[решено] Коннекты с IP

[creative84]

Система пытается коннтектиться с неизвестными IP . Cоздаются файлы exe

[zirreX]

Здравствуйте!Смотрю ваши логи

[zirreX]

Очистите временные файлы через Пуск => Программы => Стандартные => Служебные => Очистка диска или с помощью ATF Cleaner (http://www.atribune.org/public-beta/ATF-Cleaner.exe)

скачайте ATF Cleaner (http://www.atribune.org/public-beta/ATF-Cleaner.exe), запустите, поставьте галочку напротив Select All и нажмите Empty Selected.
Если вы используете Firefox, нажмите Firefox = >Select All => Empty Selected
нажмите No, если вы хотите оставить ваши сохраненные пароли
если вы используете Opera, нажмите Opera => Select All => Empty Selected
нажмите No, если вы хотите оставить ваши сохраненные пароли.

Откройте AVZ и выберите Файл - Выполнить скрипт - Скопировать ниже написанный
скрипт-- Нажать кнопку "Запустить".
begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
QuarantineFile('C:\Documents and Settings\$$$\Application Data\ltzqai.exe','');
DeleteFile('C:\Documents and Settings\$$$\Application Data\ltzqai.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится!

После перезагрузки выполните скрипт:

begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.

В результате выполнения скрипта будет сформирован карантин quarantine.zip. Отправьте полученный файл quarantine.zip из папки AVZ через эту форму (http://www.oszone.net/virusnet/)

Полученный ответ сообщите здесь.


Скачайте Malwarebytes' Anti-Malware (http://www.besttechie.net/mbam/mbam-setup.exe) или с зеркала (http://download.bleepingcomputer.com/malwarebytes/mbam-setup.exe), установите, обновите базы, выберите "Perform Full Scan", нажмите "Scan", после сканирования - Ok - Show Results (показать результаты) - Откройте лог и скопируйте в блокнот и прикрепите его к следующему посту.

[creative84]

все выполнил.
первый лог-сразу после сканирования, второй, после того, как нажал удалить зараженные файлы.

[zirreX]

Нужен лог RSIT
Если у вас 32 разрядная версия windows (http://windows.microsoft.com/ru-ru/windows-vista/32-bit-and-64-bit-Windows-frequently-asked-questions), то скачайте Random's System Information Tool (RSIT) (http://www.virusnet.info/random/RSIT.exe) или с зеркала (http://images.malwareremoval.com/random/RSIT.exe)
Если у вас 64 разрядная версия windows (http://windows.microsoft.com/ru-ru/windows-vista/32-bit-and-64-bit-Windows-frequently-asked-questions), то необходимо скачать эту версию Random's System Information Tool(RSIT)x64 (http://www.virusnet.info/random/RSITx64.exe) или с зеркала (http://images.malwareremoval.com/random/RSITx64.exe)
Запустите, выберите проверку файлов за последние три месяца и нажмите продолжить. Должны открыться два отчета log.txt и info.txt. Прикрепите их к следующему сообщению. Если вы их закрыли, то логи по умолчанию сохраняются в одноименной папке (RSIT) в корне системного диска.

Повторите логи AVZ.

Что с проблемами?

[creative84]

Вроде ничего подозрительного не замечаю. Посмотрите по логам.

[iskander-k]

• Скрипт AVZ.
Выполните скрипт AVZ. Меню Файл - Выполнить скрипт, вставляем написаный скрипт - кнопка Запустить, после выполнения компьютер перезагрузится.

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Winlogon','Taskman');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

[zirreX]

Откройте AVZ и выберите Файл - Выполнить скрипт - Скопировать ниже написанный
скрипт-- Нажать кнопку "Запустить".
begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
TerminateProcessByName('C:\WINDOWS\TASKMAN.EXE');
QuarantineFile('hakc.sys','');
QuarantineFile('C:\WINDOWS\PEV.exe','');
QuarantineFile('C:\WINDOWS\system32\wuauclt1.exe','');
QuarantineFile('C:\WINDOWS\system32\drivers\vdqyndqx.sys','');
QuarantineFile('C:\WINDOWS\TASKMAN.EXE','');
QuarantineFile('C:\WINDOWS\system32\msvmiode.exe','');
QuarantineFile('C:\WINDOWS\system32\85.exe','');
QuarantineFile('C:\WINDOWS\system32\71.exe','');
DeleteFile('C:\WINDOWS\system32\71.exe');
DeleteFile('C:\WINDOWS\system32\85.exe');
DeleteFile('C:\WINDOWS\system32\msvmiode.exe');
DeleteFile('C:\WINDOWS\TASKMAN.EXE');
RegKeyParamDel('HKEY_LOCAL_MACHINE','software\microsoft\shared tools\msconfig\startupreg','MSODESNV7');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится!

После перезагрузки выполните скрипт:

begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.

В результате выполнения скрипта будет сформирован карантин quarantine.zip. Отправьте полученный файл quarantine.zip из папки AVZ через эту форму (http://www.oszone.net/virusnet/)

Полученный ответ сообщите здесь.

[zirreX]

Выполнили скрипт?Каков ответ по карантину?

Лечение еще не окончено! Повторите пожалуйста лог RSIT!

[creative84]

ответ по карантину не получил

лог повторяю

[Arbitr]

вы уже делали лечение на данной системе? выполняли GMER или Combo ?

[creative84]

gmer не применял. combo вроде делал

[Arbitr]

Деинсталлируйте ComboFix: нажмите Пуск => Выполнить в окне наберите команду Combofix /Uninstall, нажмите кнопку "ОК"
http://virusnet.info/images/combofix-uninstall.jpg

Скачайте OTCleanIt (http://oldtimer.geekstogo.com/OTC.exe) или с зеркала (http://virusnet.info/forum/downloads.php?do=file&id=19&act=down), запустите, нажмите Clean up
обновить ваш виндоус до SP3

[creative84]

Combofix не обнаружен. Clean up выполнил

[Arbitr]

все..удачи