[решено] Подозрение на вирусы

[santana109]

После суток работы компьютера(скачки с интернета) он обязательно зависает и приходиться перезагружать,может какой-то вирус. ВОТ сделал логи по правилам:

[santana109]

еще может это и не в эту тему , но выдает ошибку explorer.exe

[Pili]

santana109, BitComet деинсталлируйте (С:\Program Files\BitComet), а также Radmin и временно Outpost (чтобы не мешал)
C:\WINDOWS\system32\mstask.dll проверьте на virustotal.com
Очистите временные файлы через Пуск-Программы-Стандартные-Служебные-Очистка диска или с помощью ATF Cleaner (http://www.atribune.org/ccount/click.php?id=1)
- скачайте ATF Cleaner (http://www.atribune.org/ccount/click.php?id=1), запустите, поставьте галочку напротив Select All и нажмите Empty Selected.
- если вы используете Firefox, нажмите Firefox - Select All - Empty Selected
- нажмите No, если вы хотите оставить ваши сохраненные пароли
- если вы используете Opera, нажмите Opera - Select All - Empty Selected
- нажмите No, если вы хотите оставить ваши сохраненные пароли
Запустите AVZ, далее в меню файл - выполнить скрипт, выделите и скопируйте текст ниже в окно выполнения скрипта AVZ, временно выключите антивирус, firewall и другое защитное программное обеспечение (http://www.bleepingcomputer.com/forums/topic114351.html), отключите интернет (или включите временно брандмауэр windows), нажмите кнопку «Запустить».
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('c:\program files\bitcomet\bitcomet.exe','');
QuarantineFile('c:\windows\system32\rserver30\newtstop.dll','');
DeleteFile('c:\windows\system32\rserver30\newtstop.dll');
DeleteFile('c:\program files\bitcomet\bitcomet.exe');
DeleteFileMask('%Tmp%', '*.*', true);
DeleteFileMask('C:\Documents and Settings\Администратор\Local Settings\Temp\', '*.*', true);
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
ExecuteWizard('TSW', 1, 1, true);
ExecuteWizard('BT', 1, 1, true);
RegKeyIntParamWrite('HKLM','SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer','NoDriveTyp eAutoRun', 221);
RebootWindows(true);
end.
Запустите HiJackThis (http://www.trendsecure.com/portal/en-US/_download/HiJackThis.exe), нажмите кнопку "Do a system scan only", в открывшемся окне поставьте галочки напротив указанных строк и нажмите кнопку "Fix Checked".
R3 - URLSearchHook: (no name) - - (no file)

Скачайте Malwarebytes' Anti-Malware здесь (http://malwarebytes.gt500.org/mbam-setup.exe), здесь (http://www.besttechie.net/mbam/mbam-setup.exe), здесь (http://www.malwaresupport.com/mbam/program/mbam-setup.exe) или здесь (http://download.bleepingcomputer.com/malwarebytes/mbam-setup.exe). Установите, обновите базы, выберите Perform Full Scan (Провести полную проверку), нажмите Scan (Проверить), после сканирования выберите Ок и далее Show Results (Показать результаты), нажмите "Remove Selected" (Удалить выделенные). После удаления откройте лог и скопируйте в сообщение. Логи сканирования можно посмотреть во вкладке Logs (Отчеты), выбрав отчет и нажав кнопку Open (Открыть).

Скачайте ComboFix здесь (http://subs.geekstogo.com/ComboFix.exe), здесь (http://download.bleepingcomputer.com/sUBs/ComboFix.exe) или здесь (http://www.forospyware.com/sUBs/ComboFix.exe) и сохраните на рабочий стол.
Установите Recovery Console по инструкции (на англ.яз) - how-to-use-combofix (http://www.bleepingcomputer.com/combofix/how-to-use-combofix) и здесь (http://support.microsoft.com/kb/310994) - скачайте установочный файл для своей ОС (например Windows XP с пакетом обновления 2 (SP2) (http://support.microsoft.com/kb/310994#) - для Windows XP SP3 использовать этот же файл) на рабочий стол, закройте все остальные приложения и мышкой перенесите установочный файл на иконку ComboFix и установите Microsoft Recovery Console. Доп. см. Программа для Windows XP Professional с пакетом обновления 2 (SP2): Установочные диски для установки с гибкого диска (http://www.microsoft.com/downloads/details.aspx?displaylang=ru&FamilyID=535d248d-5e10-49b5-b80c-0a0205368124).
После установки консоли восстановления программа предложит запустить сканирование, подтвердите, нажав Yes.
Когда процесс сканирования завершится, скопируйте (Ctrl+A, Ctrl+C) текст из C:\ComboFix.txt и вставьте (Ctrl+V) в следующее сообщение если текст не уместится в одном сообщении, продолжите его в следующем или запакуйте файл C:\ComboFix.txt и прикрепите к сообщению.
Внимание! Перед запуском сканирования обязательно закройте все браузеры, временно выключите антивирус, firewall и другое защитное программное обеспечение (http://www.bleepingcomputer.com/forums/topic114351.html). Не запускайте других программ во время работы Combofix и не нажимайте кнопки мыши. Combofix может отключить интернет через некоторое время после запуска, не переподключайте интернет пока Combofix не завершит работу. Если интернет не появился после окончания работы Combofix, перезагрузите компьютер.
Как использовать ComboFix - how-to-use-combofix (http://www.bleepingcomputer.com/combofix/how-to-use-combofix) (на англ.яз.) и здесь (http://www.spyware-ru.com/combofix/) (на русском)
Прим: В случае, если ComboFix не запускается, переименуйте combofix.exe в combo-fix.exe

Скачайте OTListIt2 (http://oldtimer.geekstogo.com/OTListIt2.exe), сохраните на рабочий стол и запустите, поставьте галочку Scan All Users, LOP Check, Purity Check и в Extra Registry - Use Safe list. Нажмите Run Scan, когда закончится процесс сканирования, откроются два файла OTListIt.Txt и Extras.txt , скопируйте (Ctrl+A, Ctrl+C) текст из этих файлов и вставьте (Ctrl+V) в следующее сообщение, если текст не уместится в одном сообщении, продолжите его в следующем или запакуйте полученные логи C:\OTListIt.Txt и C:\Extras.txt и прикрепите к сообщению.
Включите AVZM и повторите логи

[santana109]

а также Radmin и »
радмин не установлен у меня
C:\WINDOWS\system32\mstask.dll проверьте на virustotal.com »
ничего не дало
Прикрепил логи OTListIt2.

Включите AVZM и повторите логи »
вот это не понял как делать

вот лог Malwarebytes' Anti-Malwarе


Malwarebytes' Anti-Malware 1.33
Версия базы данных: 1659
Windows 5.1.2600 Service Pack 3

26.01.2009 11:47:18
mbam-log-2009-01-26 (11-47-18).txt

Тип проверки: Полная (C:\|)
Проверено объектов: 69566
Прошло времени: 8 minute(s), 25 second(s)

Заражено процессов в памяти: 0
Заражено модулей в памяти: 0
Заражено ключей реестра: 0
Заражено значений реестра: 0
Заражено параметров реестра: 0
Заражено папок: 0
Заражено файлов: 0

Заражено процессов в памяти:
(Вредоносные программы не обнаружены)

Заражено модулей в памяти:
(Вредоносные программы не обнаружены)

Заражено ключей реестра:
(Вредоносные программы не обнаружены)

Заражено значений реестра:
(Вредоносные программы не обнаружены)

Заражено параметров реестра:
(Вредоносные программы не обнаружены)

Заражено папок:
(Вредоносные программы не обнаружены)

Заражено файлов:
(Вредоносные программы не обнаружены)

[Pili]

радмин не установлен у меня »
c:\windows\system32\rserver30\newtstop.dll
А это тогда что? Прикрепил логи OTListIt2. »
Сначала запустите combofix, после этого сделайте новые логи OTListIt2
вот это не понял как делать »
Запустите AVZ. В меню AVZM выберите «установить драйвер расширенного мониторинга процессов», перезагрузите компьютер
Это есть в правилах, там где обновление баз AVZ
Если outpost удалите, включите встроенный брандмауэр windows и отключите в нем общий доступ к файлам и принтерам.

[santana109]

вот какую ошибку у меня выдало когда я пытался запустить ComboFi

[Pili]

santana109, Outpost деинсталлировали? Попробуйте запустить CF в безопасном режиме.

[santana109]

Все получилось вот логи:

[santana109]

Pili, после использования все этих программ появилось много ненужных файлов в частности от ComboFix,что с ними делать??
Вот например:

[santana109]

и ещё, нужно ли мне блокировать такие порты: 445 и 139 перекрыты.??и как это сделать в брандмауэре??

[Pili]

после использования все этих программ появилось много ненужных файлов в частности от ComboFix,что с ними делать?? »
пока оставить.
и ещё, нужно ли мне блокировать такие порты: 445 и 139 перекрыты.??и как это сделать в брандмауэре?? »
в исключениях брандмауэра отключить общий доступ к файлам и принтерам.
Я уже вам давал аналогичные рекомендации здесь (http://forum.oszone.net/post-1009501-5.html), если бы выполнили их, то не подхватили бы червя kido снова.
BitComet деинсталлируйте.
Настоятельно рекомендуем установить критическое обновление KB958644 (http://forum.oszone.net/thread-121039.html) установите все патчи см. пост 21 (http://forum.oszone.net/post-1014045-21.html) и все обновления - http://windowsupdate.microsoft.com
Скопируйте текст ниже в блокнот и сохраните как файл с названием CFScript.txt на рабочий стол.
временно выключите антивирус, firewall и другое защитное программное обеспечение (http://www.bleepingcomputer.com/forums/topic114351.html)

Driver::
eylgy

Registry::
[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\GloballyOpenPorts\List]
"5265:TCP"=-


После сохранения переместите CFScript.txt на пиктограмму ComboFix.exe

http://virusnet.info/images/CFScript.gif

Когда сохранится новый отчет ComboFix, скопируйте (Ctrl+A, Ctrl+C) текст из C:\ComboFix.txt и вставьте (Ctrl+V) в следующее сообщение если текст не уместится в одном сообщении, продолжите его в следующем или запакуйте файл C:\ComboFix.txt и прикрепите к сообщению.

Скачайте Gmer (http://www.gmer.net/gmer.zip), запустите программу. После автоматической экспресс-проверки, отметьте галочкой все жесткие диски и нажмите на кнопку "Scan". После окончания проверки сохраните его лог (нажмите на кнопку Save) и вложите в сообщение.
Скачайте DDS (http://download.bleepingcomputer.com/sUBs/dds.scr) и сохраните на рабочий стол, отключите антивирус и запустите dds.scr, когда сканирование закончится, скопируйте текст из файлов DDS.txt и Attach.txt в сообщение или запакуйте файлы и вложите в сообщение.
файлы
c:\windows\system32\user32.dll
c:\windows\system32\ctfmon.exe
проверьте на virustotal.com

[santana109]

BitComet деинсталлируйте. »
навсегда или на время проверки??просто он мне нужен
что именно из этого мне надо поставить?

[Pili]

santana109, на ваше усмотрение, почитайте здесь (http://www.auditmypc.com/process/bitcomet.asp) и здесь (http://www.prevx.com/filenames/2016226334780526644-268105163/BITCOMET+X+12E022FBITCOMET2EEXE.html), можете bitcomet.exe и др. файлы из папки проверить на virustotal

[santana109]

Pili, Настоятельно рекомендуем установить критическое обновление KB958644 »- это обновления я установливал ранее.

в исключениях брандмауэра отключить общий доступ к файлам и принтерам »
вроде отключил

c:\windows\system32\ctfmon.exe »
ничего не дало.

c:\windows\system32\ctfmon.exe »
зато по этому файлу я прикрепил ниже информацию:
Антивирус Версия Обновление Результат
AhnLab-V3 - - -
AntiVir - - TR/Patched.BB.23
Authentium - - -
Avast - - -
AVG - - -
BitDefender - - -
CAT-QuickHeal - - -
ClamAV - - -
Comodo - - -
DrWeb - - -
eSafe - - -
eTrust-Vet - - -
Ewido - - -
F-Prot - - -
F-Secure - - -
Fortinet - - -
GData - - -
Ikarus - - -
K7AntiVirus - - -
Kaspersky - - -
McAfee - - -
McAfee+Artemis - - -
Microsoft - - -
NOD32 - - -
Norman - - -
Panda - - -
PCTools - - -
Prevx1 - - -
Rising - - -
SecureWeb-Gateway - - Trojan.Patched.BB.23
Sophos - - -
Sunbelt - - -
Symantec - - -
TheHacker - - -
TrendMicro - - -
VBA32 - - -
ViRobot - - -
VirusBuster - - -
Дополнительная информация
MD5: f7af57aa04ec029609f083c07e691e37
SHA1: 0b914818ec47390866b8044c7856b8d41f67634b
SHA256: 7dd4494e7433e9af0b90e87a75d067f285d37b30323a1480b40bd7ab21588699
SHA512: 8fbe5a228422dfc2f15f945f3b44ff94a7cc2e28baa4925baa5b6cb0ddd24fca3fbf529efe1a0ca1744f4f0c14ecce895b40 6b3be697a38f4362a83cebc3ec

ComboFix.exe, Gmer, DDS- сделал логи и прикрепил всё в одном архиве.

[santana109]

дело в том что программа Prevx CSI нашла 4 зараженных объекта, но для их удаления требуется ключ
santana109, на ваше усмотрение »
пожалуста подскажите что поставить на скрине так как я не сильно разбираюсь.
Изображения[AD] Безымянный.JPG
(204.5 Kb, 0 просмотров) »
зарание спасибо, жду ответа.

[Pili]

это обновления я установливал ранее. »
Там ещё есть утилиты, проверялись ими?
что именно из этого мне надо поставить? »
Выберите патч для вашей ОС Windows XP SP3, можете установить то, что предложит windowsupdate.microsoft.com
К сожалению на вашем скриншоте не все файлы видно, скопируйте лог Prevx CSI в текстовом виде в сообщение или удалите то что что нашел Prevx CSI вручную, предварительно проверив файлы на virustotal
зато по этому файлу я прикрепил ниже информацию »
по этому - это user32.dll? Запакуйте его с паролем virus и отправьте в вирлаб, рекомендую заменить этот файл, взяв его с чистой системы, а также ctfmon.exe и explorer.exe (возможно придется полностью делать восстановление системных файлов)
combofix не отработал, видимо оттого, что у вас outpost, я рекомендовал его временно деинсталлировать, как и radmin, по логам gmer и dds, от kido ничего не обнаружено, попробуйте деинсталлирвоать outpost и radmin, деинсталлируйтеBitComet.
посмотрите в ветке реестра (лучше с помощью IceSword (http://mail.ustc.edu.cn/~jfpan/download/IceSword122en.zip)) вкладка registry
HKLM\SYSTEM\CurrentControlSet\Services\eylgy
параметр Parameters@ServiceDll на какой файл указывает? Найдите этот файл (можно с помощью IceSword - вкладка file) и через п.к.м скопируйте этот файл куда-нибудь и удалите (через force delete), сам файл в архиве с паролем также можете отправить в вирлаб. см. дополнительно Краткое описание и инструкция по удалению от Microsoft (http://support.microsoft.com/kb/962007/ru), рекомендую провериться также утилитой Утилита KidoKiller (http://forum.kaspersky.com/index.php?showtopic=101154)
Скачайте OTMoveIt3 by OldTimer (http://oldtimer.geekstogo.com/OTMoveIt3.exe) и сохраните на рабочий стол.
Запустите OTMoveIt3 (в ОС Windows Vista необходимо запускать через правую кн. мыши от имени администратора)
временно выключите антивирус, firewall и другое защитное программное обеспечение (http://www.bleepingcomputer.com/forums/topic114351.html). Выделите и скопируйте текст ниже (Ctrl+C)

:Processes
explorer.exe

:Services
eylgy

:Files

:Reg
[-HKLM\SYSTEM\CurrentControlSet\Services\eylgy]
[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\GloballyOpenPorts\List]
"5265:TCP"=-
:Commands
[purity]
[emptytemp]
[start explorer]
[Reboot]

В OTMoveIt3 под панелью "Paste Instructions for Items to be Moved" (под желтой панелью) вставьте скопированный текст и нажмите кнопку "MoveIt!". Выделите (Ctfl+A) и скопируйте (Ctrl+C) текст из окна под панелью "Results" (правая зеленая панель) в следующее сообщение.
Прим: Если файлы и папки не могут быть перемещены немедленно и появиться запись <deleted on reboot>, потребуется перезагрузка. После перезагрузки откройте папку "C:\_OTMoveIt\MovedFiles", найдите последний .log файл (лог в формате mmddyyyy_hhmmss.log), откройте и скопируйте текст из него в следующее сообщение.
Повторите логи combofix.

[santana109]

Там ещё есть утилиты, проверялись ими? »
да проверял, ничего

деинсталлируйтеBitComet. »
я проверил вс файлы на virustotal.com, он чистый.

провериться также утилитой Утилита KidoKiller »
также ничего не дало.

что у вас outpost, я рекомендовал его временно деинсталлировать »

его я деинсталировал но корректно или нет незнаю, боюсь хвосты пооставались

OTMoveIt3 »
эти логи прикрепил

ComboFix »
и прекрепил 2 разных лога
Pili, вроде все сделал правильно.Жду ответа.

[Pili]

его я деинсталировал но корректно или нет незнаю, боюсь хвосты пооставались »
Инструкции по расширенной деинсталляции и переустановке Outpost ... (http://forum.five.mhost.ru/kb2/index.php/%D0%98%D0%BD%D1%81%D1%82%D1%80%D1%83%D0%BA%D1%86%D0%B8%D0%B8_%D0%BF%D0%BE_%D1%80%D0%B0%D1%81%D1%88%D 0%B8%D1%80%D0%B5%D0%BD%D0%BD%D0%BE%D0%B9_%D0%B4%D0%B5%D0%B8%D0%BD%D1%81%D1%82%D0%B0%D0%BB%D0%BB%D1%8 F%D1%86%D0%B8%D0%B8_%D0%B8_%D0%BF%D0%B5%D1%80%D0%B5%D1%83%D1%81%D1%82%D0%B0%D0%BD%D0%BE%D0%B2%D0%BA% D0%B5_Outpost_Firewall)
Теперь combofix отработал.

посмотрите в ветке реестра (лучше с помощью IceSword) вкладка registry
HKLM\SYSTEM\CurrentControlSet\Services\eylgy
параметр Parameters@ServiceDll на какой файл указывает? Найдите этот файл (можно с помощью IceSword - вкладка file) и через п.к.м скопируйте этот файл куда-нибудь и удалите (через force delete), сам файл в архиве с паролем также можете отправить в вирлаб. см. дополнительно Краткое описание и инструкция по удалению от Microsoft, »
это делали? dll нашли?
Выполните
Пуск - выполнить - cmd
Вставьте
dir C:\windows\system32 /A:ashr >C:\scan.txt
файл C:\scan.txt прикрепите к сообщению.

Временно деинсталлируйте свой антивирус (потом заново установите), скачайте Avira AntiVir Personal (http://www.free-av.com/en/download/index.html), установите обновите базы (через интернет или можно скачать отдельно здесь (http://www.avira.com/en/support/support_downloads.html ) и обновить вручную), проведите сканирование системы, логи проверки можете выложит в след. сообщение.
c:\windows\system32\user32.dll - вы похоже так и не заменили, поэтому если не замените, Avira может удалить этот файл.

[santana109]

Пуск - выполнить - cmd
Вставьте
Код:
dir C:\windows\system32 /A:ashr >C:\scan.txt »
пожалуста объясните подробней как это сделать у меня не получилось, вылезло черное окно и там иероглифы ,а дальше ничего.

c:\windows\system32\user32.dll - вы похоже так и не заменили, поэтому если не замените, Avira может удалить этот файл. »

а вручную просто удалить нельзя???

[Pili]

пожалуста объясните подробней как это сделать у меня не получилось, вылезло черное окно и там иероглифы ,а дальше ничего. »
распакуйте и запустите вложенный файл, C:\scan.txt вложите в сообщение или скопируйте из него текст в след. сообщение.
а вручную просто удалить нельзя???
Это системный файл, если удалите, могут быть проблемы, нужно заменить файл с дистрибутива или другой чистой системы или с помощью sfc /scannow