[решено] Тотальное вирусное заражение.

[Bestig1]

Доброго времени суток.
На момент написания этого сообщения, мой компьютер полностью подвластен вирусу.
Собственно говоря симптомы таковы:
-Не открываются сайты не 1ого антивируса
-Не открываюся многие другие сайты ( сегодня дошло до того, что даже ответы гугл.ру не открывает, многие сайты со статьями по лечению также недоступны)
-Вирус пресекает ВСЕ попытки скачать какой-либо софт для лечения ( я просто напросто не могу скачать ни AVZ ни HjackThis)
-Антивирус (nod32) и утилита от CureIt не могут найти каких-либо инфекций ( проверялось быстрой проверкой, полную выполню ночью).

История заражения:
Пару дней назад начал замечать что с моим компьютером что-то не так, не обратил внимание
Вчера вечером увидел что не заходит на сайты антивирусов, начал судорожно проводить лечение, порылся в интернете( вчера, к слову, ситуация была ГОРАЗДО лучше). Нашёл статью, по которой скачал 3 заплатки для Windows XP SP3 ( WindowsXP-KB958644-x86-RUS.exe, WindowsXP-KB958687-x86-RUS.exe, WindowsXP-KB957097-x86-RUS.exe), почистил реестр в локации TCP\IP (очистил список запрещённых ип), и сделал проверку CureIT за 12.11.10, в ходе проверке он нашёл ~4 вируса, которые удалил. После перезагрузки симпотмы исчезли, и я с чистой совестью ушёл спать. Сегодня днём вирус не проявлялся, к вечеру я с ужасом осознал, что вирус до сих пор со мной, и при этом проблемы стали гораздо масштабнее ( изменения со вчера: вчерашнее лечение не помогает, стали также не доступны многие сайты со статьями, nod32 включился, но не может обновится, и вирус не видит. Быстрая проверка на nod32 и CureIt не дала результатов ( оба ничего не увидели ).
Главная проблема заключается в том, что я не могу даже скачать AVZ и HjackThis для диагностки системы.
Очень нужна помощь.

Update:
снёс процесс explorer.exe, смог скачать AVZ (полиморфная) и HjackThis. Включил эксплорер обратно, с включенным ни AVZ ни HjackThis не включается.

[Drongo]

Попробуйте запустить AVZ с ключом am=y. Нажать Пуск -> Выполнить, в обзоре найти AVZ нажать ОК далее, пробел скопировать\вставить am=y - Enter. Плюс сделайте лог RSIT (http://www.virusnet.info/random/RSIT.exe)

Если не поможет, то скачайте на заведомо чистом от вирусов компьютере один из предоставленых загрузочных дисков Dr.Web LiveCD (http://www.freedrweb.com/livecd/), Лаборатории Касперского (http://rescuedisk.kaspersky-labs.com/rescuedisk/updatable/), Live CD Vba32 Rescue (ftp://anti-virus.by/pub/vbarescue.iso), Avira GmbH (http://www.free-av.com/en/tools/12/avira_antivir_rescue_system.html), запишите образ на CD-диск, загрузитесь с него и проверьте компьютер из-под выбраного LiveCD

[Bestig1]

Вот удалось сделать логи, но эти логи были сделаны с ЗАКРЫТЫМ ПРОЦЕССОМ EXLPORER.EXE

+ при 1ой перезагрузке не сменил название папки LOG, которую вирус успешно удалил. Пришлось даже её название менять, дабы соохранить лог в безопасности.

Нужно ли теперь пробывать сделать логи с AVZ с параметром am=y?

[Bestig1]

Удалось запустить AVZ с ключом am=y.

Вот логи проверок при включенном процессе explorer.exe:


p.s. лог RSIT был составлен при выключенном explorer.exe

[Drongo]

Bestig1, Ещё раз доброй ночи. :)

Временно отключите восстановление системы.

• Скрипт AVZ.
Выполните скрипт AVZ. Меню Файл - Выполнить скрипт, вставляем написаный скрипт - кнопка Запустить, после выполнения компьютер перезагрузится.

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('c:\windows\system32\pqylews.exe','');
QuarantineFile('C:\WINDOWS\system32\zkjvdny.exe','');
DeleteFile('C:\WINDOWS\system32\zkjvdny.exe');
DeleteFile('c:\windows\system32\pqylews.exe');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','FileSystem');
RegKeyStrParamWrite('HKLM', 'SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon', 'UserInit', GetEnvironmentVariable('WinDir')+'\system32\userinit.exe,');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
ExecuteRepair(20);
RebootWindows(true);
end.

После всех процедур выполните скрипт

begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.

В результате выполнения скрипта будет сформирован карантин quarantine.zip. Полученный архив отправьте при помощи этой формы (http://www.oszone.net/virusnet/), в названии темы укажите - "Проверка карантина". В теле сообщения укажите адрес своей темы на форуме. Результаты ответа, сообщите здесь, в теме.
[hr]
Повторите логи предварительно обновив базы. Что с проблемой после выполнения скрипта?

[Bestig1]

Отключил восстановление системы, затем выполнил оба скрипта.
Форму заполнил и отправил.

в AVZ кнопка файл-->Обновление баз серая ( недоступна)
ещё раз сделал логи при помощи AVZ и RSIT.exe ( прикреплены к посту)

В целом, после выполнения скрипта, признаков вируса на компьютере НЕ наблюдается.

Хотел бы выразить огромную благодарность г-ну Drongo


И также, хочу спросить: что сделать, чтобы максимально повысить безопасность родного компьютера? ( отключить автозапуски\сделать пользователя без админ прав\какой антивирус поставить и тп)
и также, что делать с восстановлением системы? ( на данный момент оно отключено).

[Drongo]

И также, хочу спросить: что сделать, чтобы максимально повысить безопасность родного компьютера? »Если хотите отключить автозапуск, выполните такой скрипт. Он отключит автозапуск со всех устройств кроме CD\DVD-приводов
begin
RegKeyIntParamWrite('HKLM','SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer','NoDriveTyp eAutoRun', 221);
end.
сделать пользователя без админ прав »Само собой создать пользовательскую учётную запись и работать из-под пользовательской учётки. Здесь вы найдёте много полезного для безопасности Windows XP (http://www.oszone.net/47/) или безопасность Windows 7 (http://www.oszone.net/10316/Security)
какой антивирус поставить и тп »Ни одно из антивирусных средств не является средством упреждения, пока в их базе не будет необходимых записей идентификации вредоносов, поэтому каким антивирусом пользоваться, решать вам или составлять мнение на основе опроса - Каким антивирусом вы предпочитаете пользоваться и почему? (http://www.forum.oszone.net/thread-146965.html)

Раз в неделю можете проверять систему, утилитой CureIT (ftp://ftp.drweb.com/pub/drweb/cureit/cureit.exe) или Kaspersky Virus Removal Tool (http://devbuilds.kaspersky-labs.com/devbuilds/AVPTool/)
в AVZ кнопка файл-->Обновление баз серая ( недоступна) »Вы используете полиморфную версию, скачайте обычную - AVZ (http://z-oleg.com/avz4.zip) - обновите базы и повторите логи.

и также, что делать с восстановлением системы? ( на данный момент оно отключено). »Включите его и создайте контрольную точку восстановления. :)

[Bestig1]

Всё вышеописанное выполнил, спасибо
Ещё хотел бы узнать - после лечения nod начал выдавать ошибку "Ошибка распаковки файлов" - в чём проблема?

[Drongo]

после лечения nod начал выдавать ошибку "Ошибка распаковки файлов" - в чём проблема? »Без понятия, но задайте вопрос в ветке - ESET NOD32/ESET Smart Security (http://www.forum.oszone.net/thread-10949.html).

Не удаляйте пока архивы логов, хорошо? :)

[Bestig1]

Архивы прикреплены к теме, удалять не собираюсь)
Ещё раз Спасибо за помощь, пометил тему как решённую.