[решено] Не открываются сайты антивирусов, заблокирован реестр и диспетчер файлов...

[Anna-Lisovskaya]

Здравствуйте! Заблокированы антивирусы, не могу зайти на официальный сайт майкрософт, вороче вирус! Очень не хочу переустанавливать систему заново.

[Pili]

Anna-Lisovskaya, Здравствуйте.
Предварительно, для предотвращения заражения в ходе лечения, отключите автозапуск со съемных носителей (http://forum.oszone.net/showpost.php?p=825101), включите брандмауэр windows и уберите в исключениях брандмауэра (http://www.microsoft.com/rus/windowsxp/sp2/sp2_wfexeptions.mspx) общий доступ к файлам и принтерам.
Проверьте файлы
C:\WINDOWS\System32\dllhook.dll
C:\Program Files\Messenger\msmsgs.exe
на virustotal.com, результаты сообщите или выложите сылку на рез-т проверки.
Запустите AVZ, далее в меню файл - выполнить скрипт, выделите и скопируйте текст ниже в окно выполнения скрипта AVZ, временно выключите антивирус и другое защитное программное обеспечение (http://www.bleepingcomputer.com/forums/topic114351.html), нажмите кнопку «Запустить».
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
TerminateProcessByName('c:\docume~1\dd46~1\locals~1\temp\winenoj.exe');
SetServiceStart('abp470n5', 4);
QuarantineFile('C:\Documents and Settings\All Users\Application Data\Microsoft\Network\Downloader\qmgr1.dat','');
QuarantineFile('C:\Documents and Settings\All Users\Application Data\Microsoft\Network\Downloader\qmgr0.dat','');
QuarantineFile('C:\Qoobox\Quarantine\C\WINDOWS\system32\drivers\alg.exe.vir','');
QuarantineFile('C:\Program Files\Messenger\msmsgs.exe','');
QuarantineFile('C:\WINDOWS\system32\doxgh.dll','');
QuarantineFile('C:\WINDOWS\system32\drivers\kgojjn.sys','');
QuarantineFile('C:\WINDOWS\System32\dllhook.dll','');
QuarantineFile('C:\DOCUME~1\DD46~1\LOCALS~1\Temp\winenoj.exe','');
QuarantineFile('C:\WINDOWS\system32\DRIVERS\76115407.sys','');
DeleteFile('c:\docume~1\dd46~1\locals~1\temp\winenoj.exe');
DeleteFile('C:\WINDOWS\system32\drivers\kgojjn.sys');
DeleteFile('C:\WINDOWS\system32\doxgh.dll');
DeleteFileMask('%Tmp%', '*.*', true);
DeleteService('abp470n5');
BC_ImportDeletedList;
ExecuteSysClean;
BC_DeleteSvc('abp470n5');
BC_Activate;
ExecuteWizard('TSW', 1, 1, true);
ExecuteWizard('BT', 1, 1, true);
RebootWindows(true);
end.

Компьютер перезагрузится. После перезагрузки выполнить ещё скрипт
begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.
Файл quarantine.zip отправьте в вирлаб VBA (вы вроде этим продуктом пользуетесь), дополнительно можете отправить на newvirus@kaspersky.com (если AVPTool проверяли систему) и на user15802[at]mail.ru

По логам у вас файловый вирус - см. метод лечения системы от файловых вирусов (http://forum.oszone.net/post-780845-7.html) и червь kido - ознакомьтесь с инструкцией (http://forum.kaspersky.com/index.php?showtopic=101154), если утилита kidokiller не поможет, проверьтесь другими утилитами см. здесь (http://forum.oszone.net/post-1014045-21.html) не забудьте установить все обновления, затем сделайте логи по правилам (http://forum.oszone.net/thread-98169.html), в т.ч. лог gmer
Когда проверитесь по рекомендациям выше, очистите временные файлы, удалите предыдущие точки восстановления (см. правила), затем можете повторить логи, на время лечения рекомендую не использовать общие файловые ресурсы.

[Anna-Lisovskaya]

я не могу загрузить ни одну антивирусную программу, они либо не скачиваются, либо не распаковываются. А Vba вообще не реагирует и Nod тоже. Только AVZ как-то прорвалась, но не помогает. Я не могу установить антивиры ни из сети, ни с насителей.

[Severny]

Anna-Lisovskaya,
Скрипт выполнили?

[Pili]

Anna-Lisovskaya, с помощью AVZ бесполезно лечить файловый вирус, но kido скриптом должен удалиться, если брандмауэр включили и скрипт выполнили, то сайты должны открываться.
Скачайте дополнительно приложенную утилиту и проверьте систему.

[Anna-Lisovskaya]

Спасибо за кидо киллера, он немного помог. На сайт майкрософт выхожу, но на антивиры нет. Сделала последний лог. Что мне делать?!!!!!!!!

[thyrex]

По логам у вас файловый вирус - см. метод лечения системы от файловых вирусов (http://forum.oszone.net/post-780845-7.html)
затем сделайте логи по правилам (http://forum.oszone.net/thread-98169.html)
очистите временные файлы, удалите предыдущие точки восстановления (см. правила),
на время лечения рекомендую не использовать общие файловые ресурсы. »
Все почитали? Все выполнили?
Кроме лога gmer никаких других почему-то нет. Пытались как-то лечить файловый вирус? Неужели нет доступа к какому-нибудь компьютеру, с которого можно попасть на сайты антивирусов?

[Anna-Lisovskaya]

Я пыталась установить с другого компьютера NOD32, но он не работает, нет реакции, и до конца не удаляется, пишет, что не разрешено администратором. А другие антивирусные программы с насителей не устанавливаются! И утилиты скачать не могу, на сайты с лечениями не заходит.

[thyrex]

Где новые логи AVZ и HiJack?

[Pili]

Anna-Lisovskaya, Вы так и не ответили, выполняли ли скрипт и карантин от вас не пришел.
Запустите gmer, нажмите справа от вкладки Rootkit/Malware клавишу >>> выберите вкладку Files. Появится аналог проводника. Найдите файл
C:\WINDOWS\system32\drivers\kgojjn.sys
Нажмите Copy и скопируйте файл в отдельную папку, например C:\virus, далее нажмите Deletе для удаления файла и подтвердите удаление.
Перед установкуой любого другого антивируса удалите VBA32. Вероятно другой компьютер у вас тоже заражен файловым вирусом. Пробовали загружаться с CD и запускать _start.exe от cureit? Dr.Web LiveCD (http://www.freedrweb.com/livecd/), KAV RescueDisk (http://downloads.kaspersky-labs.com/devbuilds/RescueDisk/kav_rescue_2008.iso) пробовали использовать? Почитайте внимательно метод лечения системы от файловых вирусов (http://forum.oszone.net/post-780845-7.html)

[Anna-Lisovskaya]

Я не могу найти C:\WINDOWS\system32\drivers\kgojjn.sys, он есть во вкладке services, а в files нет.

[Pili]

Anna-Lisovskaya, во вкладке Sevices найдите можно удалить abp470n5
пр.кн.мыши - delete или, если будет недоступно, выберите disable
можете ещё удлить файл с помощью IceSword (http://mail.ustc.edu.cn/~jfpan/download/IceSword122en.zip). Выберите в меню File, появится аналог проводника, найдите в нем файлы, нажмите по нему правой кнопкой мыши и выберите force delete. На запрос подтверждения ответьте "да", в меню Win32 Services, найдите abp470n5, п.к. мыши - Disable
Только это все не поможет, если в системе есть файловый вирус и не пролечили систему с LiveCD, м.б. поможет, если сразу после удаления файла и драйвера запустите проверку антивирусом (например cureit, лучше с CD)

[Anna-Lisovskaya]

Я сделала проверку с помощью утилиты windows, скаченой с сайта майкросоае (он теперь стал доступен) Выкладываю логи.

[thyrex]

Пробовали загружаться с CD и запускать _start.exe от cureit? Dr.Web LiveCD, KAV RescueDisk пробовали использовать? Почитайте внимательно метод лечения системы от файловых вирусов »
Пока Вы не выполните эти рекомендации - лечиться бесполезно. На месте удаленных зловредов уже появились новые
Кроме того у вас Восстановление системы: включено
Заблокирован редактор реестра, диспетчер задач - это является признаком заражения файловым вирусом

[Anna-Lisovskaya]

Удалось установить cureit? он нашел 254 зараженных файла, вроде все вылечил, а что не вылечил - удалил. Но реестр и деспетчер задач опять не открываются. На сайты антивирусов теперь заходит, но не скачивает, а если скачивает в архиве, то все равно не дает распаковать.
Выкладываю отчет cureit ( если надо)

[Anna-Lisovskaya]

Кстати! Могу удалить папки карантина?

[Pili]

Anna-Lisovskaya, по логам у вас остался и C:\WINDOWS\system32\drivers\kgojjn.sys и драйвер abp480n5, а это значит файловый вирус у вас всё ещё в системе, вам нужно загрузится с CD и проверится с помощью cureit, предварительно распаковав его, - см. пост 10 (http://forum.oszone.net/post-1076400-10.html) и метод лечения системы от файловых вирусов (http://forum.oszone.net/post-780845-7.html), если это выполните и cureit/AVPTool ничего при сканировании в безопасном режиме не найдут, можете затем делать логи.

[Anna-Lisovskaya]

Ну вобще все стало работать, кажется. Боролась, как могла всю ночь, всем подряд! после усрановки и запуска ряда утилит стал открыватся сайт с антивирусом NOD. Он сначала не устанавливался, а потом начал выдавать ошибку, что у меня Avast стоит и параметр игнора не срабатывает. Он был год назад, но после этого уже переустанавливали виндоус. Его остатков я так и не нашла. И старый NOD, помоему где-то еще торчит. И Vba32 не могу удалить. Короче сейчас NOD работает, вроде все удалил... Зацените, пожалуйста...

[Pili]

Anna-Lisovskaya, Вы проверли систему, загрузившись с CD?
Найдите с помощью gmer или IceSword и проверьте на virustotal.com
C:\WINDOWS\system32\DRIVERS\76115407.sys
Проверьте также C:\Program Files\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe
ссылку нарез-т проверки выложите.
Выполните скрипт
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
SetServiceStart('abp470n5', 4);
QuarantineFile('C:\WINDOWS\system32\UTSCSI.EXE','');
QuarantineFile('C:\WINDOWS\system32\DRIVERS\76115407.sys','');
QuarantineFile('C:\WINDOWS\system32\drivers\kgojjn.sys','');
DeleteFile('C:\WINDOWS\system32\drivers\kgojjn.sys');
DeleteService('abp470n5');
BC_ImportDeletedList;
ExecuteSysClean;
BC_DeleteSvc('abp470n5');
BC_DeleteFile('C:\WINDOWS\system32\drivers\kgojjn.sys');
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится. После перезагрузки выполнить ещё скрипт
begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.
Файл quarantine.zip отправьте на user15802[at]mail.ru, в письме укажите ссылку на тему

По очистке от VBA - обратитесь на форум разработчка. Частично VBA можно удалить скриптом AVZ

begin
DeleteService('Vba32PP3');
DeleteService('Vba32ifs');
DeleteService('Vba32ECM');
DeleteFile('C:\Program Files\Vba32\Vba32ldr.exe');
ExecuteSysClean;
end.

Сделайте новые логи обычной версией AVZ (не game.pif)

[Anna-Lisovskaya]

http://www.virustotal.com/ru/analisis/a258096a6324c0404dba00076f087aa4
http://www.virustotal.com/ru/analisis/1d82e1a8c5eb19d9d31f83819cd1e1c6

Проверку выполняла не с CD, скачивала.
Такой вопрос: для выполнения скриптов в AVZ нужно обязательно каждый раз запускать (проверку дисков) или можно просто открыть программу и выполнить скрипт?