[решено] вирусы

[Gwenwiwar]

Добрый день. Сразу скажу, что в этом деле я профан. Посоветовали написать сюда. Мой антивирус ничего не находит, при помощи утилиты от Веба нашла несколько вирусов, но делу это не помогло. Комп очень долго грузится вначале, иногда может зависнуть прям на выходе на рабочий стол. При использовании нескольких прог начинает тупить. При включении компа на несколько секунд появляется синий экран с надписью "msln program not found skipping autocheck" При выходе на стол появляется "ошибка запуска - не установлено ни одной игры". В целом комп работает нормально, не считая периодически появляющихся ошибок и зависаний. Сделала все логи, но лог на скрипт №3 не хочет делат, хоть убей. В самом конце зависает и закрывается через диспечер задач.

[Farger]

Здравствуйте,

Я сейчас проверю логи.

У вас инсталляционный диск с операционной системой есть?

1. C:\SharaDC\SharaDC.exe C:\WINDOWS\system32\ANPD.sys проверьте на virustotal (www.virustotal.com/) и дайте ссылку на результат.

2. Скачайте ATF Cleaner (http://www.atribune.org/public-beta/ATF-Cleaner.exe) на рабочий стол.
Запустите ATF Cleaner, поставьте галочку напротив Select All и нажмите Empty Selected.
- если вы используете Firefox, нажмите Firefox - Select All - Empty Selected;
- нажмите No, если вы хотите оставить ваши сохраненные пароли;
- если вы используете Opera, нажмите Opera - Select All - Empty Selected;
- нажмите No, если вы хотите оставить ваши сохраненные пароли.

3. Пофиксить в HJT (http://forum.oszone.net/post-1430293-2.html)

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://webalta.ru
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://webalta.ru/poisk
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = http://webalta.ru/poisk
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://webalta.ru/poisk
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://webalta.ru
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://webalta.ru/poisk
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Ссылки



4. Скачайте ComboFix здесь (http://subs.geekstogo.com/ComboFix.exe), здесь (http://download.bleepingcomputer.com/sUBs/ComboFix.exe) или здесь (http://www.forospyware.com/sUBs/ComboFix.exe) и сохраните на рабочий стол.

1. Внимание! Обязательно закройте все браузеры, временно выключите антивирус, firewall и другое защитное программное обеспечение, а также эмулятор дисков. Не запускайте других программ во время работы Combofix. Combofix может отключить интернет через некоторое время после запуска, не переподключайте интернет пока Combofix не завершит работу. Если интернет не появился после окончания работы Combofix, перезагрузите компьютер. Во время работы Combofix не нажимайте кнопки мыши, это может стать причиной зависания Combofix.
2. Запустите combofix.exe, когда процесс завершится, скопируйте текст из C:\ComboFix.txt и вставьте в следующее сообщение или запакуйте файл C:\ComboFix.txt и прикрепите к сообщению.
Примечание: В случае, если ComboFix не запускается, переименуйте combofix.exe. Например: temp.exe

Подробнее в "ComboFix. Руководство по применению." (http://safezone.cc/forum/showthread.php?t=2773)

[Gwenwiwar]

Farger, Нет, установочного диска нет
http://www.virustotal.com/file-scan/report.html?id=62e37f8a9a9680c46f0de4c8f5db4b13a145fd4132ef8255dd0061730e44ed55-1303898232
http://www.virustotal.com/file-scan/report.html?id=4b403447617cbc23125129395c8a64e5435d9180e070931112ce91757f658bb0-1303898875
Вообще, Шара это программа, предоставляемая местным провайдером для своих пользователей.
ATF Cleaner также безбожно виснет, ничего, если я сделала служебные -> очистка диска?
С HijackThis я все сделала

[iskander-k]

ничего, если я сделала служебные -> очистка диска? »
Ничего, тоже сойдет.

[Farger]

ничего, если я сделала служебные -> очистка диска? »

Нет, ничего.

Такое назначенное задание как C:\WINDOWS\tasks\At1.job вам известно?

Относительно синего экрана: прочтите это (http://answers.microsoft.com/en-us/windows/forum/windows_vista-performance/error-msln-not-found-skipping-autocheck-at-the/913dd9e1-f84c-e011-8dfc-68b599b31bf5)

перевод на русский (http://translate.google.com.ua/translate?hl=uk&sl=en&tl=ru&u=http%3A%2F%2Fanswers.microsoft.com%2Fen-us%2Fwindows%2Fforum%2Fwindows_vista-performance%2Ferror-msln-not-found-skipping-autocheck-at-the%2F913dd9e1-f84c-e011-8dfc-68b599b31bf5)

[iskander-k]

№3 не хочет делат, хоть убей. В самом конце зависает и закрывается через диспечер задач. »
Подождать пробовали ?

[Gwenwiwar]

Farger, Такое назначенное задание как C:\WINDOWS\tasks\At1.job вам известно? »
Да вроде нет, но компом не только я пользуюсь

Про синий экран спасибо, сделала как написано, и он больше не появляется, и это хорошо, наверное))

iskander-k, Пробовала. С моим компом чего-чего, а ждать точно научишься. Я даже несколько раз пыталась. Бесполезно.

[Farger]

Здравствуйте,

c:\windows\system32\ANPD64.SYS проверьте на virustotal (www.virustotal.com/) и дайте ссылку на результат

Скопируйте текст ниже в блокнот и сохраните как файл с названием CFScript.txt на рабочий стол.

KillAll::

File::
C:\Ntf112.tmp
C:\Ntf113.tmp
C:\Ntf111.tmp
C:\Ntf10F.tmp
C:\Ntf110.tmp
C:\Ntf10D.tmp
C:\Ntf10E.tmp
C:\Ntf10C.tmp
C:\Ntf10B.tmp
C:\Ntf10A.tmp
C:\Ntf109.tmp
C:\Ntf108.tmp
C:\Ntf107.tmp
C:\Ntf106.tmp
C:\Ntf105.tmp
C:\Ntf104.tmp
C:\Ntf103.tmp
C:\Ntf102.tmp
C:\Ntf101.tmp
C:\NtfFF.tmp
C:\Ntf100.tmp
C:\NtfFE.tmp
C:\NtfFD.tmp
C:\NtfFC.tmp
C:\NtfFB.tmp
C:\NtfFA.tmp
C:\NtfF9.tmp
C:\NtfF8.tmp
C:\NtfF7.tmp
C:\NtfF5.tmp
C:\NtfF6.tmp
C:\NtfF3.tmp
C:\NtfF4.tmp
C:\NtfF2.tmp
C:\NtfF1.tmp
C:\NtfEF.tmp
C:\NtfF0.tmp
C:\NtfED.tmp
C:\NtfEE.tmp
C:\NtfEB.tmp
C:\NtfEC.tmp
C:\NtfE9.tmp
C:\NtfEA.tmp
C:\NtfE8.tmp
C:\NtfE7.tmp
C:\NtfE6.tmp
C:\NtfE5.tmp
C:\NtfE4.tmp
C:\NtfE3.tmp
C:\NtfE1.tmp
C:\NtfE2.tmp
C:\NtfE0.tmp
C:\NtfDF.tmp
C:\NtfDE.tmp
C:\NtfDD.tmp
C:\NtfDB.tmp
C:\NtfDC.tmp
C:\NtfD9.tmp
C:\NtfDA.tmp
C:\NtfD8.tmp
C:\NtfD7.tmp
C:\NtfD4.tmp
C:\NtfD6.tmp
C:\NtfD5.tmp
C:\NtfD1.tmp
C:\NtfD3.tmp
C:\NtfCF.tmp
C:\NtfD0.tmp
C:\NtfCD.tmp
C:\NtfCE.tmp
C:\NtfCC.tmp
C:\NtfCB.tmp
C:\NtfCA.tmp
C:\NtfC9.tmp
C:\NtfC8.tmp
C:\NtfC7.tmp
C:\NtfC6.tmp
C:\NtfC5.tmp
C:\NtfC4.tmp
C:\NtfC3.tmp
C:\NtfC1.tmp
C:\NtfC2.tmp
C:\NtfBF.tmp
C:\NtfC0.tmp
C:\NtfBD.tmp
C:\NtfBE.tmp
C:\NtfBB.tmp
C:\NtfBC.tmp
C:\NtfB9.tmp
C:\NtfBA.tmp
C:\NtfB8.tmp
C:\NtfB7.tmp
C:\NtfB6.tmp
C:\NtfB5.tmp
C:\NtfB3.tmp
C:\NtfB4.tmp
C:\NtfB2.tmp
C:\NtfB1.tmp
C:\NtfAF.tmp
C:\NtfB0.tmp
C:\NtfAE.tmp
C:\NtfAD.tmp
C:\NtfAC.tmp
C:\NtfAB.tmp
C:\NtfA9.tmp
C:\NtfAA.tmp
C:\NtfA8.tmp
C:\NtfA7.tmp
C:\NtfA6.tmp
C:\NtfA5.tmp
C:\NtfA4.tmp
C:\NtfA3.tmp
C:\NtfA1.tmp
C:\NtfA2.tmp
C:\Ntf9F.tmp
C:\NtfA0.tmp
C:\WINDOWS\tasks\At1.job

Driver::

Folder::

Registry::
[-HKEY_CLASSES_ROOT\TypeLib\{538CD77C-BFDD-49b0-9562-77419CAB89D1}]

FileLook::

DirLook::
Reboot::

После сохранения переместите CFScript.txt на пиктограмму ComboFix.exe.
http://safezone.cc/images/cfscript.gif
Когда сохранится новый отчет ComboFix, запакуйте ComboFix.txt и прикрепите к сообщению.

[Gwenwiwar]

http://www.virustotal.com/file-scan/report.html?id=b1120f98a6c9ed834362a97e1aa356db0babd4be1c8ee2ce864ed7dc2c490875-1295549322

[Farger]

Здравствуйте,

Что с проблемами?

[Gwenwiwar]

Здравствуйте,
ну синего экрана больше нет, ошибка запуска все равно появляется при загрузке, в целом я бы сказала, что комп стал чуть побыстрее. Кстати говоря, смогла сделать 3ий скрипт.
Еще вспомнила, когда делала веба, он мне переместил файл к себе в папку. Вот этот.
http://www.virustotal.com/file-scan/report.html?id=01ed8a1cf7252b44a34757bbb05f7b5df72d60291d5821e31e47bf112f416fae-1304037231

[iskander-k]

• Скрипт AVZ.
Выполните скрипт AVZ. Меню Файл - Выполнить скрипт, вставляем написаный скрипт - кнопка Запустить, после выполнения компьютер перезагрузится.

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
SetServiceStart('GoogleUpdateBeta', 4);
QuarantineFile('C:\Documents and Settings\LocalService\Local Settings\Application Data\Google\Update\GoogleUpdateBeta.exe','');
DeleteFile('C:\Documents and Settings\LocalService\Local Settings\Application Data\Google\Update\GoogleUpdateBeta.exe');
DeleteService('GoogleUpdateBeta');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

[Farger]

Здравствуйте,

ошибка запуска все равно появляется при загрузке »

Скорей всего, что проблема из-за NevoDRM.exe, который сидит у вас в автозагрузке. Подобную тему с решением нашел здесь на форуме. Посмотрите, пожалуйста
здесь (http://forum.oszone.net/thread-122816.html)

[Gwenwiwar]

iskander-k, спасибо, сделала

Farger, прочитала, исправила, ошибка исчезла, огромное спасибо)

[Farger]

Здравствуйте,

Прекрасно. Какая теперь ситуация?

[Gwenwiwar]

Farger, У меня после веба осталось папка, куда он переносил по его мнению зараженные файлы, че мне с ней делать?

[Farger]

Как папка называется?

[Gwenwiwar]

так и называется "Карантин" по англ

[Farger]

Можете удалить, если хотите. В карантине файлы безвредны, так как заскриптованы.

Кроме этого, что еще волнует? Если ничего, тогда можем перейти к следующему шагу.

[Gwenwiwar]

это ж утилита от веба, он просто создал папку, куда перетащил файлы, так как не смог исцелить, разве они безвредны? Я бы удалила, но там системные файлы тоже есть