[решено] вирус блокирующий сеть

[seman]

Внезапно комп стал зависать. загружается очень медленно. касперский появляется в трее спустя 15 минут.
проверка gmerом ничего не показала. Malwarebytes' Anti-Malware показал - все чисто. (как то странно)
однажды каспер вывел окно с указанием вируса и попросил перезагрузиться чтобы вылечить, в итоге - ничего.
в автозагрузке висели 2 файла подозрительных - удалил их из автозагрузки.
пункт выполнить был заблокирован, после утилитки combofix (если мне память не изменяет) пункт появился.
сеть пропала совсем. Даже невозможно получить ip адрес от DHCP сервера.

[Drongo]

seman, Здравствуйте. :)

Отключите интернет и локальную сеть если таковая имеется.

Очистите временные файлы.

Пуск-Программы-Стандартные-Служебные-Очистка диска или с помощью ATF Cleaner (http://www.atribune.org/ccount/click.php?id=1)
- скачайте ATF Cleaner (http://www.atribune.org/ccount/click.php?id=1) или с зеркала (http://virusnet.info/forum/downloads.php?do=file&id=1&act=down), запустите, поставьте галочку напротив Select All и нажмите Empty Selected.
- если вы используете Firefox, нажмите Firefox - Select All - Empty Selected
- нажмите No, если вы хотите оставить ваши сохраненные пароли
- если вы используете Opera, нажмите Opera - Select All - Empty Selected
- нажмите No, если вы хотите оставить ваши сохраненные пароли.


Восстановление системы. Создание новой контрольной точки восстановления и очистка предыдущих.

Создание новой точки восстановления: Нажмите Пуск => Программы => Стандартные => Служебные => Восстановление системы, выберите Создать точку восстановления, нажмите Далее, введите имя точки восстановления и нажмите Создать
Очистка всех предыдущих точек восстановления: Нажмите Пуск => Программы => Стандартные => Служебные => Очистка диска, выберите системный диск, на вкладке Дополнительно => Восстановление системы нажмите Очистить, нажмите Да для очистки всех точек восстановления, кроме последней.


* Как это сделать, подробно можно прочитать в этой (http://virusnet.info/forum/showthread.php?t=2065) теме.


• HiJackThis Нужно пофиксить эти строки в HiJackThis. Выставив галочки напротив этих пунктов и нажмите кнопку Fix Checked. Как пофиксить в HijackThis (http://virusnet.info/forum/showthread.php?t=9)

O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k



• Скрипт AVZ.
Выполните скрипт AVZ. Меню Файл - Выполнить скрипт, вставляем написаный скрипт - кнопка Запустить, после выполнения компьютер перезагрузится.

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\Installer\{FB64BF25-3593-4E4E-AA85-84AEF1D1475F}\NewShortcut1.FCA9991C_BA96_4189_B2BE_13852649CA68.exe','');
QuarantineFile('C:\WINDOWS\Installer\132b7.msi','');
QuarantineFile('C:\WINDOWS\Downloaded Installations\BMP\{1010925C-CEA9-49ED-AB1F-BDA72379C99B}\BACS.msi','');
QuarantineFile('0.exe','');
DeleteFile('0.exe');
DeleteFile('C:\WINDOWS\Downloaded Installations\BMP\{1010925C-CEA9-49ED-AB1F-BDA72379C99B}\BACS.msi');
DeleteFile('C:\WINDOWS\Installer\132b7.msi');
DeleteFile('C:\WINDOWS\Installer\{FB64BF25-3593-4E4E-AA85-84AEF1D1475F}\NewShortcut1.FCA9991C_BA96_4189_B2BE_13852649CA68.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\WOW\boot','previousProjectorProcessID');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
ExecuteRepair(13);
RebootWindows(true);
end.

После всех процедур выполните скрипт

begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.

В результате выполнения скрипта будет сформирован карантин quarantine.zip Вышлите полученный файл quarantine.zip на newvirus@kaspersky.com (mailto:newvirus@kaspersky.com). Результаты ответа, сообщите здесь, в теме


Повторите логи и что с проблемой?

[seman]

Drongo
после выполнения скрипта появилась ошибка runtime error 261 (память обратилась....)
нов итоге он сделал свое дело, удалил все.
сеть однако по-прежнему отсутствует. (ip адрес не получает от сервера провайдера)
после загрузки появляется рабочий стол быстро, однако долго думает минут 5-8 до загрузки элементов трея.

давно еще заметил появление в автозагрузке 2 подозрит-х файла
hpothb07.dat ,hpothb07.tif
убрал их из автозагрузки, почистил реестр. однако они появляются в папке Мои документы
пробывал пофиксить
O4 - .DEFAULT User Startup: hpothb07.dat (User 'Default user')
O4 - .DEFAULT User Startup: hpothb07.tif (User 'Default user')
не вышло, они все равно появляются там.
Что это может быть?

[Drongo]

seman, Попробуйте эту рекомендацию. Это для восстановления сети. Со своей операционной системы запустите WinsockXPFix (http://kts-samara.ru/WinsockxpFix.zip). А дальше следуйте рекомендациям по иструкции (http://kts-samara.ru/st6.html).

Если первый совет поможет, то вторую рекомендацию можно не выполнять, в противном случае выполните и её.

Скачайте SDFix (http://downloads.andymanchesta.com/RemovalTools/SDFix.exe), загрузитесь в безопасном режиме, запустите утилиту (запустить RunThis.bat - подтвердить, нажав "Y"), после окончания сканирования скопируйте текст из C:\Report.txt и вставьте в следующее сообщение или запакуйте файл C:\Report.txt и прикрепите к сообщению
Описание SDFix есть здесь (http://www.saule-spb.ru/library/sdfix.html).

[seman]

Drongo
спасибо. получилось. еще такой вопрос. после выполнения скрипта, появилась ошибка и теперь она постоянно появляется после завершения работы.
runtime error 216 at 02e431f2 explorer.exe
память обратилась......

в последних логах все чисто?

[Drongo]

в последних логах все чисто? »Вредного ничего не увидел

еще такой вопрос. после выполнения скрипта, появилась ошибка и теперь она постоянно появляется после завершения работы.
runtime error 216 at 02e431f2 explorer.exe »Без понятия что это может быть. Если есть дистрибутив с операционной системой, вставьте его в привод.

Пуск - выполнить - введите sfc \scannow.

[seman]

Drongo
ок. если ошибка еще появится попробую сп3 накатить.

спасибо за помощь.