Странный вирус

[McDark]

Вообщем компьютер тормозит , при попытке включить AVZ он открывается на пару секунд и закрывается , при попытке ввести в браузер AVZ браузер крашится , на сайты антивирусов не заходит , помогите пожалуйста.

[iskander-k]

•Скачайте ComboFix (http://subs.geekstogo.com/ComboFix.exe) или здесь (http://download.bleepingcomputer.com/sUBs/ComboFix.exe) или здесь (http://www.forospyware.com/sUBs/ComboFix.exe) и сохраните на рабочий стол.
1. Внимание! Обязательно закройте все браузеры, временно выключите антивирус, firewall и другое защитное программное обеспечение (http://www.bleepingcomputer.com/forums/topic114351.html). Не запускайте других программ во время работы Combofix. Combofix может отключить интернет через некоторое время после запуска, не переподключайте интернет пока Combofix не завершит работу. Если интернет не появился после окончания работы Combofix, перезагрузите компьютер. Во время работы Combofix не нажимайте кнопки мыши, это может стать причиной зависания Combofix.
2. Запустите combofix.exe, когда процесс завершится, скопируйте текст из C:\ComboFix.txt и вставьте в следующее сообщение или запакуйте файл C:\ComboFix.txt и прикрепите к сообщению.
Как использовать ComboFix (http://virusnet.info/forum/showthread.php?t=2773)
Прим: В случае, если ComboFix не запускается, переименуйте combofix.exe в combo-fix.exe.

[McDark]

ComboFix не запускается , переименование не помогает

[iskander-k]

Скачайте полиморфную версию АВЗ - http://safezone.cc/forum/downloads.php?do=file&id=33
запустите если не запустится
запустить полиморфный AVZ с ключом: avz.exe ag=y (пуск - выполнить в обзоре найдите AVZ, выберете его, далее, в строке допишите или скопируйте вставьте (через пробел) AM=Y и нажмите ок)

попробуйте лог
• Скачайте Malwarebytes Anti-Malware (http://www.besttechie.net/mbam/mbam-setup.exe), установите, обновите базы, выберите Perform Full Scan, нажмите Scan, после сканирования - Ok - Show Results (показать результаты) - нажмите Remove Selected (удалить выделенные). Откройте лог и скопируйте в сообщение.
Если базы MBAM в автоматическом режиме обновить не удалось, обновите их отдельно. Загрузить обновление MBAM (http://data.mbamupdates.com/tools/mbam-rules.exe).

[McDark]

Не то , не то не запускается
Но если в диспетчере задач выключить explorer.exe , то запускается и обычный АВЗ , как я понял

[iskander-k]

Так и сделайте. И с комбофиксом тоже.

[McDark]

Логи , с отключенным explorer.exe

[iskander-k]

Скачайте на заведомо чистом компьютере один из предоставленных загрузочных дисков Dr.Web LiveCD (http://www.freedrweb.com/livecd/), Лаборатории Касперского (http://rescuedisk.kaspersky-labs.com/rescuedisk/updatable/), Live CD Vba32 Rescue (ftp://anti-virus.by/pub/vbarescue.iso), Avira GmbH (http://www.free-av.com/en/tools/12/avira_antivir_rescue_system.html), запишите образ на CD-диск, загрузитесь с него и проверьте компьютер из-под выбраного LiveCD. Если по каким-то причинам(маленькая скорость или лимитный интернет) у вас не будет возможности скачать загрузочные образы, можно скачать CureIT (ftp://ftp.drweb.com/pub/drweb/cureit/cureit.exe) или Kaspersky Virus Removal Tool (http://devbuilds.kaspersky-labs.com/devbuilds/AVPTool/), также на здоровом компьютере и запишите на флешку, после записи, установите флешку в защиту от перезаписи и проверьте компьютер утилитами.

[McDark]

Мне винду переустанавливать?

[iskander-k]

Зачем ? У вас подозрение на файловое заражение. скачайте указанное запишите на CD , загрузитесь с него и проверьте комп.

[McDark]

>> Службы: разрешена потенциально опасная служба RemoteRegistry (Удаленный реестр)
>> Службы: разрешена потенциально опасная служба TermService (Службы терминалов)
>> Службы: разрешена потенциально опасная служба SSDPSRV (Обнаружение SSDP)
>> Службы: разрешена потенциально опасная служба Schedule (Планировщик заданий)
>> Службы: разрешена потенциально опасная служба mnmsrvc ()
>> Службы: разрешена потенциально опасная служба RDSessMgr ()
> Службы: обратите внимание - набор применяемых на ПК служб зависит от области применения ПК (домашний, ПК в ЛВС компании ...)!
>> Безопасность: разрешен автозапуск программ с CDROM
>> Безопасность: разрешен административный доступ к локальным дискам (C$, D$ ...)
>> Безопасность: к ПК разрешен доступ анонимного пользователя
>> Безопасность: Разрешена отправка приглашений удаленному помошнику

А по поводу этого ничего не можете сказать?

[iskander-k]

А по поводу этого ничего не можете сказать? »
Это системные легитимные службы .

Так вам залить LiveCD - на депозит устроит ?

[McDark]

iskander-k,
Меня смущает только >> Безопасность: к ПК разрешен доступ анонимного пользователя впринципе
Я вообще скачал Kaspersky rescue и он у меня к сожалению не работает , то зависает во время загрузки графического режима , то пишет Need To Load Kernel First.

[iskander-k]

Меня смущает только >> »
Это настройки по умолчаю. в принципе закрываются фаерволом.
Я вообще скачал Kaspersky rescue »

Скачивали и записывали на чистом компьютере ? или на своем зараженном? Скачивать и записывать нужно только на чистом компьютере.

[McDark]

Скачивали и записывали на чистом компьютере ? или на своем зараженном? Скачивать и записывать нужно только на чистом компьютере. »
Скчал и записал на чистом комьютере друга , у него работает , у меня нет

[iskander-k]

Выполните
• Скрипт AVZ.
Выполните скрипт AVZ. Меню Файл - Выполнить скрипт, вставляем написаный скрипт - кнопка Запустить, после выполнения компьютер перезагрузится.

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('c:\windows\temp\guardguard.exe','');
QuarantineFile('C:\Windows\apppatch\gxlekus.dat','');
QuarantineFile('C:\Windows\system32\TKFsAc2k.sys','');
QuarantineFile('C:\Windows\system32\TKFsAv2k.sys','');
QuarantineFile('C:\Windows\system32\TKRgAc2k.sys','');
QuarantineFile('C:\Windows\system32\TKFsFt2k.sys','');
QuarantineFile('c:\users\itacheg\desktop\Рабочий Стол\2000\2000\2000.exe','');
QuarantineFile('C:\Windows\system32\XDva359.sys','');
QuarantineFile('C:\Windows\system32\XDva356.sys','');
QuarantineFile('C:\Windows\system32\XDva296.sys','');
QuarantineFile('2000.exe','');
DeleteFile('c:\windows\temp\guardguard.exe');
DeleteFile('c:\windows\apppatch\gxlekus.dat');
RegKeyStrParamWrite('HKLM', 'SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon', 'UserInit', GetEnvironmentVariable('WinDir')+'\system32\userinit.exe,');
BC_ImportAll;
BC_Activate;
RebootWindows(true);
end.

После всех процедур выполните скрипт

begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.
В результате выполнения скрипта будет сформирован карантин quarantine.zip. Полученный архив отправьте через форму (http://www.oszone.net/virusnet/) или на quarantine<at>virusnet.info (at=@) с указанной ссылкой на тему и вашим ником(именем на форуме). http://s55.radikal.ru/i149/1009/d2/1f7e3fa6de68.bmp, в названии темы укажите - "Проверка карантина". В теле сообщения укажите адрес своей темы и ник форуме. Результаты ответа, сообщите здесь, в теме.

попробуйте ливсд от веба.

[McDark]

Выполню скрипт без строчки QuarantineFile('c:\users\itacheg\desktop\Рабочий Стол\2000\2000\2000.exe','');
т.к это я просто пробывал переименовать AVZ , чтобы запустился , но безрезультатно
После выполнения скрипта , стал запускатся АВЗ без выключения explorer.exe
Браузер не крашится , на сайты антивирусов заходит

[iskander-k]

Выполню скрипт без строчки QuarantineFile('c:\users\itacheg\desktop\Рабочий Стол\2000\2000\2000.exe',''); »
Это просто беру файлы в карантин на проверку.
После выполнения скрипта , стал запускатся АВЗ без выключения explorer.exe »
Закачайте НОВЫЙ АВЗ обновите его базы и сделайте логи.

[McDark]

Новые Логи

[iskander-k]

Всё осталось..
Выполните следующее:

1) Скачайте на заведомо "здоровом" компьютере утилиту от DrWeb - CureIT! (http://virusnet.info/forum/showthread.php?t=6) И запишите её на CD или DVD, можно записать и на флешку, если производителем предусмотрен режим защиты данных от изменений (только чтение). Иначе активный вирус повредит утилиту ещё до запуска. Сделайте полную проверку зараженного компьютера в режиме Safe Mode, затем в нормальном.
Как работать с утилитой DrWeb - CureIT (http://virusnet.info/forum/showthread.php?t=54&highlight=%CA%E0%EA+%EB%E5%F7%E8%F2%FC+%F4%E0%E9%EB%EE%E2%FB%E9+%E2%E8%F0%F3%F1)

или

Скачайте на заведомо рабочем компьютере один из предоставленых загрузочных дисков Dr.Web LiveCD (http://www.freedrweb.com/livecd/), запишите образ на CD-диск, загрузитесь с него и проверьте компьютер из-под выбраного LiveCD.


или Kaspersky Virus Removal Tool (http://devbuilds.kaspersky-labs.com/devbuilds/AVPTool/), также на здоровом компьютере и запишите на флешку, после записи, установите флешку в защиту от перезаписи и проверьте компьютер утилитами.