[решено] derm32.exe

[qwerty.]

Здравствуйте, одна надежда на Вас.

В общем пару дней назад случайно обнаружил процесс - derm32.exe, я его испугался и выключил, после чего интернет перестал работать. Перезагрузил компьютер, процесс снова появился и интернет работал, тут то я и понял, что процесс в автозагрузке, а работоспособность интернета зависит от него.

В интернете полезной информации не нашел, разве что на другом крупном форуме такой же тематики, там тоже жаловались на такой процесс, но как вылечить свой компьютер от этого файла информации не было.

Заранее спасибо.

[alex_sev]

Закройте все программы, выгрузите антивирус, файрволл и прочее защитное ПО.

Выполните скрипт в АВЗ (http://safezone.cc/forum/showthread.php?t=10) (Файл - Выполнить скрипт):


begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
TerminateProcessByName('d:\documents and settings\p0wer\local settings\temp\derm32.exe');
QuarantineFile('d:\documents and settings\p0wer\local settings\temp\derm32.exe','');
DeleteFile('D:\DOCUMENTS AND SETTINGS\P0WER\LOCAL SETTINGS\TEMP\DERM32.EXE');
DelBHO('{91397D20-1446-11D4-8AF4-0040CA1127B6}');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','dskchk');
ExecuteSysClean;
ExecuteWizard('SCU',2,3,true);
RebootWindows(true);
end.

Компьютер перезагрузится, После перезагрузки:
- выполните такой скрипт

begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.

Полученный архив отправьте с помощью этой формы (http://www.oszone.net/virusnet/) или на этот почтовый ящик: quarantine <at> safezone.cc (замените <at> на @) с указанием ссылки на тему в теме (заголовке) сообщения. с указанием пароля: virus в теле письма.

Скачайте Malwarebytes' Anti-Malware (http://malwarebytes.org/mbam-download-exe-random.php) или с зеркала (http://download.bleepingcomputer.com/malwarebytes/mbam-setup.exe), установите, обновите базы, выберите "Perform Full Scan" ("Полное сканирование"), нажмите "Scan" ("Сканирование"), после сканирования - Ok - Show Results ("Показать результаты") - Откройте лог и скопируйте в блокнот и прикрепите его к следующему посту.
Если базы MBAM в автоматическом режиме обновить не удалось, обновите их отдельно. Загрузить обновление MBAM. (http://data.mbamupdates.com/tools/mbam-rules.exe)

[qwerty.]

Архив отправил.

Вот лог после сканирования. Я позавчера уже сканировал этой программой компьютер, только быстрым сканированием.

[alex_sev]

Карантин по форме отправили?

Подготовьте лог OTL by OldTimer (http://safezone.cc/forum/showpost.php?p=64662&postcount=1)

Загрузите SecurityCheck by screen317 отсюда (http://screen317.spywareinfoforum.org/SecurityCheck.exe) или отсюда (http://screen317.changelog.fr/SecurityCheck.exe) и сохраните утилиту на Рабочем столе Запустите двойным щелчком мыши (если Вы используете Windows XP) или из меню по щелчку правой кнопки мыши Запустить от имени администратора (если Вы используете Windows Vista/7) Когда увидите консоль, нажмите любую клавишу для продолжения сканирования Если увидите предупреждение от вашего фаервола относительно программы SecurityCheck, не блокируйте ее работу. Дождитесь окончания сканирования, откроется лог в блокноте с именем checkup.txt; Прикрепите файл к следующему сообщению.Подробнее читайте в руководстве (http://safezone.cc/forum/showthread.php?t=17023).

[qwerty.]

Да, по форме.

[alex_sev]

И еще я лог OTL чуть выше попросил.

Обновите уязвимый софт:

Java (http://www.java.com/ru/download/faq/remove_olderversions.xml)
Adobe Reader (http://get.adobe.com/reader/otherversions/)
Firefox (http://www.mozilla.org/ru/firefox/fx/)

Установите Service Pack 1 для Windows 7 (http://windows.microsoft.com/ru-ru/windows7/install-windows-7-service-pack-1) может потребоваться повторная активация

[qwerty.]

Софт обновил, кроме Adobe Reader, он не установлен. Сейчас поставлю SP1.

Вот лог OTL.

[alex_sev]

Adobe Reader, он не установлен »
Вижу обратное:

"{AC76BA86-7AD7-1033-7B44-AA1000000001}" = Adobe Reader X (10.1.3)

Запустите повторно OTL by OldTimer (http://oldtimer.geekstogo.com/OTL.exe) или OTL.com (http://oldtimer.geekstogo.com/OTL.com) или OTL.scr (http://oldtimer.geekstogo.com/OTL.scr).

Обратите внимание, что утилиты необходимо запускать от имени Администратора. По умолчанию в Windows XP так и есть. В Windows Vista и Windows 7 администратор понижен в правах по умолчанию, поэтому, не забудьте нажать правой кнопкой на программу, выбрать Запуск от имени Администратора, при необходимости укажите пароль администратора и нажмите "Да".

В окно Custom Scans/Fixes скопируйте следующую информацию:

:processes

:OTL
O17 - HKLM\System\CCS\Services\Tcpip\Parameters\Interfaces\{2BAD10BD-81B3-4C94-8841-766F9B86632F}: NameServer = 127.0.0.1
O17 - HKLM\System\CCS\Services\Tcpip\Parameters\Interfaces\{367F2FDA-CFE5-4309-8771-E2C0F322D1E3}: NameServer = 127.0.0.1
O17 - HKLM\System\CCS\Services\Tcpip\Parameters\Interfaces\{A280D755-53C2-4A9F-86A7-885C4B66988C}: DhcpNameServer = 127.0.0.1
O17 - HKLM\System\CCS\Services\Tcpip\Parameters\Interfaces\{A280D755-53C2-4A9F-86A7-885C4B66988C}: NameServer = 127.0.0.1
O17 - HKLM\System\CCS\Services\Tcpip\Parameters\Interfaces\{CFF4998A-00A9-4862-A904-1EFD7C289041}: NameServer = 127.0.0.1
[2012.08.14 16:01:33 | 000,000,013 | ---- | C] () -- D:\Users\p0wER\dlst.dat
:Services

:Files

autorun.inf /alldrives
recycler /alldrives
ipconfig /flushdns /c
:Reg

:Commands
[EMPTYJAVA]
[EMPTYFLASH]
[purity]
[Reboot]
Проверьте, что весь текст скрипта был скопирован / вставлен верно и нажмите кнопку "Run Fix"
Компьютер перезагрузится.
После перезагрузки откройте папку "C:\_OTL\MovedFiles", найдите последний .log файл (лог в формате mmddyyyy_hhmmss.log), откройте и скопируйте текст из него в следующее сообщение.

[qwerty.]

Оказывается Reader действительно был, обновить его не удалось, установщик выдал, что на копмьютере самое новое ПО, в итоге Adobe Reader удалил, он мне все равно не нужен. Скрипт выполнил, после перезагрузки интернет заработал, процесса derm32.exe нет.

Лог прикрепил.

[alex_sev]

Ок, отлично.

Снова запустите OTL и нажмите кнопку CleanUp (деинсталляция OTL)
Ознакомьтесь с этими рекомендациями (http://forum.oszone.net/post-1838507-9.html)

Файл и папки удалите вручную:

D:\Users\p0wER\pconfig
D:\Users\p0wER\dpconfig
D:\Users\p0wER\flh.dat

Смените Важные пароли (контакт, пароли сохраненные в браузерах)

[qwerty.]

Спасибо огромное :)

[iskander-k]

Проблема решена ?

[qwerty.]

iskander-k, да.