[решено] Троян TR/Patched.Gr.8 и зараженные параметры реестра. Как с этим справиться?

[Agrippa]

Здравствуйте! Помогите, пожалуйста, разобраться с компьютером, я начинающий пользователь и во многом не сильна.
1.У меня антивирус Avira AntiVir Personal - Free при сканировании компьютера обнаруживает TR/Patched.Gr.8, но ничего не предпринимает, просто пишет что обнаружен и все. И еще 2 обнаружения вирусов и пять предупреждений, как с ними быть?

Avira AntiVir Personal
Report file date: 1 января 2010 г. 21:32
End of the scan: 1 января 2010 г. 22:07
Used time: 34:42 Minute(s)

Version information:
BUILD.DAT : 9.0.0.418 21723 Bytes 02.12.2009 16:28:00
AVSCAN.EXE : 9.0.3.10 466689 Bytes 13.10.2009 08:26:33
AVSCAN.DLL : 9.0.3.0 40705 Bytes 27.02.2009 07:58:24
LUKE.DLL : 9.0.3.2 209665 Bytes 20.02.2009 08:35:49
LUKERES.DLL : 9.0.2.0 12033 Bytes 27.02.2009 07:58:52
VBASE000.VDF : 7.10.0.0 19875328 Bytes 06.11.2009 04:35:52
VBASE001.VDF : 7.10.1.0 1372672 Bytes 19.11.2009 10:10:28
VBASE002.VDF : 7.10.1.1 2048 Bytes 19.11.2009 10:10:28
VBASE003.VDF : 7.10.1.2 2048 Bytes 19.11.2009 10:10:28
VBASE004.VDF : 7.10.1.3 2048 Bytes 19.11.2009 10:10:28
VBASE005.VDF : 7.10.1.4 2048 Bytes 19.11.2009 10:10:28
VBASE006.VDF : 7.10.1.5 2048 Bytes 19.11.2009 10:10:28
VBASE007.VDF : 7.10.1.6 2048 Bytes 19.11.2009 10:10:28
VBASE008.VDF : 7.10.1.7 2048 Bytes 19.11.2009 10:10:29
VBASE009.VDF : 7.10.1.8 2048 Bytes 19.11.2009 10:10:29
VBASE010.VDF : 7.10.1.9 2048 Bytes 19.11.2009 10:10:29
VBASE011.VDF : 7.10.1.10 2048 Bytes 19.11.2009 10:10:29
VBASE012.VDF : 7.10.1.11 2048 Bytes 19.11.2009 10:10:29
VBASE013.VDF : 7.10.1.79 209920 Bytes 25.11.2009 10:10:30
VBASE014.VDF : 7.10.1.128 197632 Bytes 30.11.2009 10:10:32
VBASE015.VDF : 7.10.1.178 195584 Bytes 07.12.2009 20:48:08
VBASE016.VDF : 7.10.1.224 183296 Bytes 14.12.2009 16:54:43
VBASE017.VDF : 7.10.1.247 182272 Bytes 15.12.2009 10:43:22
VBASE018.VDF : 7.10.2.30 198144 Bytes 21.12.2009 17:59:07
VBASE019.VDF : 7.10.2.63 187392 Bytes 24.12.2009 07:47:19
VBASE020.VDF : 7.10.2.93 195072 Bytes 29.12.2009 08:03:51
VBASE021.VDF : 7.10.2.94 2048 Bytes 29.12.2009 08:03:51
VBASE022.VDF : 7.10.2.95 2048 Bytes 29.12.2009 08:03:51
VBASE023.VDF : 7.10.2.96 2048 Bytes 29.12.2009 08:03:51
VBASE024.VDF : 7.10.2.97 2048 Bytes 29.12.2009 08:03:52
VBASE025.VDF : 7.10.2.98 2048 Bytes 29.12.2009 08:03:52
VBASE026.VDF : 7.10.2.99 2048 Bytes 29.12.2009 08:03:52
VBASE027.VDF : 7.10.2.100 2048 Bytes 29.12.2009 08:03:52
VBASE028.VDF : 7.10.2.101 2048 Bytes 29.12.2009 08:03:52
VBASE029.VDF : 7.10.2.102 2048 Bytes 29.12.2009 08:03:52
VBASE030.VDF : 7.10.2.103 2048 Bytes 29.12.2009 08:03:52
VBASE031.VDF : 7.10.2.111 90624 Bytes 01.01.2010 17:16:41
Engineversion : 8.2.1.122
AEVDF.DLL : 8.1.1.2 106867 Bytes 08.11.2009 04:38:52
AESCRIPT.DLL : 8.1.3.4 586105 Bytes 21.12.2009 18:12:53
AESCN.DLL : 8.1.3.0 127348 Bytes 11.12.2009 16:54:50
AESBX.DLL : 8.1.1.1 246132 Bytes 08.11.2009 04:38:44
AERDL.DLL : 8.1.3.4 479605 Bytes 07.12.2009 10:10:46
AEPACK.DLL : 8.2.0.3 422261 Bytes 08.11.2009 04:38:40
AEOFFICE.DLL : 8.1.0.38 196987 Bytes 08.11.2009 04:38:38
AEHEUR.DLL : 8.1.0.189 2195833 Bytes 21.12.2009 18:12:43
AEHELP.DLL : 8.1.9.0 237943 Bytes 17.12.2009 14:45:24
AEGEN.DLL : 8.1.1.82 369014 Bytes 21.12.2009 18:11:32
AEEMU.DLL : 8.1.1.0 393587 Bytes 08.11.2009 04:38:26
AECORE.DLL : 8.1.9.1 180598 Bytes 11.12.2009 16:54:49
AEBB.DLL : 8.1.0.3 53618 Bytes 08.11.2009 04:38:20
AVWINLL.DLL : 9.0.0.3 18177 Bytes 12.12.2008 05:47:59
AVPREF.DLL : 9.0.3.0 44289 Bytes 26.08.2009 12:14:02
AVREP.DLL : 8.0.0.3 155905 Bytes 20.01.2009 11:34:28
AVREG.DLL : 9.0.0.0 36609 Bytes 05.12.2008 07:32:09
AVARKT.DLL : 9.0.0.3 292609 Bytes 24.03.2009 12:05:41
AVEVTLOG.DLL : 9.0.0.7 167169 Bytes 30.01.2009 07:37:08
SQLITE3.DLL : 3.6.1.0 326401 Bytes 28.01.2009 12:03:49
SMTPLIB.DLL : 9.2.0.25 28417 Bytes 02.02.2009 05:21:33
NETNT.DLL : 9.0.0.0 11521 Bytes 05.12.2008 07:32:10
RCIMAGE.DLL : 9.0.0.25 2438913 Bytes 15.05.2009 12:39:58
RCTEXT.DLL : 9.0.73.0 86785 Bytes 13.10.2009 09:25:47

Configuration settings for the scan:
Jobname.............................: Complete system scan
Configuration file..................: c:\program files\avira\antivir desktop\sysscan.avp
Logging.............................: low
Primary action......................: repair
Secondary action....................: delete
Scan master boot sector.............: on
Scan boot sector....................: on
Boot sectors........................: C:,
Process scan........................: on
Scan registry.......................: on
Search for rootkits.................: on
Integrity checking of system files..: off
Optimised scan......................: on
Scan all files......................: All files
Scan archives.......................: on
Recursion depth.....................: 20
Smart extensions....................: on
Macro heuristic.....................: on
File heuristic......................: medium
Deviating risk categories...........: +APPL,+GAME,+JOKE,+PCK,+PFS,+SPR,

Start of the scan: 1 января 2010 г. 21:32

Starting search for hidden objects.
'70570' objects were checked, '0' hidden objects were found.

The scan of running processes will be started
Scan process 'avscan.exe' - '1' Module(s) have been scanned
Scan process 'avcenter.exe' - '1' Module(s) have been scanned
Scan process 'notepad.exe' - '1' Module(s) have been scanned
Scan process 'firefox.exe' - '1' Module(s) have been scanned
Scan process 'SansaDispatch.exe' - '1' Module(s) have been scanned
Scan process 'uTorrent.exe' - '1' Module(s) have been scanned
Scan process 'msmsgs.exe' - '1' Module(s) have been scanned
Scan process 'TaskSwitchXP.exe' - '1' Module(s) have been scanned
Scan process 'ctfmon.exe' - '1' Module(s) have been scanned
Scan process 'avgnt.exe' - '1' Module(s) have been scanned
Scan process 'jusched.exe' - '1' Module(s) have been scanned
Scan process 'magent.exe' - '1' Module(s) have been scanned
Scan process 'rundll32.exe' - '1' Module(s) have been scanned
Scan process 'SMax4.exe' - '1' Module(s) have been scanned
Scan process 'smax4pnp.exe' - '1' Module(s) have been scanned
Scan process 'explorer.exe' - '1' Module(s) have been scanned
Scan process 'wmiapsrv.exe' - '1' Module(s) have been scanned
Scan process 'HP1006MC.EXE' - '1' Module(s) have been scanned
Scan process 'alg.exe' - '1' Module(s) have been scanned
Scan process 'IoctlSvc.exe' - '1' Module(s) have been scanned
Scan process 'nvsvc32.exe' - '1' Module(s) have been scanned
Scan process 'NBService.exe' - '1' Module(s) have been scanned
Scan process 'MDM.EXE' - '1' Module(s) have been scanned
Scan process 'jqs.exe' - '1' Module(s) have been scanned
Scan process 'NetworkLicenseServer.exe' - '1' Module(s) have been scanned
Scan process 'avguard.exe' - '1' Module(s) have been scanned
Scan process 'sched.exe' - '1' Module(s) have been scanned
Scan process 'spoolsv.exe' - '1' Module(s) have been scanned
Scan process 'svchost.exe' - '1' Module(s) have been scanned
Scan process 'svchost.exe' - '1' Module(s) have been scanned
Scan process 'svchost.exe' - '1' Module(s) have been scanned
Scan process 'svchost.exe' - '1' Module(s) have been scanned
Scan process 'svchost.exe' - '1' Module(s) have been scanned
Scan process 'lsass.exe' - '1' Module(s) have been scanned
Scan process 'services.exe' - '1' Module(s) have been scanned
Scan process 'winlogon.exe' - '1' Module(s) have been scanned
Scan process 'csrss.exe' - '1' Module(s) have been scanned
Scan process 'smss.exe' - '1' Module(s) have been scanned
38 processes with 38 modules were scanned

Starting master boot sector scan:
Master boot sector HD0
[INFO] No virus was found!
Master boot sector HD1
[INFO] No virus was found!
Master boot sector HD2
[INFO] No virus was found!
Master boot sector HD3
[INFO] No virus was found!
Master boot sector HD4
[INFO] No virus was found!

Start scanning boot sectors:
Boot sector 'C:\'
[INFO] No virus was found!

Starting to scan executable files (registry).
The registry was scanned ( '51' files ).


Starting the file scan:

Begin scan in 'C:\' <SYSTEM>
C:\pagefile.sys
[WARNING] The file could not be opened!
[NOTE] This file is a Windows system file.
[NOTE] This file cannot be opened for scanning.
C:\Documents and Settings\Альфа\Local Settings\Temporary Internet Files\Content.IE5\H2UGVLOB\swflash[1].cab
[0] Archive type: CAB (Microsoft)
[WARNING] No further files can be extracted from this archive. The archive will be closed
--> FP_AX_CAB_INSTALLER.exe
[WARNING] No further files can be extracted from this archive. The archive will be closed
C:\WINDOWS\system32\kernel32.dll
[DETECTION] Is the TR/Patched.GR.8 Trojan
[WARNING] 'Is the TR/Patched.GR.8 Trojan'. This detection is probably an error. Please send us this file immediately for further analysis.
C:\WINDOWS\system32\dllcache\kernel32.dll
[DETECTION] Is the TR/Patched.GR.8 Trojan
[WARNING] 'Is the TR/Patched.GR.8 Trojan'. This detection is probably an error. Please send us this file immediately for further analysis.


End of the scan: 1 января 2010 г. 22:07
Used time: 34:42 Minute(s)

The scan has been done completely.

5259 Scanned directories
247156 Files were scanned
2 Viruses and/or unwanted programs were found
0 Files were classified as suspicious
0 files were deleted
0 Viruses and unwanted programs were repaired
0 Files were moved to quarantine
0 Files were renamed
1 Files cannot be scanned
247153 Files not concerned
2835 Archives were scanned
5 Warnings
1 Notes
70570 Objects were scanned with rootkit scan
0 Hidden objects were found




Попробовала найти этот файл через поисковик (в меню Пуск-поиск) и не смогла найти. В инете посмотрела, что за зверь, вроде троян. Как мне его удалить? Чтобы система не рухнула? Cканировала комп утилитой Dr.Web CureIt, ничего не находит.


2.Установила на своем компьютере, сразу после обнаружения трояна, программу Malware Bytes Anti-malware, найдено только 3 вируса. Что это - вирусы? И если их удалить, не приведет ли это к разрушению ОС? Я их поместила в карантин.
Malwarebytes' Anti-Malware 1.43
Версия базы данных: 3462
Windows 5.1.2600 Service Pack 2
Internet Explorer 7.0.5730.11

31.12.2009 15:18:07
mbam-log-2009-12-31

Тип проверки: Полная (A:\|C:\|D:\|E:\|F:\|G:\|H:\|)
Проверено объектов: 177813
Прошло времени: 30 minute(s), 34 second(s)

Заражено процессов в памяти: 0
Заражено модулей в памяти: 0
Заражено ключей реестра: 0
Заражено значений реестра: 0
Заражено параметров реестра: 3
Заражено папок: 0
Заражено файлов: 0

Заражено параметров реестра:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\AntiVirusDisableNotify (Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> No action taken
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\FirewallDisableNotify (Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\UpdatesDisableNotify (Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> No action taken.

Помогите советом, пожалуйста!

[thyrex]

Выполните правила (http://forum.oszone.net/thread-98169.html)

[Agrippa]

Спасибо. В ближайшее время выполню правила. А можно ли пользоваться краткими правилами по запросу помощи в лечении?
http://forum.oszone.net/thread-98169.html
И если я отключу восстановление системы, то надо ли будет потом заново создавать новую контрольную точку восстановления системы? И как оставить включенным мой браузер (у меня Мозилла Файрфокс), если я отключу сеть интернет, просто кликнуть мышкой по иконке на рабочем столе?
Спасибо

[iskander-k]

А можно ли пользоваться краткими правилами по запросу помощи в лечении? »
Можно.

И как оставить включенным мой браузер (у меня Мозилла Файрфокс), если я отключу сеть интернет, просто кликнуть мышкой по иконке на рабочем столе? »
Можете запустить браузер и свернуть его нажав на кнопку " Свернуть ""

[Agrippa]

И еще меня волнует вопрос, если я отключу восстановление системы, то надо ли будет потом заново создавать новую контрольную точку восстановления системы? Спасибо

[iskander-k]

И еще меня волнует вопрос, если я отключу восстановление системы, то надо ли будет потом заново создавать новую контрольную точку восстановления системы? »
Да.

Точку восстановления надо будет в любом случае делать новую

[Agrippa]

А какую задать новую точку восстановления системы? Ведь если поставить точку , например год назад, то у меня половина программ не были установлены, включая антивир. Вот недопойму я что-то, откуда мне брать дату, или же она появится автоматически? Спасибо.

[akok]

Попробуйте по этой инструкции (http://virusnet.info/forum/showthread.php?t=2065)

[Agrippa]

Правила выполнила, что дальше, поставить галочку на восстановлении системы? Лог файлы высылаю. Спасибо

[Agrippa]

Отчего-то не высылается(

[Agrippa]

Еще раз пробую отослать файлы

[Agrippa]

Похоже, я проводила лечение с включенной системой, потому что полезла сейчас включать, а там предупреждение вылезло. Что и как узнать что у меня должно быть?Что делать-то?

[Agrippa]

1. А что делать, если я работала без отключения точек восстановления системы? Это плохо? И как быть тогда?
2. И как быть с программами AVZ и HiJack, удалять или нет? И как обычно, или скачивать программу деинсталлятор?
3. И как быть с помещенными в карантин файлами параметров реестра Malwarebytes Anti-Malware? Восстановить?

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\AntiVirusDisableNotify (Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\FirewallDisableNotify (Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\UpdatesDisableNotify (Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> Quarantined and deleted successfully.

Благодарна за помощь. Пожалуйста, ответьте !

[E-mpty]

1. А что делать, если я работала без отключения точек восстановления системы? Это плохо? И как быть тогда? »
Очистить и создать новую, как написано в правилах.2. И как быть с программами AVZ и HiJack, удалять или нет? И как обычно, или скачивать программу деинсталлятор? »
Можна как обычно...3. И как быть с помещенными в карантин файлами параметров реестра Malwarebytes Anti-Malware? Восстановить? »
Нет, восстанавливать не надо, раз они попали в карантин...

[Agrippa]

А если я сама поместила в карантин файлы параметров реестра Malwarebytes Anti-Malware , надо ли в этом случае восстанавливать их?
И скажите, это не троян у меня ? Это ложное срабатывание?

А если не очищать и не создавать новую точку восстановления, в случае лечения без отключения точек, чем это грозит?
Прошу прощения за возможно, не слишком грамотные для форума, вопросы, но мне приходиться разбираться во многом самостоятельно.
Спасибо.

[iskander-k]

Эти ключи можно и восстановить.

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\AntiVirusDisableNotify (Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\FirewallDisableNotify (Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\UpdatesDisableNotify (Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> Quarantined and deleted successfully. »

Эти ключи показывают и отключают встроенный в windows центр защиты, который проверяет начичие на компе защитных программ (антивирусов, фаерволов) и сигнализирует если они выключены(но часто этот центр ошибается). При удалении этих ключей центр защиты просто включится. Когда вы сами выключите этот центр , то такие ключи снова появятся в реестре.

[Agrippa]

Большое спасибо.
А если не очищать и не создавать новую точку восстановления, в случае лечения без отключения точек, чем это грозит?
Прошу прощения за возможно, не слишком грамотные для форума, вопросы, но мне приходиться разбираться во многом самостоятельно.
Пожалуйста, ответьте, этот вопрос меня очень интересует, так боюсь что-то не так сделать в компьютере!

[iskander-k]

А если не очищать и не создавать новую точку восстановления, в случае лечения без отключения точек, чем это грозит? »
Система создаст новую в любом случае при первом простое.
Чем это грозит ? При возникновении какой-либо ошибки windows постарается восстановить работоспособность системы и в этом случае вы рискуете получить опять зараженную систему. :)
Поэтому лучше после лечения создать новую точку и удалить старые.

[Agrippa]

А если было лишь ложное срабатывание Авиры на пиратскую Виндовс, а до этого при установке Антивира (после Нод) были удалены зараженные файлы и вирусы, то и по этому тоже, надо создавать новую точку восстановления и удалять старые? Что-то жалко мне их, там ведь и самые первые точки - год назад, наверное, когда интернета не было и комп предположительно был чист! Я ведь слабый пользователь, для меня энто прямо Операция! Лечения как такового не было.

[iskander-k]

А если было лишь ложное срабатывание Авиры »
Авира - я считаю - параноик орёт по любому случаю, а на вирусы ноль внимания.

для архивации работоспособной системы есть программы - я пользуюсь Acronis True Image. Точки восстановления очень редко использую.