[решено] Explorer.exe заражён - Компьютерный форум OSzone.net

Компьютерный форум OSzone.net (http://forum.oszone.net/index.php)

- Лечение систем от вредоносных программ (http://forum.oszone.net/forumdisplay.php?f=87)

- - [решено] Explorer.exe заражён (http://forum.oszone.net/showthread.php?t=107209)

Explorer.exe заражён

Доброго времени суток.
Сам виноват получилус вирус. Теперь при заходе в Windows выскакивает табличка с ошибкой: "Explorer.exe - диск отсутствует". Половина сайтов через Opera не грузится, иногда выскакивает табличка, точно не помню, что написано, вроде "Visual С++ Explorer.exe", только это запомнил.
Проверял систему Ad-aware и Nod32 ничего не нашли. Установил Касперский, сразу определил какой-то вирус. Потом при проверке, останавливается на ssQIcDu.dll Explorer.exe, и на других файлах со странным набором букв.
Что делать?

Win XP SP 2

А случай случайно не совпадает с этими:

verdix

Да lsass.exe тоже, есть. Но решения проблемы так и нет. Вирус мне мешает.

Цитата:

Цитата Uber

Да lsass.exe тоже, есть »

Lsass.exe в папке system32 на 99% системный. Давай продолжим разговор после логов.

Сейчас сделаю

У тебя интернет без сбоев работает?
В HijackThis после сканирования выдели эти строки и нажми Fix checked.

Код:

O10 - Broken Internet access because of LSP provider 'd:\outpost firewall\lspfilt.dll' missing

O9 - Extra button: (no name) - {8DAE90AD-4583-4977-9DD4-4360F7A45C74} - (no file)

В AVZ меню Файл-- Выполнить скрипт. Скопируй код и нажми "Запустить".

Код:

begin

SetAVZGuardStatus(True);

SearchRootkit(true, true);

 BC_QrFile('C:\WINDOWS\system32\ssqOIcDu.dll');

 BC_QrFile('C:\WINDOWS\system32\DRIVERS\tcpip.sys');

 BC_QrFile('C:\WINDOWS\system32\sauixovp.dll');

 BC_QrFile('C:\WINDOWS\system32\ddcBQhhH.dll');

 BC_QrFile('C:\WINDOWS\system32\yljqrvyj.dll');

ExecuteRepair(6);

ExecuteRepair(12);

ExecuteRepair(13);

ExecuteRepair(14);

BC_Activate;

RebootWindows(true);

end.

После перезагрузки выполни второй скрипт и в папке AVZ файл quarantine.zip выложи на zalil.ru и брось ссылку мне в PM.

Код:

begin

CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');

end.

Теперь можешь отключить потенциально опасные службы и сервисы, выполнив еще скрипт.
Список этих служб в твоем логе AVZ внизу.

Код:

begin

RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Control\Terminal Server','fAllowToGetHelp', 0);

RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Control\LSA','RestrictAnonymous', 2);

RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'System\CurrentControlSet\Services\LanmanServer\Parameters','AutoShareWks', 0);

SetServiceStart('RDSessMgr', 4);

SetServiceStart('mnmsrvc', 4);

SetServiceStart('Schedule', 4);

SetServiceStart('TlntSvr', 4);

SetServiceStart('SSDPSRV', 4);

SetServiceStart('TermService', 4);

SetServiceStart('RemoteRegistry', 4);

end.

После анализа твоего карантина можно будет продолжить лечение.
Ты CureIt в безопасном режиме сканировал системный раздел?
После сделай еще раз лог HijackThis.

Интернет работает нормально.
CureIt просканировал, нашёл 1 троян и удалил.

Пофикси в HijackThis

Код:

O4 - HKLM\..\Run: [b8896d79] rundll32.exe "C:\WINDOWS\system32\sauixovp.dll",b

O4 - HKLM\..\Run: [BMbbba5ee5] Rundll32.exe "C:\WINDOWS\system32\yljqrvyj.dll",s

Выполни в AVZ

Код:

begin

SetAVZGuardStatus(True);

SearchRootkit(true, true);

 DelBHO('{8DAE90AD-4583-4977-9DD4-4360F7A45C74}');

 DelBHO('{1F460357-8A94-4D71-9CA3-AA4ACF32ED8E}');

 DelBHO('{6C23AB0C-0244-4B01-8253-BEE724D0D2EC}');

 DelBHO('{20D5276A-0452-4167-A3E7-240867F8CB0C}');

 BC_DeleteFile('C:\WINDOWS\system32\sauixovp.dll');

 BC_DeleteFile('C:\WINDOWS\system32\ssqOIcDu.dll');

 BC_DeleteFile('C:\WINDOWS\system32\ddcBQhhH.dll');

 BC_DeleteFile('C:\WINDOWS\system32\yljqrvyj.dll');

 BC_DeleteFile('ddcBQhhH.dll');

 DeleteFile('D:\NOD32\nodshex.dll');

ExecuteSysClean;

BC_Activate;

RebootWindows(true);

end.

Повтори логи.

Uber, пофиксите

Код:

O2 - BHO: (no name) - {FC2450DC-5CC9-4A68-9C86-12ECE1491646} - C:\WINDOWS\system32\ssqOIcDu.dll (file missing)

O20 - Winlogon Notify: ddcBQhhH - ddcBQhhH.dll (file missing)

ноый лог hijackthis и ещё нужны новые логи AVZ
D:\AlienGUIse - рекомендую деинсталлировать

Uber, выполните скрипт

Код:

begin

SearchRootkit(true, true);

SetAVZGuardStatus(True);

 QuarantineFile('C:\WINDOWS\system32\ssqOIcDu.dll','');

 QuarantineFile('ddcBQhhH.dll','');

 QuarantineFile('C:\WINDOWS\system32\ddcBQhhH.dll','');

 DeleteFile('C:\WINDOWS\system32\ddcBQhhH.dll');

 DeleteFile('ddcBQhhH.dll');

 DeleteFile('C:\WINDOWS\system32\ssqOIcDu.dll');

 DelBHO('{FC2450DC-5CC9-4A68-9C86-12ECE1491646}');

BC_ImportAll;

ExecuteSysClean;

BC_Activate;

RegKeyIntParamWrite('HKLM','SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer','NoDriveTypeAutoRun', 221);

RebootWindows(true);

end.

пофиксите

Код:

O2 - BHO: (no name) - {FC2450DC-5CC9-4A68-9C86-12ECE1491646} - C:\WINDOWS\system32\ssqOIcDu.dll (file missing)

O20 - Winlogon Notify: ddcBQhhH - ddcBQhhH.dll (file missing)

деинсталлируйте D:\AlienGUIse и D:\SpeedUp
повторите логи virusinfo_syscheck.zip, hijackthis.zip

Uber, в логах чисто, проблемы ещё остались?

Пока ничего не замечаю. Огромное спасибо за потраченное на меня время :)

Uber, пожалуйста :)
Рекомендую прочитать электронную книгу "Безопасный Интернет. Универсальная защита для Windows ME - Vista" и, для предотвращения заражения в будущем, следовать рекомендациям, описанным в этой книге.