('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\', 'Shell', 'Explorer.exe');
BC_ImportAll;
 ExecuteSysClean;
BC_Activate;
 ExecuteWizard('TSW',2,3,true);
RebootWindows(true);
end.
    после выполнения скрипта компьютер перезагрузится.

    4. Пофиксите в HijackThis следующие строчки:

    Внимание: некоторые строки могут отсутствовать, это нормально, просто сообщите какие не нашли при фиксе.

    Код:
    F2 - REG:system.ini: Shell=Explorer.exe C:\WINDOWS\system32\WinSit.exe
F3 - REG:win.ini: load=C:\WINDOWS\inf\Other.exe
F3 - REG:win.ini: run=C:\WINDOWS\system32\config\Win.exe
O2 - BHO:  Спутник@Mail.Ru  - {8984B388-A5BB-4DF7-B274-77B879E179DB} - (no file)
O4 - HKLM\..\Run: [UIUCU] C:\DOCUME~1\9335~1\LOCALS~1\Temp\UIUCU.EXE -CLEAN_UP -S
O4 - HKCU\..\Run: [Internet Security Service] C:\RECYCLER\S-1-5-21-1482476501-1644491937-682003330-1013\isew32.exe
O4 - HKCU\..\Run: [ju7bd] C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-2734\ju7bd.exe
O4 - HKCU\..\Run: [Fnfx] C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-6883\dfe.exe
O4 - HKCU\..\Run: [dc2k5] C:\WINDOWS\SVIQ.EXE
O4 - HKCU\..\Run: [Fun] C:\WINDOWS\system\Fun.exe
O4 - HKCU\..\Run: [dc] C:\WINDOWS\dc.exe
O7 - HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System, DisableRegedit=1
O24 - Desktop Component 0: (no name) - file:///C:/DOCUME~1/9335~1/LOCALS~1/Temp/msohtml1/01/clip_image001.gif
    5. Cделайте лог MBAM и дайте ссылку на файл лога.

    После выполнения всех пунктов (1 по 5) проверьте, остался ли вирус? Если да, выполните следующее:
     
    Nod, 14 окт 2011
    #3
  4. Xammep

    Xammep Newbie

    Спасибо! При первой возможности сделаю всё что нужно
    Вообще, что это может быть??
     
    Xammep, 14 окт 2011
    #4
  5. Nod

    Nod Moderator

    Вирус Авторан.
     
    Nod, 14 окт 2011
    #5
  6. Xammep

    Xammep Newbie

    Xammep, 19 окт 2011
    #6
  7. Xammep

    Xammep Newbie

    При фиксе HijackThis не нашёл строки:
    Код:
    F2 - REG:system.ini: Shell=Explorer.exe C:\WINDOWS\system32\WinSit.exe
F3 - REG:win.ini: load=C:\WINDOWS\inf\Other.exe
F3 - REG:win.ini: run=C:\WINDOWS\system32\config\Win.exe
O4 - HKCU\..\Run: [Fun] C:\WINDOWS\system\Fun.exe
O4 - HKCU\..\Run: [dc] C:\WINDOWS\dc.exe
    лог MBAM: http://webfile.ru/5613878

    Редактор реестра открывается, диспечер задач работает, но проблема до конца не решена, антивирусные программы так и не запускаются, утилиты (AVZ и HiJackThis) запускаются только при повторном скачивании, после закрытия не получается вновь открыть ту или иную утилиту.

    По ссылке: http://devbuilds.kaspersky-labs.com/devbuilds/AVPTool/ перейти не удаётся, вероятно включена блокировка, т.к. ни на один антивирусный сайт зайти не получается
     
    Xammep, 19 окт 2011
    #7
  8. oleg

    oleg Expert Вирусоборец

    Выполните скрипт в AVZ (Запустите AVZ, Меню - Файл - Выполнить скрипт -- в открывшееся окно вставляем -- ниже написанный скрипт -- и нажимаем - Запустить.)
    Код:
    begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 ClearHostsFile;
 TerminateProcessByName('c:\windows\sviq.exe');
 TerminateProcessByName('c:\windows\dc.exe');
 TerminateProcessByName('c:\windows\system\fun.exe');
 TerminateProcessByName('c:\windows\temp\cxki.exe');
 TerminateProcessByName('c:\docume~1\9335~1\locals~1\temp\winjdavad.exe');
 TerminateProcessByName('c:\docume~1\9335~1\locals~1\temp\winulop.exe');
 TerminateProcessByName('c:\docume~1\9335~1\locals~1\temp\uqes.exe');
 StopService('amsint32');
 StopService('ose');
 DeleteFile('c:\windows\temp\cxki.exe');
 DeleteFile('c:\program files\eset\eset nod32 antivirus\ekrn.exe');
 DeleteFile('c:\windows\temp\gveaxk.exe');
 DeleteFile('c:\docume~1\9335~1\locals~1\temp\uqes.exe');
 DeleteFile('c:\docume~1\9335~1\locals~1\temp\winjdavad.exe');
 DeleteFile('c:\docume~1\9335~1\locals~1\temp\winulop.exe');
 DeleteFile('C:\WINDOWS\system32\drivers\enjjm.sys');
 DeleteFile('C:\Program Files\Common Files\Microsoft Shared\Source Engine\OSE.EXE');
 DeleteFile('C:\DOCUME~1\9335~1\LOCALS~1\Temp\UIUCU.EXE');
 DeleteFile('C:\PROGRA~1\COMMON~1\MICROS~1\DW\DW20.EXE');
 DeleteFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-2734\ju7bd.exe');
 DeleteFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-6883\dfe.exe');
 DeleteFile('C:\RECYCLER\S-1-5-21-1482476501-1644491937-682003330-1013\isew32.exe');
 DeleteFile('C:\RECYCLER\S-1-5-21-9542081700-7252562547-413484855-6228\wingn.exe');
 DeleteFile('C:\RECYCLER\S-1-5-21-9542081700-7252562547-413484855-6228\wingn.exe,C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-6883\dfe.exe,C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-2734\ju7bd.exe,explorer.exe,C:\Documents and Settings\Администратор\fxmdk.exe');
 DeleteFile('C:\WINDOWS\ALCMTR.EXE');
 DeleteFile('C:\WINDOWS\dc.exe');
 DeleteFile('C:\WINDOWS\system32\MsSip1.dll');
 DeleteFile('C:\Program Files\Messenger\msmsgs.exe');
 DeleteFile('C:\Documents and Settings\Администратор\DoctorWeb\Quarantine\49999999.exe');
 DeleteFile('C:\Documents and Settings\Администратор\DoctorWeb\Quarantine\89999999.exe');
 DeleteFile('C:\Documents and Settings\Администратор\DoctorWeb\Quarantine\l1999999.exe');
 DeleteFile('C:\Documents and Settings\Администратор\DoctorWeb\Quarantine\l6999999.exe');
 DeleteFile('C:\Documents and Settings\Администратор\DoctorWeb\Quarantine\l7999999.exe');
 DeleteFile('C:\Documents and Settings\Администратор\DoctorWeb\Quarantine\l9999999.exe');
 DeleteFile('C:\Documents and Settings\Администратор\DoctorWeb\Quarantine\lj699999.exe');
 DeleteFile('C:\Documents and Settings\Администратор\DoctorWeb\Quarantine\lj999999.exe');
 DeleteFile('C:\Documents and Settings\Администратор\DoctorWeb\Quarantine\lju29999.exe');
 DeleteFile('C:\Documents and Settings\Администратор\DoctorWeb\Quarantine\lju39999.exe');
 DeleteFile('C:\Documents and Settings\Администратор\DoctorWeb\Quarantine\lju79999.exe');
 DeleteFile('C:\Documents and Settings\Администратор\DoctorWeb\Quarantine\ljud0999.exe');
 DeleteFile('C:\Documents and Settings\Администратор\DoctorWeb\Quarantine\ljud5999.exe');
 DeleteFile('C:\Documents and Settings\Администратор\DoctorWeb\Quarantine\ljudim89.exe');
 DeleteFile('C:\Documents and Settings\Администратор\DoctorWeb\Quarantine\ljudima.exe');
 DeleteFile('C:\Documents and Settings\Администратор\DoctorWeb\Quarantine\ljudima5.exe');
 DeleteFile('C:\Documents and Settings\Администратор\DoctorWeb\Quarantine\ljudima8.exe');
 DeleteFile('C:\System Volume Information\_restore{CF6CABFF-12BE-428C-A6D9-6E8771A84C90}\RP53\A0008244.exe');
 DeleteFile('C:\System Volume Information\_restore{CF6CABFF-12BE-428C-A6D9-6E8771A84C90}\RP53\A0008288.exe');
 DeleteFile('C:\System Volume Information\_restore{CF6CABFF-12BE-428C-A6D9-6E8771A84C90}\RP53\A0008304.exe');
 DeleteFile('C:\System Volume Information\_restore{CF6CABFF-12BE-428C-A6D9-6E8771A84C90}\RP53\A0008329.exe');
 DeleteFile('C:\System Volume Information\_restore{CF6CABFF-12BE-428C-A6D9-6E8771A84C90}\RP53\A0008334.exe');
 DeleteFile('C:\System Volume Information\_restore{CF6CABFF-12BE-428C-A6D9-6E8771A84C90}\RP53\A0008335.exe');
 DeleteFile('C:\System Volume Information\_restore{CF6CABFF-12BE-428C-A6D9-6E8771A84C90}\RP53\A0008337.exe');
 DeleteFile('C:\System Volume Information\_restore{CF6CABFF-12BE-428C-A6D9-6E8771A84C90}\RP53\A0008344.exe');
 DeleteFile('C:\System Volume Information\_restore{CF6CABFF-12BE-428C-A6D9-6E8771A84C90}\RP53\A0008347.exe');
 DeleteFile('C:\System Volume Information\_restore{CF6CABFF-12BE-428C-A6D9-6E8771A84C90}\RP53\A0008350.exe');
 DeleteFile('C:\System Volume Information\_restore{CF6CABFF-12BE-428C-A6D9-6E8771A84C90}\RP53\A0008351.exe');
 DeleteFile('C:\System Volume Information\_restore{CF6CABFF-12BE-428C-A6D9-6E8771A84C90}\RP53\A0008355.exe');
 DeleteFile('C:\System Volume Information\_restore{CF6CABFF-12BE-428C-A6D9-6E8771A84C90}\RP53\A0008358.exe');
 DeleteFile('C:\System Volume Information\_restore{CF6CABFF-12BE-428C-A6D9-6E8771A84C90}\RP53\A0008363.exe');
 DeleteFile('C:\System Volume Information\_restore{CF6CABFF-12BE-428C-A6D9-6E8771A84C90}\RP53\A0008386.exe');
 DeleteFile('C:\System Volume Information\_restore{CF6CABFF-12BE-428C-A6D9-6E8771A84C90}\RP53\A0008388.exe');
 DeleteFile('C:\System Volume Information\_restore{CF6CABFF-12BE-428C-A6D9-6E8771A84C90}\RP53\A0008394.exe');
 DeleteFile('C:\System Volume Information\_restore{CF6CABFF-12BE-428C-A6D9-6E8771A84C90}\RP53\A0008397.exe');
 DeleteFile('C:\System Volume Information\_restore{CF6CABFF-12BE-428C-A6D9-6E8771A84C90}\RP53\A0008411.exe');
 DeleteFile('C:\System Volume Information\_restore{CF6CABFF-12BE-428C-A6D9-6E8771A84C90}\RP53\A0008677.exe');
 DeleteFile('C:\System Volume Information\_restore{CF6CABFF-12BE-428C-A6D9-6E8771A84C90}\RP53\A0008693.exe');
 DeleteFile('C:\System Volume Information\_restore{CF6CABFF-12BE-428C-A6D9-6E8771A84C90}\RP53\A0008718.exe');
 DeleteFile('C:\System Volume Information\_restore{CF6CABFF-12BE-428C-A6D9-6E8771A84C90}\RP53\A0008723.exe');
 DeleteFile('C:\System Volume Information\_restore{CF6CABFF-12BE-428C-A6D9-6E8771A84C90}\RP53\A0008724.exe');
 DeleteFile('C:\System Volume Information\_restore{CF6CABFF-12BE-428C-A6D9-6E8771A84C90}\RP53\A0008726.exe');
 DeleteFile('C:\System Volume Information\_restore{CF6CABFF-12BE-428C-A6D9-6E8771A84C90}\RP53\A0008733.exe');
 DeleteFile('C:\System Volume Information\_restore{CF6CABFF-12BE-428C-A6D9-6E8771A84C90}\RP53\A0008736.exe');
 DeleteFile('C:\System Volume Information\_restore{CF6CABFF-12BE-428C-A6D9-6E8771A84C90}\RP53\A0008739.exe');
 DeleteFile('C:\System Volume Information\_restore{CF6CABFF-12BE-428C-A6D9-6E8771A84C90}\RP53\A0008740.exe');
 DeleteFile('C:\System Volume Information\_restore{CF6CABFF-12BE-428C-A6D9-6E8771A84C90}\RP53\A0008744.exe');
 DeleteFile('C:\System Volume Information\_restore{CF6CABFF-12BE-428C-A6D9-6E8771A84C90}\RP53\A0008747.exe');
 DeleteFile('C:\System Volume Information\_restore{CF6CABFF-12BE-428C-A6D9-6E8771A84C90}\RP53\A0008752.exe');
 DeleteFile('C:\System Volume Information\_restore{CF6CABFF-12BE-428C-A6D9-6E8771A84C90}\RP53\A0008775.exe');
 DeleteFile('C:\System Volume Information\_restore{CF6CABFF-12BE-428C-A6D9-6E8771A84C90}\RP53\A0008777.exe');
 DeleteFile('C:\System Volume Information\_restore{CF6CABFF-12BE-428C-A6D9-6E8771A84C90}\RP53\A0008783.exe');
 DeleteFile('C:\System Volume Information\_restore{CF6CABFF-12BE-428C-A6D9-6E8771A84C90}\RP53\A0008786.exe');
 DeleteFile('C:\System Volume Information\_restore{CF6CABFF-12BE-428C-A6D9-6E8771A84C90}\RP53\A0008800.exe');
 DeleteFile('C:\System Volume Information\_restore{CF6CABFF-12BE-428C-A6D9-6E8771A84C90}\RP53\A0008875.exe');
 DeleteFile('C:\System Volume Information\_restore{CF6CABFF-12BE-428C-A6D9-6E8771A84C90}\RP53\A0009037.exe');
 DeleteFile('C:\System Volume Information\_restore{CF6CABFF-12BE-428C-A6D9-6E8771A84C90}\RP53\A0009053.exe');
 DeleteFile('C:\System Volume Information\_restore{CF6CABFF-12BE-428C-A6D9-6E8771A84C90}\RP53\A0009078.exe');
 DeleteFile('C:\System Volume Information\_restore{CF6CABFF-12BE-428C-A6D9-6E8771A84C90}\RP53\A0009083.exe');
 DeleteFile('C:\System Volume Information\_restore{CF6CABFF-12BE-428C-A6D9-6E8771A84C90}\RP55\A0016372.exe');
 DeleteFile('C:\autorun.inf');
 DeleteFile('C:\System Volume Information\_restore{CF6CABFF-12BE-428C-A6D9-6E8771A84C90}\RP56\A0017631.exe');
 DeleteFile('C:\klgqo.exe');
 DeleteFile('C:\WINDOWS\system32\config\win.exe');
 DeleteFile('C:\WINDOWS\system32\winsit.exe');
 DeleteFile('C:\WINDOWS\inf\other.exe');
 DeleteFile('C:\WINDOWS\sviq.exe');
 DeleteFile('C:\WINDOWS\system\fun.exe');
 DeleteService('amsint32');
 DeleteService('ose');
 RegKeyStrParamWrite('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\', 'Shell', 'Explorer.exe');
BC_ImportAll;
 ExecuteSysClean;
BC_Activate;
 ExecuteWizard('TSW',2,3,true);
RebootWindows(true);
end.
    после выполнения скрипта компьютер перезагрузится.

    Сделайте новые логи AVZ!
     
    oleg, 19 окт 2011
    #8

Поделиться этой страницей