Решена - Вирус с mamixikusah.eu

Тема в разделе "Раздел по борьбе с вирусами", создана пользователем Mikel45, 12 фев 2012.

  1. Mikel45

    Mikel45 Newbie

    http://rghost.ru/36487650 - hijackthis.log
    http://rghost.ru/36487703 -virusinfo_syscure.zip
    uVS не удалось скачать тк вирус блокирует скачку.
    Вирус появился в компьютере недавно около 3 дней назад.
    Он делал так ,что страницы грузились бесконечно и ,чтобы загрузить страницы нужно чистить куки.
    Он был спален как ieplore.exe . Я его удалил,как я был уверен.После перезагрузки появился еще более страшная вещь.Аваст пишет ,что он идет с mamixikusah.eu/login.php.Он делает тоже самое,что и первый бесконечно грузит страницы,но еще стал падать инет каждые 5-7 минут.
     
    Mikel45, 12 фев 2012
    #1
  2. oleg

    oleg Expert Вирусоборец

    Доброе время суток!

    1. Отключите антивирус/файрволл.

    2. Скачайте ATF Cleaner, запустите, поставьте галочку напротив Select All и нажмите Empty Selected.
    - если вы используете Firefox, нажмите Firefox - Select All - Empty Selected
    - нажмите No, если вы хотите оставить ваши сохраненные пароли
    - если вы используете Opera, нажмите Opera - Select All - Empty Selected
    - нажмите No, если вы хотите оставить ваши сохраненные пароли

    3. Выполните скрипт в AVZ (Запустите AVZ, Меню - Файл - Выполнить скрипт -- в открывшееся окно вставляем -- ниже написанный скрипт -- и нажимаем - Запустить.)
    Код:
    begin
ClearHostsFile;
 QuarantineFile('C:\Documents and Settings\Наташа\Главное меню\Программы\Автозагрузка\smskill.vbs','');
 DeleteFile('C:\DOCUME~1\4977~1\LOCALS~1\Temp\PVE280.tmp');
 DeleteFile('C:\Documents and Settings\Наташа\Главное меню\Программы\Автозагрузка\smskill.vbs');
 DeleteFile('C:\WINDOWS\apppatch\hqlsmld.exe');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Winlogon','System');
 RegKeyStrParamWrite('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\', 'Userinit', GetEnvironmentVariable ('WinDir')+'\System32\userinit.exe,');
 RegKeyStrParamWrite('HKLM','SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows', 'AppInit_DLLs', '');
BC_ImportAll;
 ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
    после выполнения скрипта компьютер перезагрузится.

    4. Пофиксите в HijackThis следующие строчки:

    Внимание: некоторые строки могут отсутствовать, это нормально, просто сообщите какие не нашли при фиксе.

    Код:
    F3 - REG:win.ini: load=C:\WINDOWS\apppatch\hqlsmld.exe
F3 - REG:win.ini: run=C:\WINDOWS\apppatch\hqlsmld.exe
O1 - Hosts: п»ї# (C) пїЅпїЅпїЅпїЅпїЅпїЅпїЅпїЅпїЅпїЅ пїЅпїЅпїЅпїЅпїЅпїЅпїЅпїЅпїЅпїЅ (Microsoft Corp.), 1993-1999
O1 - Hosts: 31.184.227.196 mamixikusah.eu
O2 - BHO: (no name) - {3049C3E9-B461-4BC5-8870-4C09146192CA} - (no file)
O2 - BHO: (no name) - {c95a4e8e-816d-4655-8c79-d736da1adb6d} - (no file)
O3 - Toolbar: Ask Toolbar - {D4027C7F-154A-4066-A1AD-4243D8127440} - C:\Program Files\Ask.com\GenericAskToolbar.dll
O4 - HKCU\..\Run: [userinit] C:\WINDOWS\apppatch\hqlsmld.exe
O4 - HKCU\..\RunOnce: [ie_bar] iexplore.exe http://ticno.com/?c=first
O4 - HKCU\..\Policies\Explorer\Run: [run] C:\WINDOWS\apppatch\hqlsmld.exe
O4 - Startup: smskill.vbs
O9 - Extra button: (no name) - {8DAE90AD-4583-4977-9DD4-4360F7A45C74} - (no file)
O18 - Protocol: solores - {8FA1F4E9-444B-48BF-98CD-B8ECA88E6BA5} - (no file)
O20 - Winlogon Notify: !SASWinLogon - C:\Program Files\SUPERAntiSpyware\SASWINLO.DLL
O20 - Winlogon Notify: awtsQJYS - awtsQJYS.dll (file missing)
    5. Сделайте новые логи AVZ.

    6. Cделайте лог MBAM (подробнее) и дайте ссылку на файл лога. *выполнять обязательно!
    Если лог не открылся, нажмите "Показать Результаты", сохраните отчет и дайте на него ссылку.

    После выполнения всех пунктов (1 по 6) проверьте, остался ли вирус?

    если форум оказался полезен вам, пожалуйста, поддержите его работу -
     
    oleg, 12 фев 2012
    #2
  3. Mikel45

    Mikel45 Newbie

    После 3 пункта вирус перестал действовать
    вот строки которых нету
    F3 - REG:win.ini: load=C:\WINDOWS\apppatch\hqlsmld.exe
    F3 - REG:win.ini: run=C:\WINDOWS\apppatch\hqlsmld.exe
    O1 - Hosts: п»ї# (C) пїЅпїЅпїЅпїЅпїЅпїЅпїЅпїЅпїЅпїЅ пїЅпїЅпїЅпїЅпїЅпїЅпїЅпїЅпїЅпїЅ (Microsoft Corp.), 1993-1999
    O1 - Hosts: 31.184.227.196 mamixikusah.eu
    O4 - HKCU\..\Run: [userinit] C:\WINDOWS\apppatch\hqlsmld.exe
    O4 - HKCU\..\RunOnce: [ie_bar] iexplore.exe http://ticno.com/?c=first
    O4 - HKCU\..\Policies\Explorer\Run: [run] C:\WINDOWS\apppatch\hqlsmld.exe
    O4 - Startup: smskill.vbs
    virusinfo_syscure.zip - http://rghost.ru/36489512
    лог Mbab будет наверное позже
     
    Mikel45, 13 фев 2012
    #3
  4. oleg

    oleg Expert Вирусоборец

    Отлично, ждем лог MBAM.
     
    oleg, 13 фев 2012
    #4
  5. Mikel45

    Mikel45 Newbie

    Mikel45, 13 фев 2012
    #5
  6. Angel-iz-Ada

    Angel-iz-Ada Вирусоборец

    Удалите все кроме этого и перезагрузитесь:
    Если проблема решена, то:
    При наличии на ПК доступа в интернет выполните следующий скрипт в AVZ:
    Код:
    begin
 if FileExists(GetAVZDirectory + 'log\avz_log.txt') Then DeleteFile('log\avz_log.txt');
 If DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', GetAVZDirectory +'ScanVuln.txt') Then ExecuteScript('ScanVuln.txt')
 Else ShowMessage('Невозможно загрузить скрипт AVZ для обнаружения наиболее часто используемых уязвимостей!');
 if FileExists(GetAVZDirectory + 'log\avz_log.txt') Then ExecuteFile('notepad.exe', GetAVZDirectory + 'log\avz_log.txt', 1, 0, false);
ExitAVZ;
end.
    После его работы, если будут найдены уязвимости, в блокноте откроется файл avz_log.txt со ссылками на обновления системы и критичных к безопасности программ, которые нужно загрузить и установить. В первую очередь это относится к Java Runtime Environment, Adobe Reader и Adobe Flash Player.

    Если форум оказался полезен вам, пожалуйста, поддержите его работу -
     
    Angel-iz-Ada, 13 фев 2012
    #6

Поделиться этой страницей