Вирус не удаляется

[Lenick]

Просьба помочь - антивирус avira обрарудивает вмрус TR/Patched.GR.8, а удалить его невозможно... логи высылаю...

Заранее спасибо!

[iskander-k]

Отключите интернет и локальную сеть если таковая имеется.
Очистите временные файлы.
Очистите временные файлы через Пуск - Программы - Стандартные - Служебные - Очистка диска или с помощью ATF Cleaner (http://www.atribune.org/ccount/click.php?id=1).
• Скачайте ATF Cleaner (http://www.atribune.org/ccount/click.php?id=1), запустите, поставьте галочку напротив Select All и нажмите Empty Selected.
• Если вы используете Firefox, нажмите Firefox - Select All - Empty Selected.
• Нажмите No, если вы хотите оставить ваши сохраненные пароли.
• Если вы используете Opera, нажмите Opera - Select All - Empty Selected.
• Нажмите No, если вы хотите оставить ваши сохраненные пароли.
Восстановление системы. Создание новой контрольной точки восстановления и очистка предыдущих.
• Создание новой точки восстановления: Нажмите Пуск > Программы > Стандартные > Служебные > Восстановление системы, выберите Создать точку восстановления, нажмите Далее, введите имя точки восстановления и нажмите Создать.
• Очистка всех предыдущих точек восстановления: Нажмите Пуск > Программы > Стандартные > Служебные > Очистка диска, выберите системный диск, на вкладке Дополнительно > Восстановление системы нажмите Очистить, нажмите Да для очистки всех точек восстановления, кроме последней.

* Подробнее можно прочитать в этой (http://virusnet.info/forum/showthread.php?t=2065) теме.

• HiJackThis. Нужно пофиксить эти строки в HiJackThis. Выставив галочки напротив этих пунктов и нажмите кнопку Fix Checked. Как пофиксить в HijackThis (http://virusnet.info/forum/showthread.php?t=9)

O4 - HKLM\..\Run: [Windows Data Serivce] system32.exe
O4 - HKLM\..\Run: [NetworkShareSessionManager] C:\WINDOWS\system32\nssm.exe
O21 - SSODL: UpdateCheck - {ED8A27E1-4A1D-4518-BBCC-7C65DC07E90E} - (no file)


• Скрипт AVZ.
Выполните скрипт AVZ. Меню Файл - Выполнить скрипт, вставляем написаный скрипт - кнопка Запустить, после выполнения компьютер перезагрузится.

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
TerminateProcessByName('c:\windows\system32\nssm.exe');
TerminateProcessByName('c:\windows\system32.exe');
QuarantineFile('c:\windows\system32\nssm.exe','');
QuarantineFile('c:\windows\system32.exe','');
QuarantineFile('c:\temp\tccpuinfo.sys','');
QuarantineFile('d:\autorun.inf','');
QuarantineFile('e:\autorun.inf','');
DeleteFile('c:\windows\system32\nssm.exe');
DeleteFile('c:\windows\system32.exe');
DeleteFile('c:\temp\tccpuinfo.sys');
DeleteFile('d:\autorun.inf');
DeleteFile('e:\autorun.inf');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','NetworkShareSes sionManager');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\RunServices','Network ShareSessionManager');
DeleteService('tccrystalcpuinfo');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
ExecuteRepair(20);
RebootWindows(true);
end.

После всех процедур выполните скрипт

begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.
В результате выполнения скрипта будет сформирован карантин quarantine.zip. Отправьте полученный файл quarantine.zip из папки AVZ через данную форму (http://support.kaspersky.ru/virlab/helpdesk.html). В строке "Подробное описание возникшей ситуации:", напишите пароль на архив "virus" (без кавычек), в строке "Электронный адрес:" укажите свой электронный адрес. Результаты ответа, сообщите здесь, в теме.

[Lenick]

Спасибо, сегодня отправила quarantine.zip (от [email]). Все сделала, как Вы написали!

[Drongo]

Lenick, Сделайте повторные логи и что с проблемой?

[Lenick]

Вирус остался.... там же сидит и плодит другие вирусы, их антивирус удаляет по 5-6 раз на дню! Логи сегодня сделаю!

[Lenick]

Вот логи, гадкий вирус плодит другие вирусы, грузит систему (запускает кучу процессов, загрузка ЦП =100%), если оставить интернет включенным и уйти на полчасика - все повитнет и не отвиснет - спасет только перезагрузка. Что делать??? Я отправила quarantine.zip по ссылке и получила ответ:

Здравствуйте,

Это сообщение сформировано автоматической системой приёма писем. Сообщение содержит информацию о том, какие вердикты на файлы (если таковые есть в письме) выносит антивирус с последними обновлениями. Письмо будет передано на рассмотрение вирусному аналитику.

autorun.inf,
autorun_0.inf

Файлы в процессе обработки.

nssm.exe,
system32.exe - Trojan.Win32.Jorik.Blazebot.i

Детектирование файлов будет добавлено в следующее обновление.

Когда будет ответ от умных людей - не знаю... С таким "гадом" в первый раз сталкиваюсь... Спрашивается, какой антивирус ставить простым смертным, если только один AVIRA обнаруживает такие вирусы, но ничего сделать с ними не может???

[Lenick]

Вот мои логи

[iskander-k]

Вы наверное флэшку после лечения вставляли ?

• Скрипт AVZ.
Выполните скрипт AVZ. Меню Файл - Выполнить скрипт, вставляем написаный скрипт - кнопка Запустить, после выполнения компьютер перезагрузится.

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
TerminateProcessByName('c:\windows\system32\nssm.exe');
QuarantineFile('c:\windows\system32\nssm.exe','');
QuarantineFile('c:\windows\system\csrss.exe','');
DeleteFile('c:\windows\system32\nssm.exe');
DeleteFile('c:\windows\system\csrss.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','NetworkShareSes sionManager');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\RunServices','Network ShareSessionManager');
DeleteService('nrconnmags');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.






Скачайте и запустите Kaspersky Virus Removal Tool 2010 http://devbuilds.kaspersky-labs.com/devbuilds/AVPTool/

инструкция http://support.kaspersky.ru/viruses/avptool2010

[Lenick]

не качается Kaspersky Virus Removal Tool 2010 ... пишет:

Forbidden.
Access to the requested resource was forbidden.


--------------------------------------------------------------------------------

httpd

[Lenick]

Флешку я не вставляла после лечения, не вставляла и после выполнения данного скрипта. Однако антивирус опять 8 висусов нашел, 6 из них удалил, а те 2 шт. TR/Patched.GR.8 опять остались. Еще вопрос, эти 6 удаленных вирусов видимо в процессе активации антивирус уже замечал, выводил мне список действий в его отношении, я каждый раз выбирала DELETE, однако, они оказались не удалены.... Почему это может быть?

[thyrex]

Скачайте ComboFix здесь (http://subs.geekstogo.com/ComboFix.exe), здесь (http://download.bleepingcomputer.com/sUBs/ComboFix.exe) или здесь (http://www.forospyware.com/sUBs/ComboFix.exe) и сохраните на рабочий стол.

1. Внимание! Обязательно закройте все браузеры, временно выключите антивирус, firewall и другое защитное программное обеспечение. Не запускайте других программ во время работы Combofix. Combofix может отключить интернет через некоторое время после запуска, не переподключайте интернет, пока Combofix не завершит работу. Если интернет не появился после окончания работы Combofix, перезагрузите компьютер. Во время работы Combofix не нажимайте кнопки мыши, это может стать причиной зависания Combofix.
2. Запустите combofix.exe, когда процесс завершится, файл C:\ComboFix.txt прикрепите к сообщению.
Примечание: В случае, если ComboFix не запускается, переименуйте combofix.exe в combo-fix.exe

[Lenick]

вот и файл C:\ComboFix.txt

[thyrex]

Что сейчас с проблемой?

[Lenick]

И все равно вирус никуда не делся, гад!!!

Его находит только AVIRA, но удалить не может!!!!

[thyrex]

В каком файле?

[Lenick]

kernel32.dll так поняла, что этот файл системный. удалить его не получается...

[thyrex]

Проверьте этот файл на virustotal (http://www.virustotal.com/ru)
Ссылку на результат проверки сообщите

[Lenick]

ссылка вот http://www.virustotal.com/ru/analisis/5324752a91d5c776726bb15b6c15aa53768be9b0e72dbeabb7f74e9abb02bb4c-1279625503

[thyrex]

Результат проверки двухнедельной давности. Повторите проверку, выбрав что-то наподобие Повторить проверку сейчас

[Lenick]

вот, сделала

http://www.virustotal.com/ru/analisis/5324752a91d5c776726bb15b6c15aa53768be9b0e72dbeabb7f74e9abb02bb4c-1281118435