PDA

Показать полную графическую версию : [решено] Вирусы, злые

DarkingCat
08-09-2010, 22:45
Логов достать не могу, т.к. AVZ, HiJackThis, RSIT и остальные программы сразу закрываются...только открываю и сразу хлоп!)
Антивирус (NOD32)...ну тоже самое с ним, ekrn.exe висит в процессах...а самого антивируса не видно ^^
Не знаю что делать, малваром провериться могу, его не закрывает =^^= 42 вируса нашло...много там всяких, все разные.
Жду вашего ответа, дорогие ^^
Плюс еще комп тормозит...ужасно тормозит ^_^
Хотя загрузки проца нету...
Arbitr
08-09-2010, 23:07
попробуйте сначала AVPtool
если не получится сделать логи то
Скачайте ComboFix здесь (http://subs.geekstogo.com/ComboFix.exe), здесь (http://download.bleepingcomputer.com/sUBs/ComboFix.exe) или здесь (http://www.forospyware.com/sUBs/ComboFix.exe) и сохраните на рабочий стол.

1. Внимание! Обязательно закройте все браузеры, временно выключите антивирус, firewall и другое защитное программное обеспечение. Не запускайте других программ во время работы Combofix. Combofix может отключить интернет через некоторое время после запуска, не переподключайте интернет пока Combofix не завершит работу. Если интернет не появился после окончания работы Combofix, перезагрузите компьютер. Во время работы Combofix не нажимайте кнопки мыши, это может стать причиной зависания Combofix.
2. Запустите combofix.exe, когда процесс завершится, скопируйте текст из C:\ComboFix.txt и вставьте в следующее сообщение или запакуйте файл C:\ComboFix.txt и прикрепите к сообщению.
Прим: В случае, если ComboFix не запускается, переименуйте combofix.exe в combo-fix.exe
DarkingCat
08-09-2010, 23:17
Еще, оказывается, заблочены сайты антивирусов ^^
Arbitr
08-09-2010, 23:29
разблочим,
у вас что то из логов получается сделать??
DarkingCat
08-09-2010, 23:32
Комбофиксом вообще...как бы пишет нод32 в запуске запуске, машина начинает пикать как часовая бомба и перезагружается, потом на рабочем столе была синяя командная строка, я ее закрыл)))
Arbitr
08-09-2010, 23:36
пишет нод32 в запуске запуске, »
Внимание! Обязательно закройте все браузеры, временно выключите антивирус, firewall и другое защитное программное обеспечение. »
если не получается то просто согласитесь с комбо чтоб он отключил.машина начинает пикать как часовая бомба и перезагружается, потом на рабочем столе была синяя командная строка, я ее закрыл))) »
это и есть работа комбо, он перегружает комп и отслеживает все что запускается, после его работы создается отчет в виде текстового файла на рабочем столе, его и хотим увидеть, до появления этого файла (пока комбо не закончило работу) ничего!!! не делать!!!
DarkingCat
08-09-2010, 23:37
Щас еже раз попробую)
Arbitr
08-09-2010, 23:51
постарайтесь обязательно отключить ваш нод!!!
DarkingCat
09-09-2010, 00:04
Вот лог :)))
Arbitr
09-09-2010, 01:27
проверить на virustotal.com следующий батник если он вам не знаком
C:\WINDOWS\DelMR.bat
ссылку приложить
Скопируйте текст ниже в блокнот и сохраните как файл с названием CFScript.txt на рабочий стол.

KillAll::
File::
C:\Documents and Settings\user\~tmp.bat
C:\WINDOWS\system32\kxgllm.exe
C:\WINDOWS\system32\mbqovsaw.dll
C:\WINDOWS\system32\f4cf45d9.exe
C:\Program Files\Common Files\keylog.txt
C:\WINDOWS\system32\tmp.tmp
C:\WINDOWS\system32\b9u3Lvn.exe
C:\WINDOWS\system32\4XeNWHC.exe
FCopy::
c:\windows\ServicePackFiles\i386\sfcfiles.dll|c:\windows\System32\sfcfiles.dll
Driver::
Registry::
[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon]
"Userinit"="C:\WINDOWS\System32\userinit.exe,"
[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\GloballyOpenPorts\List]
"12288:TCP"=-
[HKEY_LOCAL_MACHINE\system\currentcontrolset\control\securityproviders]
"SecurityProviders"="msapsspc.dll, schannel.dll, digest.dll, msnsspc.dll"
Folder::
C:\Program Files\Common Files\pkr

После сохранения переместите CFScript.txt на пиктограмму ComboFix.exe.
http://virusnet.info/images/cfscript.gif
Когда сохранится новый отчет ComboFix, запакуйте ComboFix.txt и прикрепите к сообщению.
Выполните скрипт AVZ. Меню Файл - Выполнить скрипт, вставляем написаный скрипт - кнопка Запустить, после выполнения компьютер перезагрузится.

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\System32\Drivers\sfc.SYS','');
DeleteFile('C:\WINDOWS\System32\Drivers\sfc.SYS');
RenameFile('%windir%\system32\sfcfiles.dll', '%windir%\system32\sfcfiles.bak');
CopyFile('%windir%\system32\dllcache\sfcfiles.dll', '%windir%\system32\sfcfiles.dll');
DeleteFile('%windir%\system32\sfcfiles.bak');
DeleteFile('C:\Program Files\Internet Explorer\setupapi.dll');
DeleteFile('C:\Program Files\Common Files\keylog.txt');
RegKeyStrParamWrite('HKLM', 'SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon', 'UserInit', GetEnvironmentVariable('WinDir')+'\system32\userinit.exe,');
BC_ImportAll;
ExecuteSysClean;
BC_DeleteSvc('sfc');
BC_Activate;
ExecuteREpair(20);
RebootWindows(true);
end.

Скачайте Malwarebytes Anti-Malware (http://www.besttechie.net/mbam/mbam-setup.exe), установите, обновите базы, выберите Perform Full Scan, нажмите Scan, после сканирования - Ok - Show Results (показать результаты) . Откройте лог и скопируйте в блокнот и выложите в сообщение.
Если базы MBAM в автоматическом режиме обновить не удалось, обновите их отдельно. Загрузить обновление MBAM (http://data.mbamupdates.com/tools/mbam-rules.exe).
сделать логи AVZ +RSIT
Итак я жду логи: комбо AVZ RSIT MBAM
если что то не получается подробно описываете ситуацию
актуальная версия AVZ 4.35 обновить базы обязательно выключить все программы и антивирусное ПО при выполнении логов
DarkingCat
09-09-2010, 23:07
Логи)
Arbitr
10-09-2010, 00:08
Скопируйте текст ниже в блокнот и сохраните как файл с названием CFScript.txt на рабочий стол.

KillAll::
File::
c:\windows\system32\puwznj.exe
C:\WINDOWS\system32\a5c13f2.exe
C:\WINDOWS\system32\stu2.exe

FileLook::
C:\WINDOWS\DelMR.bat

После сохранения переместите CFScript.txt на пиктограмму ComboFix.exe.
http://virusnet.info/images/cfscript.gif
Когда сохранится новый отчет ComboFix, запакуйте ComboFix.txt и прикрепите к сообщению.
82.209.240.241 82.209.243.241
195.222.64.67,195.222.70.10
какие из этих адресов ваши???
запустить еще раз сканирование MBAM и удалить все что найдет
повторить лог RSIT
DarkingCat
10-09-2010, 09:21
82.209.240.241, 82.209.243.241 - мои, а насчет 195х не уверен :)
Вроде мои...да, мои :)
Arbitr
10-09-2010, 12:30
уточните у вашего провайдера, они оба принадлежат Белорусии, но и как то много))) возможно что то лишнее)
DarkingCat
10-09-2010, 19:50
Ну я пробил по гуглу, как ты и сказал, принадлежать Белоруссии...
Они мне автоматически присваиваются, через модем :D
Arbitr
10-09-2010, 22:38
ок если ваши..тогда жду запустить еще раз сканирование MBAM и удалить все что найдет
повторить лог RSI »
плюс отчет комбо
DarkingCat
10-09-2010, 23:56
Хорошо, только завтра. Сегодня никак ^^



© OSzone.net 2001-2012