[решено] Подозрение на вредоносное ПО

[DummyCorp]

Привет, ребят. Сегодня ночью ОС начала себя немного неадекватно вести, пару раз крешился проводник, не удалялись пустые папки. Утром включаю компьютер, касперский не стартует (internet securtity 2010), при чем на экране приветствия надписи protected by kaspersky lab тоже нету. Один раз автоматом открывался блокнот с первой строкой "This Program Cannot Be Run in DOS Mode", а дальше тонны текста непонятной кодировки. Название открытого файла, увы, не помню. Вместе со стартом рабочего стола появляется ошибка "Ошибка при инициализации приложения" MOM.exe, скриншоты этой и остальных ошибок после старта прилагаю. Безопасный режим не стартует ни в одном из вариантов: проходит загрузка файлов, загрузка SPTD, потом черный экран, ребут и снова загрузка ОС. AVZ так же не запускается. Hosts чистый. Скриншот диспетчера прилагаю, в нем, кстати, время от времени проскакивают непонятные процессы, да и сейчас там висят. Очень рассчитываю на вашу помощь, на жесятках много важных файлов, отточенная под себя система, не хотелось бы терять что-либо.

[regist]

DummyCorp, попробуйте сделать логи полиморфным AVZ (http://gjf.hotbox.ru/svchost.pif)

если не получится попытайтесь завершить процесс tonysba.exe и так сделать логи.

сделайте лог uVS (http://safezone.cc/forum/showthread.php?t=14508)

[DummyCorp]

regist, завершил все подозрительные процессы от SYSTEM, кроме одного - ibserver.exe, он запускается сам тут же после его завершения. Полиморфный запустился, простой же, после завершения процессов, начал запускаться, но завершался спустя 2-3 секунды. Спустя ~10 минут работы ОС процесс lsass.exe забирает все ресурсы процессора, а сделать с ним ничего нельзя. Сейчас сделаю ребут для драйвера расширенного мониторинга процессов, попробую сделать логи AVZ.

[regist]

просто сделайте логи полиморфным AVZ. с остальным разбёрмся по ходу лечения.

[DummyCorp]

regist, попробовал сделать логи AVZ сразу после запуска ОС. Завершить, к сожалению, не удалось. По мере работы AVZ появлялось все больше процессов, а затем lsass.exe начал полностью загружать ЦП, соответственно сканирование стало проходить невозможно медленно.

regist, попробовал сделать лог uVS, аналогично - при длительной проверке цифровых подписей lsass.exe дал о себе знать и все повисло.

[regist]

а если в безопасном режиме ? постарайтесь сделать хотя бы стандартный скрипт №2 (он быстрее делается).

+ сделайте лог лог HiJackThis http://forum.oszone.net/thread-177677.html

[iskander-k]

В безопасном режиме проверьте утилитой CureIT (http://www.freedrweb.com/cureit/)

[DummyCorp]

iskander-k, regist, вот тут-то тоже проблема
Безопасный режим не стартует ни в одном из вариантов: проходит загрузка файлов, загрузка SPTD, потом черный экран, ребут и снова загрузка ОС »

[regist]

сделать хотя бы стандартный скрипт №2 (он быстрее делается).
+ сделайте лог лог HiJackThis »
что с этим ?

[DummyCorp]

Второй скрипт удалось выполнить, прикрепил файлы.
Сейчас посмотрю с HiJackThis и 10-м пунктом.

[DummyCorp]

Так-с, не работает ни одна ссылка по загрузке HiJackThis: Невозможно найти удалённый сервер

Есть, скачал с sourceforge.net

[DummyCorp]

Прикрепляю лог HijackThis

[regist]

DummyCorp, у вас файловый вирус Sality пролечитесь, как указано здесь (http://forum.oszone.net/post-1867330-10.html), а после сделайте новые логи.

на время лечения подключите к компьютеру все флешки и другие съёмные носители чтоб их тоже пролечить.

[DummyCorp]

regist, Dr. Web LiveCD сделал чуть менее, чем ничего.
Kaspersky Rescue Disk дал некие результаты, проверил системный раздел, секторы загрузки, вылечил около 1000 файлов, но вот беда - системный раздел весит всего-то 10гб, а на его проверку ушла весомая часть времени, как же тогда поступить с зараженным винчестером на 1.5 ТБ? Пары суток не хватит...
Сейчас прогоню salitykiller'om от Касперского, но винчестер на полтора ему тоже придется сканировать, не представляю сколько времени это займет.

[DummyCorp]

salitykiller завершил лечение файлов, но проблемы продолжаются. Смог установить касперского, справиться не может, проводит лечение, перезагрузку и опять обнаруживает то, что лечил прошлый раз, хоть и заблокировал доступ вируса к вредоносным файлам в интернете. Вот логи AVZ, лог virusinfo_cure.zip не поместился, вот он:

[iskander-k]

DummyCorp, Ссылку на архив с вирусом отправьте в РМ хэлперу. Из поста удалите.

alitykiller завершил лечение файлов, но проблемы продолжаются. »
Утилита не может вживую удалиить вирус.

просканируйте комп Live CD

[DummyCorp]

iskander-k, лечение livecd от каспера провел

[regist]

DummyCorp, файловый вирус до сих пор активен, пролечитесь ещё раз диском от касперского.

[DummyCorp]

Эту ночь провел за лечением :3
Есть положительные результаты, активность вирусов, вроде-бы, прекратилась (больше всего дел натворили Sality и Virut, парой работали :D), разблокировался доступ к антивирусным сайтам после работы kaspersky removal tool, прогнал систему salitykiller'oм и virutkiller'ом, обновил базы KIS 2010, прогнал им. Вот новые логи, посмотрите пожалуйста.

[DummyCorp]

UP: потер еще один файл - nwcwks.dll