Сильное заражение

[iskander-k]

KAV отказывается устанавливаться. »
И скорее всего не установится у вас присутствует Нортон либо его остатки


AV: Norton Internet Security
FW: Norton Internet Security
SP: Norton Internet Security

[SolarSpark]

хвосты от Symantec вижу - убираем
Ashampoo Antivirus папку вижу - убираем
как же касперу установиться, если тут такое собрание?

скачайте утиль из вложения прогоните для удаления продукта симантека
для корректного удаления продуктов Norton от Symantec после работы утилиты Norton Removal Tool и последующей перезагрузки необходима ручная чистка системы от оставшихся папок: Symantec, Norton, NortonInstaller, Norton Installer, Tific + пройдитесь CCleaner, перед удалением чего-либо из реестра делаем копию реестра

Скопируйте текст ниже в блокнот и сохраните как файл с названием CFScript.txt на рабочий стол.

Driver::
bcgpgbos
Folder::
c:\windows\system32\%APPDATA%
c:\users\Админ\AppData\Local\Ashampoo Antivirus
Registry::
NetSvc::
bcgpgbos
Reboot::

После сохранения переместите CFScript.txt на пиктограмму ComboFix.exe.
http://safezone.cc/images/cfscript.gif
Когда сохранится новый отчет ComboFix, запакуйте ComboFix.txt и прикрепите к сообщению.

c:\windows\System32\wuauclt.exe восстановить с дистрибутива

[rzdpasha]

И скорее всего не установится у вас присутствует Нортон либо его остатки »Знаком с этой проблемой, потому имею все популярные утилиты для удаления антивирусных продуктов. Но здесь выскакивающее окно другого содержания.
c:\windows\System32\wuauclt.exe восстановить с дистрибутива »
Такого файла в Win7 нет, или я плохо искал?После сохранения переместите CFScript.txt на пиктограмму ComboFix.exe. »А вот с этим проблема. Выскакивает окно с предупреждением. Суть в том, что предлагается закачать другую версию ComboFix с указанного сайта, и есть подозрение на патч-вирус Virut.

Почитал тут на соседних форумах про Virut, удивлен, насколько живучая тварь.

[SolarSpark]

раз пошла такая пляска, проверяемся с ливсд..каспера или др.веба, записанного на болванку на здоровом компе..

[rzdpasha]

Читаете мои мысли, SolarSpark. Уже в процессе:)

[rzdpasha]

Пока дело делается. Если не трудно, проанализируйте логи с другого зараженного гнусными вымогателями компа, скоро отдавать клиенту, а вдруг там чего есть..

[SolarSpark]

rzdpasha, правила форума-разные компы-разные темы, вы уж извините
придется создать другую тему

[rzdpasha]

Одобряю. Именно поэтому иногда лучше через PM.

[rzdpasha]

По проблеме: KRD опять нашёл несколько десятков вирусов (вчерашние базы), перед этим были удалены все точки восстановления (работаю без страховки). На этом я не успокоился и прогнал LiveCD от ESET (сегодняшние базы) - 15 штук. Уже интересно. Далее: ERD-диск с проверкой "Автономным средством проверки системы", которому "скормил" через флэш свежескачанные Forefront, Essentials, Defender. Боюсь пока запускать Win7. Почитав http://www.microsoft.com/security/portal/Threat/Encyclopedia/Entry.aspx?Name=Win32%2fVirut есть желание на всякий подмахнуть winlogon.exe с установочного диска, поскольку эта гадость в первую очередь инжектируется туда. Пока идёт проверка вышеупомянутыми утилитами.

[SolarSpark]

rzdpasha, почему ESET?
Пожалуйста, прислушайтесь к моему совету, лечитесь LiveCD от DrWeb или Касперского, эти продукты лечат а не карантинят и удаляют.

[rzdpasha]

LiveCD от DrWeb на этой машине почему-то отказывается работать. Точнее - его графическая оболочка. При запуске системы опять блокируется установка KAV (для интереса пробовал ESET - аналогично). Начинают опускаться руки.

[SolarSpark]

LiveCD от DrWeb на этой машине почему-то отказывается работать. »
инструкцию читали?

антивирь не поставится пока система не будет чистой

ESET не очистит ее от вирута-бесполезная возня

[rzdpasha]

инструкцию читали? »Признаться, нет. Пусть маслает в текстовом режиме, просто неизвестно, когда закончится.
ESET не очистит ее от вирута-бесполезная возня »Ну что ж. Попробовать всё равно стоило (не сидеть же сиднем).

[SolarSpark]

а ваш диск идет на других пк?

если да, то в больном пк надо сбросить настройки биоса на дефолтные
отключите все подключенные к системному блоку устройства, выдерните шнур питания. Отвинтите крышку, коснитесь руками блока питания, найдите батарейку CMOS на материнке, вытащите ее и замкните отверткой или батарейкой выводы гнезда. Вставьте батарейку на место, после этого проверьте надежность подключения дисков (шлейфы и питание), если контакты в порядке - закройте крышку и подключите отключенные устройства.

http://pc-doc.spb.ru/comp_remont/623.JPG - замыкание выводов

пробуем делать загрузочную флеш LiveCD
http://www.freedrweb.com/liveusb/?lng=ru

если ESET щас проверять начнет файлы системы и они не пройдут у него по базе легитимных-он вместо лечения просто их тупо удалит..Разницу ощущаете?

[rzdpasha]

а ваш диск идет на других пк? »Выяснилось, что нет. Кривая сборка что-ли.

[iskander-k]

Выяснилось, что нет. Кривая сборка что-ли. »
Возможно или возникают ошибки при записи. Поэтому рекомендуется при записи дисков отключать антивирусы и записывать на низкой скорости установленной вручную(встречался что при записи дисков при помощи неро при включенном каспере записанный диск не читался как надо.) .

При запуске системы опять блокируется установка KAV »
Попробуйте сканер Kaspersky Virus Removal Tool - http://support.kaspersky.ru/faq/?qid=208637130

[rzdpasha]

Возможно или возникают ошибки при записи. Поэтому рекомендуется при записи дисков отключать антивирусы и записывать на низкой скорости установленной вручную(встречался что при записи дисков при помощи неро при включенном каспере записанный диск не читался как надо.) . »
Перебрал уже кучу образов для CD и флэшек, пробовал на 4-х разных компах - ни разу не увидел графического интерфейса. В текстовом режиме проверка длилась почти сутки! (и это на core i5 !!!). По ходу проверки выявлялись файлы "FLY CODE", только окончание проверки было без меня. То ли он вылечил и перезагрузился, то ли светом "дернули" и опять-таки перезагрузился - не знаю. Знаю лишь, что в системе без изменений. Не устанавливаются KAV, ESET и сам DrWeb. Сделал новые логи на всякий.
Попробуйте сканер Kaspersky Virus Removal Tool - http://support.kaspersky.ru/faq/?qid=208637130 »Ни MBAM, ни KVRT ничего не находят, только AVZ чухает маскировку процессов в системе.

[SolarSpark]

Скачайте Universal Virus Sniffer (UVS) (http://dsrt.dyndns.org/files/uvs_v368.zip) . Распакуйте архив в отдельную папку на рабочий стол.

Откройте папку с UVS и запустите файл start.exe. В открывшимся окне выберите пункт "Запустить под текущим пользователем".

Выберите меню "Тесты" => "Тест на активные файловые вирусы".
___________________
!!!Внимание. Если у вас установлены архиваторы WinRAR или 7Zip, то UVS в автоматическом режиме упакует лог в архив иначе это будет необходимо сделать вам вручную.

Дождитесь окончания работы программы и результаты опишите в теме, где вам оказывают помощь.

[rzdpasha]

Дождитесь окончания работы программы и результаты опишите в теме, где вам оказывают помощь. »Программа отработала очень быстро. Активных вирусов не обнаружено.

[iskander-k]

вы сделали неправильно

Сделайте еще лог Universal Virus Sniffer (UVS)

Скачайте Universal Virus Sniffer (UVS) (http://dsrt.dyndns.org/files/uvs_v368.zip)

Как подготовить лог UVS (http://safezone.cc/forum/showthread.php?t=14508)

Извлеките UVS из архива или из zip-папки. Откройте папку с UVS и запустите файл start.exe. В открывшимся окне выберите пункт "Запустить под текущим пользователем".

Выберите меню "Файл" => "Сохранить полный образ автозапуска". Программа предложит вам указать место сохранения лога в формате "имя_компьютера_дата_сканирования". Лог необходимо сохранить на рабочем столе.
___________________
!!!Внимание. Если у вас установлены архиваторы WinRAR или 7Zip, то UVS в автоматическом режиме упакует лог в архив иначе это будет необходимо сделать вам вручную.

Дождитесь окончания работы программы и прикрепите лог к посту в теме.


___________________
!!! Обратите внимание, что утилиты необходимо запускать от имени Администратора. По умолчанию в Windows XP так и есть. В Windows Vista и Windows 7 администратор понижен в правах по умолчанию, поэтому, не забудьте нажать правой кнопкой на программу, выбрать Запуск от имени Администратора, при необходимости укажите пароль администратора и нажмите "Да".