[решено] инфицированные системные файлы

[seman]

Было удалено много вирусов. Потом просканил avz. Программа указала несколько инфицированных dll + подозрение на трояна.

Логи прикрепил.






p.s. Может стоит создать тему типа "Проверьте Логи", а то очень часто темы повторяются.

[iskander-k]

seman, Здравствуйте. Было бы неплохо если бы вы описали есть -ли еще проблемы и какие. Пока ничего плохого не видно.

Давайте сделаем следующее...
Обновите базы АВЗ они у вас очень старые. И сделайте новые логи АВЗ.

Отключите интернет и локальную сеть если таковая имеется.
Очистите временные файлы.
Очистите временные файлы через Пуск - Программы - Стандартные - Служебные - Очистка диска или с помощью ATF Cleaner (http://www.atribune.org/ccount/click.php?id=1).
• Скачайте ATF Cleaner (http://www.atribune.org/ccount/click.php?id=1), запустите, поставьте галочку напротив Select All и нажмите Empty Selected.
• Если вы используете Firefox, нажмите Firefox - Select All - Empty Selected.
• Нажмите No, если вы хотите оставить ваши сохраненные пароли.
• Если вы используете Opera, нажмите Opera - Select All - Empty Selected.
• Нажмите No, если вы хотите оставить ваши сохраненные пароли.
Восстановление системы. Создание новой контрольной точки восстановления и очистка предыдущих.
• Создание новой точки восстановления: Нажмите Пуск > Программы > Стандартные > Служебные > Восстановление системы, выберите Создать точку восстановления, нажмите Далее, введите имя точки восстановления и нажмите Создать.
• Очистка всех предыдущих точек восстановления: Нажмите Пуск > Программы > Стандартные > Служебные > Очистка диска, выберите системный диск, на вкладке Дополнительно > Восстановление системы нажмите Очистить, нажмите Да для очистки всех точек восстановления, кроме последней.

* Подробнее можно прочитать в этой (http://virusnet.info/forum/showthread.php?t=2065) теме.

• Сохраните реестр:
Скачайте ERUNT (http://www.geekstogo.com/forum/index.php?autocom=downloads&showfile=113), установите и запустите, выберите папку для сохранения, в разделе Backup options должны быть отмечены галочками строчки "System registry" , "Current user registry" и "Other open user registries", нажмите "Ok" и подтвердите создание папки.

• Скачайте Malwarebytes Anti-Malware (http://www.besttechie.net/mbam/mbam-setup.exe), установите, обновите базы, выберите Perform Full Scan, нажмите Scan, после сканирования - Ok - Show Results (показать результаты) - нажмите Remove Selected (удалить выделенные). Откройте лог и скопируйте в сообщение.
Если базы MBAM в автоматическом режиме обновить не удалось, обновите их отдельно. Загрузить обновление MBAM (http://malwarebytes.gt500.org/mbam-rules.exe).

[seman]

iskander-k
Да в принципе проблемных ситуаций нет. Один раз правда зависал при просмотре презентации.
с помощью Malwarebytes Anti-Malware проверку делал с обновленными базами - все чисто.

Если базы MBAM в автоматическом режиме обновить не удалось, обновите их отдельно. Загрузить обновление MBAM. »
спасибо. даже не знал, что можно автономно обновить.

ок авз обновлю и скину логи. спасибо.

[iskander-k]

Вы по правилам CureIT проверяли ? CureIT должен быть скачан на не зараженном компьютере.

Также ознакомтесь с инструкцией по ссылке Здесь (http://www.kaspersky.ru/support/wks6mp3/error?qid=2086%20wbr%3E36215#44278365718539725314) и проверьте ваш компьютер утилитой КК (http://www.kaspersky.ru/support/downloads/utils/kk.zip)

[akok]

Скачайте ComboFix здесь (http://subs.geekstogo.com/ComboFix.exe), здесь (http://download.bleepingcomputer.com/sUBs/ComboFix.exe) или здесь (http://www.forospyware.com/sUBs/ComboFix.exe) и сохраните на рабочий стол.

1. Внимание! Обязательно закройте все браузеры, временно выключите антивирус, firewall и другое защитное программное обеспечение. Не запускайте других программ во время работы Combofix. Combofix может отключить интернет через некоторое время после запуска, не переподключайте интернет пока Combofix не завершит работу. Если интернет не появился после окончания работы Combofix, перезагрузите компьютер. Во время работы Combofix не нажимайте кнопки мыши, это может стать причиной зависания Combofix.
2. Запустите combofix.exe, когда процесс завершится, скопируйте текст из C:\ComboFix.txt и вставьте в следующее сообщение или запакуйте файл C:\ComboFix.txt и прикрепите к сообщению.
Как использовать ComboFix - Руководство по применению (http://virusnet.info/forum/showthread.php?t=2773)
Прим: В случае, если ComboFix не запускается, переименуйте combofix.exe в combo-fix.exe



Скачайте Gmer (http://www.gmer.net/gmer.zip) или с зеркала (http://virusnet.info/soft/gmer.zip). Запустите программу. После автоматической экспресс-проверки, отметьте галочкой все жесткие диски и нажмите на кнопку Scan. После окончания проверки сохраните его.

[seman]

iskander-k, Вы по правилам CureIT проверяли ? »
да.все сделано по правилам.
akok
ок. попробую. спасибо.

[seman]

iskander-k, akok,
gmer нашел руткита

[thyrex]

Версия gmer уже и поновее есть ;)

Сохраните текст ниже как cleanup.bat в ту же папку, где находится gmer.exe (gmer)
gmer.exe -del service tsbuouaa
gmer.exe -del file "C:\WINDOWS\system32\ahalv.dll"
gmer.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\tsbuouaa"
gmer.exe -del reg "HKLM\SYSTEM\ControlSet002\Services\tsbuouaa"
gmer.exe -del reg "HKLM\SYSTEM\ControlSet003\Services\tsbuouaa"
gmer.exe -rebootИ запустите cleanup.bat
Компьютер перезагрузится

Сделать новый лог gmer

[akok]

Дополню

Скопируйте текст ниже в блокнот и сохраните как файл с названием CFScript.txt на рабочий стол.

KillAll::

File::

NetSvc::

Driver::
alfnlcgy
Folder::

Registry::
[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\GloballyOpenPorts\List]
"1244:TCP"=-
FileLook::

DirLook::
После сохранения переместите CFScript.txt на пиктограмму ComboFix.exe.
http://virusnet.info/images/CFScript.gif
Когда сохранится новый отчет ComboFix, запакуйте ComboFix.txt и прикрепите к сообщению.

[seman]

thyrex,
при выполнении скрипта - ошибки.
после первой
после второй написал ahalv.dll not found
после 3 - DeleteKey: параметр задан неверно

Если базы MBAM в автоматическом режиме обновить не удалось, обновите их отдельно. Загрузить обновление MBAM. »

ссылка не рабочая.

новые логи.
нашлись еще 2 службы подозрительные.

[thyrex]

thyrex,
при выполнении скрипта - ошибки. »Все, что удалялось в скрипте, меж тем удалилось. gmer так часто пишет.

нашлись еще 2 службы подозрительные. »Это скорее ложное срабатывание gmer

Да и в логе ComboFix, как мне кажется, порядок

[seman]

thyrex
спасибо за помощь

[akok]

Деинсталлируйте ComboFix: нажмите Пуск => Выполнить в окне наберите команду Combofix /u, нажмите кнопку "ОК"
http://virusnet.info/images/Combofix-unninstal.JPG

Скачайте OTCleanIt (http://oldtimer.geekstogo.com/OTC.exe) или с зеркала (http://virusnet.info/forum/downloads.php?do=file&id=21&act=down), запустите, нажмите Clean up