[решено] неизвестный wciactrl.exe и профилактика [Версия для КПК]

Показать полную графическую версию : [решено] неизвестный wciactrl.exe и профилактика

strey

15-02-2009, 02:01

На ноуте знакомого вечно вылетали ошибки при работе в нете и подменялся файл Хостов. Файлик я сделал ридонли, антивири усе почистили, но остался стремный файлик wciactrl.exe который самовостанавливается.

файлы прилагаю. зарание благодарю, пошел спать :)

Pili

15-02-2009, 13:26

strey, Здравствуйте.
Для защиты от вирусов типа autorun.inf рекомендую отключить автозапуск (http://forum.oszone.net/showpost.php?p=825101)
Запустите AVZ, далее в меню файл - выполнить скрипт, выделите и скопируйте текст ниже в окно выполнения скрипта AVZ, временно выключите антивирус, firewall и другое защитное программное обеспечение (http://www.bleepingcomputer.com/forums/topic114351.html), отключите интернет (или включите временно брандмауэр windows), нажмите кнопку «Запустить».
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('F:\autorun.inf','');
QuarantineFile('F:\fhvglh.exe','');
QuarantineFile('E:\WINDOWS\wciactrl.exe','');
QuarantineFile('E:\WINDOWS\system32\drivers\sysdrv32.sys','');
QuarantineFile('E:\WINDOWS\system32\txsocm32.dll','');
QuarantineFile('E:\WINDOWS\system32\frnscli32.dll','');
DeleteFile('E:\WINDOWS\system32\frnscli32.dll');
DeleteFile('E:\WINDOWS\system32\txsocm32.dll');
DeleteFile('E:\WINDOWS\system32\drivers\sysdrv32.sys');
DeleteFile('E:\WINDOWS\wciactrl.exe');
DeleteFile('F:\fhvglh.exe');
DeleteFile('F:\autorun.inf');
DeleteService('sysdrv32');
BC_ImportDeletedList;
ExecuteSysClean;
BC_DeleteSvc('sysdrv32');
BC_Activate;
RegKeyIntParamWrite('HKLM','SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer','NoDriveTyp eAutoRun', 221);
RebootWindows(true);
end.

Компьютер перезагрузится. После перезагрузки выполнить ещё скрипт
begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.
Файл quarantine.zip отправьте на user15802[at]mail.ru, в письме укажите ссылку на тему, или выложите файл на ifolder.ru или другой файлообменник и дайте ссылку на него мне в ПМ.
Сделайте новый лог virusinfo_syscheck.zip (2-ой стандартный скрипт AVZ)
Скачайте RSIT (http://images.malwareremoval.com/random/RSIT.exe), сохраните на рабочий стол и запустите, когда закончится процесс сканирования, откроются два файла log.txt и info.txt, скопируйте (Ctrl+A, Ctrl+C) текст из этих файлов и вставьте (Ctrl+V) в следующее сообщение, если текст не уместится в одном сообщении, продолжите его в следующем или запакуйте файлы c:\log.txt и c:\info.txt и прикрепите к сообщению.

strey

15-02-2009, 22:55

Сделал:

akok

15-02-2009, 23:11

AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".
begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
DeleteFile('E:\WINDOWS\wciactrl.exe');
BC_ImportDeletedList;
BC_Activate;
ExecuteSysClean;
RebootWindows(true);
end.
После выполнения скрипта компьютер перезагрузится.

Скачайте OTMoveIt3 by OldTimer (http://oldtimer.geekstogo.com/OTMoveIt3.exe) или с зеркала (http://virusnet.info/soft/OTMoveIt3.exe) и сохраните на рабочий стол.
Запустите OTMoveIt3 (в ОС Windows Vista необходимо запускать через правую кн. мыши от имени администратора)
временно выключите антивирус, firewall и другое защитное программное обеспечение (http://www.bleepingcomputer.com/forums/topic114351.html). Выделите и скопируйте текст ниже (Ctrl+C)

:Processes
explorer.exe

:Services

:Files
E:\WINDOWS\wciactrl.exe
E:\WINDOWS\system32\12340898963336.exe
E:\WINDOWS\system32\12340808122460.exe
E:\WINDOWS\system32\12340767762708.exe
E:\WINDOWS\system32\12340765793528.exe
E:\WINDOWS\system32\sysmgr.exe
:Reg
[-HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Intel Physical Address Aventis 1.3]
:Commands
[purity]
[emptytemp]
[start explorer]
[Reboot]

В OTMoveIt3 под панелью "Paste Instructions for Items to be Moved" (под желтой панелью) вставьте скопированный текст и нажмите кнопку "MoveIt!". Выделите (Ctrl+A) и скопируйте (Ctrl+C) текст из окна под панелью "Results" (правая зеленая панель) в следующее сообщение.
Прим: Если файлы и папки не могут быть перемещены немедленно и появиться запись <deleted on reboot>, потребуется перезагрузка. После перезагрузки откройте папку "C:\_OTMoveIt\MovedFiles", найдите последний .log файл (лог в формате mmddyyyy_hhmmss.log), откройте и скопируйте текст из него в следующее сообщение.

Повторите логи AVZ и РСИТ.

serg4271

15-02-2009, 23:26

А у меня всё пришло в норму после выполнения первого скрипта(с небольшими модификациями- применимо к моему компу). Спасибо

Severny

15-02-2009, 23:32

А у меня всё пришло в норму после выполнения первого скрипта(с небольшими модификациями- применимо к моему компу). »
Действуете на свой страх и риск.

strey

15-02-2009, 23:39

========== PROCESSES ==========
Process explorer.exe killed successfully.
========== SERVICES/DRIVERS ==========
========== FILES ==========
File/Folder E:\WINDOWS\wciactrl.exe not found.
E:\WINDOWS\system32\12340898963336.exe moved successfully.
E:\WINDOWS\system32\12340808122460.exe moved successfully.
E:\WINDOWS\system32\12340767762708.exe moved successfully.
E:\WINDOWS\system32\12340765793528.exe moved successfully.
E:\WINDOWS\system32\sysmgr.exe moved successfully.
========== REGISTRY ==========
Registry key HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Intel Physical Address Aventis 1.3\\ deleted successfully.
========== COMMANDS ==========
File delete failed. E:\DOCUME~1\7B5C~1\LOCALS~1\Temp\RtkBtMnt.exe scheduled to be deleted on reboot.
User's Temp folder emptied.
User's Temporary Internet Files folder emptied.
User's Internet Explorer cache folder emptied.
Local Service Temp folder emptied.
File delete failed. E:\Documents and Settings\LocalService\Local Settings\Temporary Internet Files\Content.IE5\index.dat scheduled to be deleted on reboot.
Local Service Temporary Internet Files folder emptied.
Windows Temp folder emptied.
File delete failed. E:\Documents and Settings\Владелец\Local Settings\Application Data\Opera\Opera\Profile\vps\0009\adoc.bx scheduled to be deleted on reboot.
File delete failed. E:\Documents and Settings\Владелец\Local Settings\Application Data\Opera\Opera\Profile\vps\0009\md.dat scheduled to be deleted on reboot.
File delete failed. E:\Documents and Settings\Владелец\Local Settings\Application Data\Opera\Opera\Profile\vps\0009\url.ax scheduled to be deleted on reboot.
File delete failed. E:\Documents and Settings\Владелец\Local Settings\Application Data\Opera\Opera\Profile\vps\0009\w.ax scheduled to be deleted on reboot.
File delete failed. E:\Documents and Settings\Владелец\Local Settings\Application Data\Opera\Opera\Profile\vps\0009\wb.vx scheduled to be deleted on reboot.
File delete failed. E:\Documents and Settings\Владелец\Local Settings\Application Data\Opera\Opera\Profile\vps\0008\adoc.bx scheduled to be deleted on reboot.
File delete failed. E:\Documents and Settings\Владелец\Local Settings\Application Data\Opera\Opera\Profile\vps\0008\md.dat scheduled to be deleted on reboot.
File delete failed. E:\Documents and Settings\Владелец\Local Settings\Application Data\Opera\Opera\Profile\vps\0008\url.ax scheduled to be deleted on reboot.
File delete failed. E:\Documents and Settings\Владелец\Local Settings\Application Data\Opera\Opera\Profile\vps\0008\w.ax scheduled to be deleted on reboot.
File delete failed. E:\Documents and Settings\Владелец\Local Settings\Application Data\Opera\Opera\Profile\vps\0008\wb.vx scheduled to be deleted on reboot.
File delete failed. E:\Documents and Settings\Владелец\Local Settings\Application Data\Opera\Opera\Profile\vps\0007\adoc.bx scheduled to be deleted on reboot.
File delete failed. E:\Documents and Settings\Владелец\Local Settings\Application Data\Opera\Opera\Profile\vps\0007\md.dat scheduled to be deleted on reboot.
File delete failed. E:\Documents and Settings\Владелец\Local Settings\Application Data\Opera\Opera\Profile\vps\0007\url.ax scheduled to be deleted on reboot.
File delete failed. E:\Documents and Settings\Владелец\Local Settings\Application Data\Opera\Opera\Profile\vps\0007\w.ax scheduled to be deleted on reboot.
File delete failed. E:\Documents and Settings\Владелец\Local Settings\Application Data\Opera\Opera\Profile\vps\0007\wb.vx scheduled to be deleted on reboot.
File delete failed. E:\Documents and Settings\Владелец\Local Settings\Application Data\Opera\Opera\Profile\vps\0006\adoc.bx scheduled to be deleted on reboot.
File delete failed. E:\Documents and Settings\Владелец\Local Settings\Application Data\Opera\Opera\Profile\vps\0006\md.dat scheduled to be deleted on reboot.
File delete failed. E:\Documents and Settings\Владелец\Local Settings\Application Data\Opera\Opera\Profile\vps\0006\url.ax scheduled to be deleted on reboot.
File delete failed. E:\Documents and Settings\Владелец\Local Settings\Application Data\Opera\Opera\Profile\vps\0006\w.ax scheduled to be deleted on reboot.
File delete failed. E:\Documents and Settings\Владелец\Local Settings\Application Data\Opera\Opera\Profile\vps\0006\wb.vx scheduled to be deleted on reboot.
File delete failed. E:\Documents and Settings\Владелец\Local Settings\Application Data\Opera\Opera\Profile\vps\0005\adoc.bx scheduled to be deleted on reboot.
File delete failed. E:\Documents and Settings\Владелец\Local Settings\Application Data\Opera\Opera\Profile\vps\0005\md.dat scheduled to be deleted on reboot.
File delete failed. E:\Documents and Settings\Владелец\Local Settings\Application Data\Opera\Opera\Profile\vps\0005\url.ax scheduled to be deleted on reboot.
File delete failed. E:\Documents and Settings\Владелец\Local Settings\Application Data\Opera\Opera\Profile\vps\0005\w.ax scheduled to be deleted on reboot.
File delete failed. E:\Documents and Settings\Владелец\Local Settings\Application Data\Opera\Opera\Profile\vps\0005\wb.vx scheduled to be deleted on reboot.
File delete failed. E:\Documents and Settings\Владелец\Local Settings\Application Data\Opera\Opera\Profile\vps\0004\adoc.bx scheduled to be deleted on reboot.
File delete failed. E:\Documents and Settings\Владелец\Local Settings\Application Data\Opera\Opera\Profile\vps\0004\md.dat scheduled to be deleted on reboot.
File delete failed. E:\Documents and Settings\Владелец\Local Settings\Application Data\Opera\Opera\Profile\vps\0004\url.ax scheduled to be deleted on reboot.
File delete failed. E:\Documents and Settings\Владелец\Local Settings\Application Data\Opera\Opera\Profile\vps\0004\w.ax scheduled to be deleted on reboot.
File delete failed. E:\Documents and Settings\Владелец\Local Settings\Application Data\Opera\Opera\Profile\vps\0004\wb.vx scheduled to be deleted on reboot.
File delete failed. E:\Documents and Settings\Владелец\Local Settings\Application Data\Opera\Opera\Profile\vps\0003\adoc.bx scheduled to be deleted on reboot.
File delete failed. E:\Documents and Settings\Владелец\Local Settings\Application Data\Opera\Opera\Profile\vps\0003\md.dat scheduled to be deleted on reboot.
File delete failed. E:\Documents and Settings\Владелец\Local Settings\Application Data\Opera\Opera\Profile\vps\0003\url.ax scheduled to be deleted on reboot.
File delete failed. E:\Documents and Settings\Владелец\Local Settings\Application Data\Opera\Opera\Profile\vps\0003\w.ax scheduled to be deleted on reboot.
File delete failed. E:\Documents and Settings\Владелец\Local Settings\Application Data\Opera\Opera\Profile\vps\0003\wb.vx scheduled to be deleted on reboot.
File delete failed. E:\Documents and Settings\Владелец\Local Settings\Application Data\Opera\Opera\Profile\vps\0002\adoc.bx scheduled to be deleted on reboot.
File delete failed. E:\Documents and Settings\Владелец\Local Settings\Application Data\Opera\Opera\Profile\vps\0002\md.dat scheduled to be deleted on reboot.
File delete failed. E:\Documents and Settings\Владелец\Local Settings\Application Data\Opera\Opera\Profile\vps\0002\url.ax scheduled to be deleted on reboot.
File delete failed. E:\Documents and Settings\Владелец\Local Settings\Application Data\Opera\Opera\Profile\vps\0002\w.ax scheduled to be deleted on reboot.
File delete failed. E:\Documents and Settings\Владелец\Local Settings\Application Data\Opera\Opera\Profile\vps\0002\wb.vx scheduled to be deleted on reboot.
File delete failed. E:\Documents and Settings\Владелец\Local Settings\Application Data\Opera\Opera\Profile\vps\0001\adoc.bx scheduled to be deleted on reboot.
File delete failed. E:\Documents and Settings\Владелец\Local Settings\Application Data\Opera\Opera\Profile\vps\0001\md.dat scheduled to be deleted on reboot.
File delete failed. E:\Documents and Settings\Владелец\Local Settings\Application Data\Opera\Opera\Profile\vps\0001\url.ax scheduled to be deleted on reboot.
File delete failed. E:\Documents and Settings\Владелец\Local Settings\Application Data\Opera\Opera\Profile\vps\0001\w.ax scheduled to be deleted on reboot.
File delete failed. E:\Documents and Settings\Владелец\Local Settings\Application Data\Opera\Opera\Profile\vps\0001\wb.vx scheduled to be deleted on reboot.
File delete failed. E:\Documents and Settings\Владелец\Local Settings\Application Data\Opera\Opera\Profile\vps\0000\adoc.bx scheduled to be deleted on reboot.
File delete failed. E:\Documents and Settings\Владелец\Local Settings\Application Data\Opera\Opera\Profile\vps\0000\md.dat scheduled to be deleted on reboot.
File delete failed. E:\Documents and Settings\Владелец\Local Settings\Application Data\Opera\Opera\Profile\vps\0000\url.ax scheduled to be deleted on reboot.
File delete failed. E:\Documents and Settings\Владелец\Local Settings\Application Data\Opera\Opera\Profile\vps\0000\w.ax scheduled to be deleted on reboot.
File delete failed. E:\Documents and Settings\Владелец\Local Settings\Application Data\Opera\Opera\Profile\vps\0000\wb.vx scheduled to be deleted on reboot.
Opera cache emptied.
Temp folders emptied.
Explorer started successfully

OTMoveIt3 by OldTimer - Version 1.0.8.0 log created on 02152009_232315

Files moved on Reboot...
E:\DOCUME~1\7B5C~1\LOCALS~1\Temp\RtkBtMnt.exe moved successfully.
File move failed. E:\Documents and Settings\LocalService\Local Settings\Temporary Internet Files\Content.IE5\index.dat scheduled to be moved on reboot.
E:\Documents and Settings\Владелец\Local Settings\Application Data\Opera\Opera\Profile\vps\0009\adoc.bx moved successfully.
E:\Documents and Settings\Владелец\Local Settings\Application Data\Opera\Opera\Profile\vps\0009\md.dat moved successfully.
E:\Documents and Settings\Владелец\Local Settings\Application Data\Opera\Opera\Profile\vps\0009\url.ax moved successfully.
E:\Documents and Settings\Владелец\Local Settings\Application Data\Opera\Opera\Profile\vps\0009\w.ax moved successfully.
E:\Documents and Settings\Владелец\Local Settings\Application Data\Opera\Opera\Profile\vps\0009\wb.vx moved successfully.
E:\Documents and Settings\Владелец\Local Settings\Application Data\Opera\Opera\Profile\vps\0008\adoc.bx moved successfully.
E:\Documents and Settings\Владелец\Local Settings\Application Data\Opera\Opera\Profile\vps\0008\md.dat moved successfully.
E:\Documents and Settings\Владелец\Local Settings\Application Data\Opera\Opera\Profile\vps\0008\url.ax moved successfully.
E:\Documents and Settings\Владелец\Local Settings\Application Data\Opera\Opera\Profile\vps\0008\w.ax moved successfully.
E:\Documents and Settings\Владелец\Local Settings\Application Data\Opera\Opera\Profile\vps\0008\wb.vx moved successfully.
E:\Documents and Settings\Владелец\Local Settings\Application Data\Opera\Opera\Profile\vps\0007\adoc.bx moved successfully.
E:\Documents and Settings\Владелец\Local Settings\Application Data\Opera\Opera\Profile\vps\0007\md.dat moved successfully.
E:\Documents and Settings\Владелец\Local Settings\Application Data\Opera\Opera\Profile\vps\0007\url.ax moved successfully.
E:\Documents and Settings\Владелец\Local Settings\Application Data\Opera\Opera\Profile\vps\0007\w.ax moved successfully.
E:\Documents and Settings\Владелец\Local Settings\Application Data\Opera\Opera\Profile\vps\0007\wb.vx moved successfully.
E:\Documents and Settings\Владелец\Local Settings\Application Data\Opera\Opera\Profile\vps\0006\adoc.bx moved successfully.
E:\Documents and Settings\Владелец\Local Settings\Application Data\Opera\Opera\Profile\vps\0006\md.dat moved successfully.
E:\Documents and Settings\Владелец\Local Settings\Application Data\Opera\Opera\Profile\vps\0006\url.ax moved successfully.
E:\Documents and Settings\Владелец\Local Settings\Application Data\Opera\Opera\Profile\vps\0006\w.ax moved successfully.
E:\Documents and Settings\Владелец\Local Settings\Application Data\Opera\Opera\Profile\vps\0006\wb.vx moved successfully.
E:\Documents and Settings\Владелец\Local Settings\Application Data\Opera\Opera\Profile\vps\0005\adoc.bx moved successfully.
E:\Documents and Settings\Владелец\Local Settings\Application Data\Opera\Opera\Profile\vps\0005\md.dat moved successfully.
E:\Documents and Settings\Владелец\Local Settings\Application Data\Opera\Opera\Profile\vps\0005\url.ax moved successfully.
E:\Documents and Settings\Владелец\Local Settings\Application Data\Opera\Opera\Profile\vps\0005\w.ax moved successfully.
E:\Documents and Settings\Владелец\Local Settings\Application Data\Opera\Opera\Profile\vps\0005\wb.vx moved successfully.
E:\Documents and Settings\Владелец\Local Settings\Application Data\Opera\Opera\Profile\vps\0004\adoc.bx moved successfully.
E:\Documents and Settings\Владелец\Local Settings\Application Data\Opera\Opera\Profile\vps\0004\md.dat moved successfully.
E:\Documents and Settings\Владелец\Local Settings\Application Data\Opera\Opera\Profile\vps\0004\url.ax moved successfully.
E:\Documents and Settings\Владелец\Local Settings\Application Data\Opera\Opera\Profile\vps\0004\w.ax moved successfully.
E:\Documents and Settings\Владелец\Local Settings\Application Data\Opera\Opera\Profile\vps\0004\wb.vx moved successfully.
E:\Documents and Settings\Владелец\Local Settings\Application Data\Opera\Opera\Profile\vps\0003\adoc.bx moved successfully.
E:\Documents and Settings\Владелец\Local Settings\Application Data\Opera\Opera\Profile\vps\0003\md.dat moved successfully.
E:\Documents and Settings\Владелец\Local Settings\Application Data\Opera\Opera\Profile\vps\0003\url.ax moved successfully.
E:\Documents and Settings\Владелец\Local Settings\Application Data\Opera\Opera\Profile\vps\0003\w.ax moved successfully.
E:\Documents and Settings\Владелец\Local Settings\Application Data\Opera\Opera\Profile\vps\0003\wb.vx moved successfully.
E:\Documents and Settings\Владелец\Local Settings\Application Data\Opera\Opera\Profile\vps\0002\adoc.bx moved successfully.
E:\Documents and Settings\Владелец\Local Settings\Application Data\Opera\Opera\Profile\vps\0002\md.dat moved successfully.
E:\Documents and Settings\Владелец\Local Settings\Application Data\Opera\Opera\Profile\vps\0002\url.ax moved successfully.
E:\Documents and Settings\Владелец\Local Settings\Application Data\Opera\Opera\Profile\vps\0002\w.ax moved successfully.
E:\Documents and Settings\Владелец\Local Settings\Application Data\Opera\Opera\Profile\vps\0002\wb.vx moved successfully.
E:\Documents and Settings\Владелец\Local Settings\Application Data\Opera\Opera\Profile\vps\0001\adoc.bx moved successfully.
E:\Documents and Settings\Владелец\Local Settings\Application Data\Opera\Opera\Profile\vps\0001\md.dat moved successfully.
E:\Documents and Settings\Владелец\Local Settings\Application Data\Opera\Opera\Profile\vps\0001\url.ax moved successfully.
E:\Documents and Settings\Владелец\Local Settings\Application Data\Opera\Opera\Profile\vps\0001\w.ax moved successfully.
E:\Documents and Settings\Владелец\Local Settings\Application Data\Opera\Opera\Profile\vps\0001\wb.vx moved successfully.
E:\Documents and Settings\Владелец\Local Settings\Application Data\Opera\Opera\Profile\vps\0000\adoc.bx moved successfully.
E:\Documents and Settings\Владелец\Local Settings\Application Data\Opera\Opera\Profile\vps\0000\md.dat moved successfully.
E:\Documents and Settings\Владелец\Local Settings\Application Data\Opera\Opera\Profile\vps\0000\url.ax moved successfully.
E:\Documents and Settings\Владелец\Local Settings\Application Data\Opera\Opera\Profile\vps\0000\w.ax moved successfully.
E:\Documents and Settings\Владелец\Local Settings\Application Data\Opera\Opera\Profile\vps\0000\wb.vx moved successfully.

serg4271

15-02-2009, 23:51

Severny,

Я страховался- обновил резервную копию акронисом

strey

16-02-2009, 01:04

после перезагрузки вылезло пару окошек " предотвращение выполнения данных generic host process..." или что то такое

Кстати замечаю что проблем с вирусами больше у тех кто пользуется безпроводным нетом

Pili

16-02-2009, 09:57

strey, карантин в письмо забыли вложить :)
временно выключите антивирус, firewall и другое защитное программное обеспечение, отключите интернет (или включите временно брандмауэр windows) »
Вы антивирус и SpyBot отключали на время скрипта?
E:\WINDOWS\system32\msvcrt2.dll - проверте на virustotal.com
Включите брандмауэр windows и запретите netbios
Запустите OTMoveIt3 (в ОС Windows Vista необходимо запускать через правую кн. мыши от имени администратора)
временно выключите антивирус, firewall и другое защитное программное обеспечение (http://www.bleepingcomputer.com/forums/topic114351.html). Выделите и скопируйте текст ниже (Ctrl+C)

:Processes
explorer.exe

:Files
E:\WINDOWS\System32\45.scr
E:\WINDOWS\System32\14.scr
E:\WINDOWS\System32\20.scr
E:\WINDOWS\System32\75.scr
E:\WINDOWS\System32\84.scr
E:\WINDOWS\System32\48.scr
E:\WINDOWS\System32\34.scr
E:\WINDOWS\System32\47.scr
E:\WINDOWS\System32\37.scr
E:\WINDOWS\System32\88.scr
E:\WINDOWS\System32\06.scr
E:\WINDOWS\System32\55.scr
E:\WINDOWS\System32\72.scr
E:\WINDOWS\System32\54.scr
E:\WINDOWS\System32\82.scr
E:\WINDOWS\System32\11.scr
E:\WINDOWS\System32\13.scr
E:\WINDOWS\System32\33.scr
E:\WINDOWS\System32\35.scr
E:\WINDOWS\System32\78.scr
E:\WINDOWS\System32\05.scr
E:\WINDOWS\System32\24.scr
E:\WINDOWS\System32\31.scr
E:\WINDOWS\System32\68.scr
E:\WINDOWS\System32\76.scr
E:\WINDOWS\System32\61.scr
E:\WINDOWS\System32\22.scr
E:\WINDOWS\System32\50.scr
E:\WINDOWS\System32\87.scr
E:\WINDOWS\System32\26.scr
E:\WINDOWS\System32\64.scr
E:\WINDOWS\System32\25.scr
E:\WINDOWS\System32\74.scr
E:\WINDOWS\System32\71.scr
E:\WINDOWS\System32\70.scr
E:\WINDOWS\System32\18.scr
E:\WINDOWS\System32\51.scr
E:\WINDOWS\System32\53.scr
E:\WINDOWS\system\svhost.exe

:Reg
[-HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Microsoft(R) System Manager]
[-HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\WindowsTelephony]
[-HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\network\WindowsTelephony]

:Commands
[purity]
[emptytemp]
[start explorer]
[Reboot]

В OTMoveIt3 под панелью "Paste Instructions for Items to be Moved" (под желтой панелью) вставьте скопированный текст и нажмите кнопку "MoveIt!". Выделите (Ctfl+A) и скопируйте (Ctrl+C) текст из окна под панелью "Results" (правая зеленая панель) в следующее сообщение.
Прим: Если файлы и папки не могут быть перемещены немедленно и появиться запись <deleted on reboot>, потребуется перезагрузка. После перезагрузки откройте папку "C:\_OTMoveIt\MovedFiles", найдите последний .log файл (лог в формате mmddyyyy_hhmmss.log), откройте и скопируйте текст из него в следующее сообщение.

Скачайте SDFix (http://downloads.andymanchesta.com/RemovalTools/SDFix_ReadMe.htm) здесь (http://downloads.andymanchesta.com/RemovalTools/SDFix.exe) или здесь (http://www.downloads.andymanchesta.com/RemovalTools/SDFix.zip), загрузитесь в безопасном режиме, запустите утилиту (запустить RunThis.bat из папки SDFix - подтвердить, нажав "Y"), после окончания сканирования скопируйте (Ctrl+A, Ctrl+C) текст из C:\Report.txt и вставьте (Ctrl+V) в следующее сообщение, если текст не уместится в одном сообщении, продолжите его в следующем или запакуйте файл C:\Report.txt и прикрепите к сообщению
Описание SDFix есть здесь (http://www.saule-spb.ru/library/sdfix.html) и здесь (http://virusnet.info/forum/showthread.php?t=512)

Скачайте Malwarebytes' Anti-Malware здесь (http://malwarebytes.gt500.org/mbam-setup.exe), здесь (http://www.besttechie.net/mbam/mbam-setup.exe), здесь (http://www.malwaresupport.com/mbam/program/mbam-setup.exe) или здесь (http://download.bleepingcomputer.com/malwarebytes/mbam-setup.exe). Установите, обновите базы, выберите Perform Full Scan (Провести полную проверку), нажмите Scan (Проверить), после сканирования выберите Ок и далее Show Results (Показать результаты), нажмите "Remove Selected" (удалить выделенные, внимание - проверьте то, что удаляете). После удаления откройте лог и скопируйте в сообщение. Логи сканирования можно посмотреть во вкладке Logs (Отчеты), выбрав отчет и нажав кнопку Open (Открыть).

Скачайте ComboFix здесь (http://subs.geekstogo.com/ComboFix.exe), здесь (http://download.bleepingcomputer.com/sUBs/ComboFix.exe) или здесь (http://www.forospyware.com/sUBs/ComboFix.exe) и сохраните на рабочий стол.
Установите Recovery Console по инструкции (на англ.яз) - how-to-use-combofix (http://www.bleepingcomputer.com/combofix/how-to-use-combofix) и здесь (http://support.microsoft.com/kb/310994) - скачайте установочный файл для своей ОС (например Windows XP с пакетом обновления 2 (SP2) (http://support.microsoft.com/kb/310994#) - для Windows XP SP3 использовать этот же файл) на рабочий стол, закройте все остальные приложения и мышкой перенесите установочный файл на иконку ComboFix и установите Microsoft Recovery Console. Доп. см. Программа для Windows XP Professional с пакетом обновления 2 (SP2): Установочные диски для установки с гибкого диска (http://www.microsoft.com/downloads/details.aspx?displaylang=ru&FamilyID=535d248d-5e10-49b5-b80c-0a0205368124).
После установки консоли восстановления программа предложит запустить сканирование, подтвердите, нажав Yes.
Когда процесс сканирования завершится, скопируйте (Ctrl+A, Ctrl+C) текст из C:\ComboFix.txt и вставьте (Ctrl+V) в следующее сообщение если текст не уместится в одном сообщении, продолжите его в следующем или запакуйте файл C:\ComboFix.txt и прикрепите к сообщению.
Внимание! Перед запуском сканирования обязательно закройте все браузеры, временно выключите антивирус, firewall и другое защитное программное обеспечение (http://www.bleepingcomputer.com/forums/topic114351.html). Не запускайте других программ во время работы Combofix и не нажимайте кнопки мыши. Combofix может отключить интернет через некоторое время после запуска, не переподключайте интернет пока Combofix не завершит работу. Если интернет не появился после окончания работы Combofix, перезагрузите компьютер.
Как использовать ComboFix - how-to-use-combofix (http://www.bleepingcomputer.com/combofix/how-to-use-combofix) (на англ.яз.) и здесь (http://www.spyware-ru.com/combofix/) (на русском)

strey

16-02-2009, 17:44

Включите брандмауэр windows и запретите netbios
Запустите OTMoveIt3 (в ОС Windows Vista необходимо запускать через правую кн. мыши от имени администратора)
временно выключите антивирус, firewall и другое защитное программное обеспечение. Выделите и скопируйте текст ниже (Ctrl+C)

включить и выключить фаер волл?
Как отклюячить нетбиос? Плохо искал и не нашел :)

Pili

16-02-2009, 18:09

включить и выключить фаер волл? »
Да, если есть например Outpost, comodo или другие подобные файрволы, которые могут помешать работе утилит (AVZ и пр.)
Как отклюячить нетбиос? Плохо искал и не нашел »
Что такое брандмауэр Windows (http://www.microsoft.com/rus/windowsxp/sp2/sp2_wfintro.mspx)
Настройка брандмауэра Windows (http://www.microsoft.com/rus/windowsxp/sp2/sp2_wfsettings.mspx)
В исключениях (http://www.microsoft.com/rus/windowsxp/sp2/sp2_wfexeptions.mspx) убрать общий доступ к файлам и принтерам.

strey

17-02-2009, 01:49

на компе стоит только нод32, который я выключал, но его ядро не выгружалось, как оказалось.
За день сделал все по списку, только вот смутила строка о отсутствии консоли востановления в логе :)
Но если это стандартная консолька востановления, то с ней работать умею. Собсно файлы прилагаю:

Pili

17-02-2009, 08:17

strey, fhvglh.exe - Packed.Win32.Klone.bj, wciactrl.exe - Trojan.Win32.Buzus.alma, sysdrv32.sys - Worm.Win32.AutoRun.ezt - по касперскому
frnscli32.dll - Trojan.Win32.Agent2.dsp, txsocm32.dll - Trojan-Downloader.Win32.Agent.bhsv - новенькие, касперский теперь знает и должен знать DrWeb.
Эти файлы уже удалены.
Скопируйте текст ниже в блокнот и сохраните как файл с названием CFScript.txt на рабочий стол.
временно выключите антивирус, firewall и другое защитное программное обеспечение (http://www.bleepingcomputer.com/forums/topic114351.html)

File::
e:\windows\system32\40.scr
e:\windows\system32\41.scr
e:\windows\system32\sysmgr.exe
Registry::
[-HKEY_LOCAL_MACHINE\software\microsoft\active setup\installed components\Intel Physical Address Aventis 1.3]
[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\GloballyOpenPorts\List]
"11789:TCP"=-

После сохранения переместите CFScript.txt на пиктограмму ComboFix.exe

http://virusnet.info/images/CFScript.gif

Когда сохранится новый отчет ComboFix, скопируйте (Ctrl+A, Ctrl+C) текст из C:\ComboFix.txt и вставьте (Ctrl+V) в следующее сообщение если текст не уместится в одном сообщении, продолжите его в следующем или запакуйте файл C:\ComboFix.txt и прикрепите к сообщению
Папку C:\Qoobox\Quarantine\, папку C:\_OTMoveIt\MovedFiles с паролем virus, а также файл C:\SDFix\backups\backups.zip запакуйте пожалуйста паролем virus и пришлите мне на user15802[at]mail.ru
Далее деинсталлируйте ComboFix: нажмите пуск – выполнить - Combofix /u и запустите OTMoveIt3 и нажмите “CleanUp!”
Для контроля сделайте новый лог virusinfo_syscheck.zip (2-ой стандартный скрипт AVZ) и новые логи RSIT

strey

17-02-2009, 12:52

большое спасибо за помощь, вот логи и файлы:

Pili

17-02-2009, 13:39

strey, файлы с новыми вирусами дошли, спасибо, уйдут в вирлаб :)
Проверьте ещё файл e:\windows\system32\00.scr на virustotal.com, если зловред - удалите. Лог MBAM не нужен был, лог RSIT не сделали. По логу AVZ и combofix больше ничего плохого не вижу. Проблемы ещё наблюдаются?