|
Подцепил заразу, всё просканил, логи есть, хелп плиз!
Вложений: 1
Друзья, надежда только на вас! Подцепил заразу лютую - стал тормозить комп, постоянно стало 50% процессора занято explorer.exe. В резиденте стоит nod32. Он ничего не сканил, короче скачал cureit - о ппа, амне в safe mode не зайти - чёрный экран и привет шишкину. Скачал avz, где-то что-то прочёл, использовал вроде безопасный по интуиции скрипт, в общем попал в сэйф, просканил cureit, нашёл Trojan.Muldroper.19494 и ещё какую-то дрянь в System Volume Informetion _restore и т.д. ну и ещё по мелочам. Да, восстановление системы тоже не работало (пропали все сделанные ранее точки возврата). В общем всё грохнул, запустил, опять процессор explorerom на 50% загружается. В общем 3,14... Зашёл на virusinfo.info Сделал всё как надо - Касперскии тулз у меня больше суток в сэйф моде сканил нашёл ошмётки порубанных вирусов и ещё троянов в прогах, которые просто засторены без запусков, типа безвредные. если не трогать. Потом соответственно всё как положено avz 2 раза и hijack. Посмотрите плиз результат, что теперь с этим делать? Заранее всем огромное спасибо!!!!!!!!!!!!
|
tooler, по логам зловредов не видно. Деинсталлируйте UnHackMe, Unlocker, Advanced Email Extractor, VistaDriveIcon, можете также временно деинсталлировать BestCrypt, Punto Switcher и ZoneAlarm (для проверки, потом снова поставите, если потребуется, ZA может мешать работе утилит), вместо ZA можете включить встроенный брандмауэр windows
Пофиксите в HJT строчки Код:
O4 - HKUS\S-1-5-19\..\RunOnce: [IE7_011] regsvr32 /s /n /i:u shell32 (User 'LOCAL SERVICE')Скачайте Malwarebytes' Anti-Malware, установите, обновите базы, выберите "Perform Full Scan", нажмите "Scan", после сканирования - Ok - Show Results - нажмите "Remove Selected". Откройте лог и скопируйте в сообщение. Скачайте SDFix - описание тут, загрузитесь в безопасном режиме, запустите утилиту (запустить RunThis.bat - подтвердить, нажав "Y"), после окончания сканирования запакуйте и вложите C:\Report.txt в сообщение. Скачайте ComboFix здесь или здесь и сохраните на рабочий стол. Установите Recovery Console по инструкции - how-to-use-combofix, и http://support.microsoft.com/kb/310994 - скачайте установочный файл для своей ОС (напр. Windows XP с пакетом обновления 2 (SP2)) на рабочий стол, закройте все остальные приложения и мышкой перенесите установочный файл на иконку ComboFix, подтвердите лицензионное соглашение и установите Microsoft Recovery Console. - Внимание! Обязательно закройте все браузеры, закройте и отключите все антивирусное и другое защитное программное обеспечение. Не запускайте других программ во время работы Combofix. Combofix может отключить интернет через некоторое время после запуска, не переподключайте интернет пока Combofix не завершит работу. Если интернет не появился после окончания работы Combofix, перезагрузите компьютер. Во время работы Combofix не нажимайте кнопки мыши, это может стать причиной зависания Combofix. - Запустите combofix.exe, когда процесс завершится скопируйте и скопируйте текст из C:\ComboFix.txt в сообщение, еcли лог окажется очень большой, запакуйте C:\ComboFix.txt и прикрепите к сообщению. |
спасибо за ответ, сразу возникли вопросы, - можно ли не трогать bestcript? с ним вообще никогда никаких проблем не было, а там инфа, по поводу unhack - она уже удалена, где-то её следы остались? advanced mail extractor - пишет не может открыть log., можно ли у далить их тупо deletom? Извините, если вопросы не в тему...
|
Цитата:
Цитата:
Цитата:
Удалить остатки UnHackMe не так просто в реестре HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager BootExecute поставить значение autocheck autochk * в HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnceEx убрать Title = "UnHackMe Rootkit Check" А также проверьте ветки реестра и остальные записи, связанные с UnHackMe и Partizan, посмотрите здесь Перед тем как редактировать реестр, сохраните его Скачайте ERUNT, установите и запустите, выберите папку для сохранения, в backup options должны бить отмечены галочками строчки "System registry" и "Current user registry", "Other open user registries" нажмите "Ok" и подтвердите создание папки. И скрипт AVZ для удаления драйвера UnHackMe Код:
beginКод:
O8 - Extra context menu item: Advanced Email Extractor - res://c:\program files\advanced email extractor\aeemsie.dll/page.html |
Вложений: 1
Спасибо вам огромное за помощь, Unhack удалил RegSupremomPro, до AME пока не дошло. Boot.exe пробил на virustotal.com, ничего не показало. Просканил всё Malwarebytes' Anti-Malware. Лог прилагаю. Опять же, кроме winrara все остальные проги из лога просто засторены и ни разу не запускались. Перехожу к сканированию SDFix.
|
Вложений: 1
Просканил SDFix. Скидываю репорт. От себя отмечу, что процесс входа в safe mode очень нездоровый, ибо если раньше (давно) входил сразу, сейчас чёрный экран длится более 5 минут, правда, потом всё же входит. + в эксплорере пропали иконки от дисков С и Е. осталось в отличие от дисков F и Z лишь изображения "неопознанных" файлов. Это нормально? Перехожу к ComboFix...
|
Вложений: 1
Ну вот, скан Combofixom закончен. Кстати, при запуске прога сказала что есть обновление и предложила обновиться, я вписался, вроде всё прокатило, пришлось только ещё раз хр шный файл продрагдропить. Скан приаттачиваю. из побочных -слетела картинка рабочего стола, попробую перегрузиться, думаю, должна реанимироваться. Вроде сканы теперь все. Что скажете? Из явных косяков - очень долгая загрузка в сейф мод. Заранее огромное спасибо за помощь!
P.S. Обнаружил на рабочем столе директорию с Касперским тулом, которым я перед всем этим сканил. 2Гига. Можно их просто дилитом грохануть или тоже как-нибудь хитро стирать надо? С уважением, tooler |
Нет. ну это ж надо!!!!!!!!!!!! Только что, после двух суток скана антивирями и всем тем, что вы посоветовали, потыкал мышом по эксплореру, сначало возник попап алерт с кривозяброй в тексте, но шапка была "Remote server failed", после этого как и до всего этого - тормозняк, включаю хп эксплорер, здравствуй 3,14 - эксплорер.экзэ жрёт 50% проца :((((((((((((((((((((((
Хелп, плиз! Причём это при том количестве всего, что я из автозагруза и регистра снёс... Насчёт ремоут сервера - мне его каспер как потенциально опасное по нарисовал, я его и снёс целиком (там директория вроде в progr files была то ли ремоут админ то ли ещё как, 4 файла помню вроде -лечить нельзя удалил... ) |
Цитата:
Цитата:
Цитата:
Цитата:
Проверьте C:\WINDOWS\inf\UpdateUSB.exe на virustotal.com Откройте в блокноте C:\WINDOWS\winstart.bat, скопируйте содержимое в сообщение, Скопируйте текст ниже к блокнот и сохраните как файл с названием CFScript.txt на рабочий стол. Код:
File::Не совпали сигнатуры некоторых системных файлов, выполните sfc /scannow или выполните восстановление Windows XP - способ 2, потребуется установочный диск. Скачайте RSIT, сохраните на рабочий стол и запустите, когда закончится процесс сканирования, скопируйте текст из файлов log.txt и info.txt в следующее сообщение или запакуйте эти файлы и прикрепите архив. |
Добрый день!
Advanced email extractor удалил с помощью диспетчера задач RegSuprimom + оттуда же в реестре. потом пофиксил как сказали, остался ощмёток ярлыка на рабстоле, но в прогр файл больше нету. Каспера тоже слил, спасибо, а вот дальше проблема - Проверьте C:\WINDOWS\inf\UpdateUSB.exe на virustotal.com Нет такой директории видимой вообще и плюс врубил поиск на этот файл - ничего. Подскажете, что с этим делать? Зар спасибо! C:\WINDOWS\winstart.bat тоже, кстати не вижу |
И, кстати, пока я тут совершал телодвижения. у меня если верить regsuprimu в 12.30 появилась запись в диспетчере прог - Автор Nvidia продукт global и в диспетчере автозагрузки появились вот эти ребята, которых я что-то не припоминаю: NvCplDaemon и NvMediaCenter Хотя не уверен, что их не было...
да, пока я тут шарился, если верить регсуприму, у меня в 12.30 появился автор Nvidia продукт Global , это нормально? и плюс 2 файла, которых я не помню. чтобы они были в автозагруке - NvCplDaemon и NvMediaCenter простите за дубляж, думал первое сообщение не отправлено... |
tooler, C:\WINDOWS\winstart.bat - скрытый можно увидеть в FAR, если CFScript.txt запускали, то этот файл должен был удалиться, можете также поискать через AVZ-сервис-поиск файлов
UpdateUSB.exe размер 32,768 вероятно легитимный от Asus. Выложите лог RSIT и новый лог Combofix |
"Не совпали сигнатуры некоторых системных файлов, выполните sfc /scannow " простите, а как это сделать? пуск-выполнить .......-энтер? Восстановление с диска затруднено...
|
пуск-выполнить - sfc /scannow потребуется установочный диск или лучше установите SP3
|
Вложений: 1
вот новый лог от комбофикса, скачал РСИТ, сейчас запущу
|
Вложений: 2
Вот логи от RSIT
|
Что-то я вот этого стремаюсь "пуск-выполнить - sfc /scannow потребуется установочный диск или лучше установите SP3" Простите, а можно без этого? Установочный я найду быстро вряд ли. а SP3 как-то одни матюги на эту тему слышал, не хочется честно говоря этот пакет ставить....
|
Цитата:
C:\WINDOWS\PSEXESVC.EXE - небезопасный, по KAV д.б. not-a-virus RiskTool.Win32.Psexec, проверьте на virustotal, можете удалить вручную или перенести в др. место и на всякий случай выполнить (пуск - выполнить) sc stop PSEXESVC и sc delete PSEXESVC (может выдать ошибку, если такого сервиса не существует, ничего страшного) В остальном логи чистые, если не считать файлов, у которых не совпали сигнатуры Цитата:
Деинсталлируйте ComboFix: нажмите пуск – выполнить - Combofix /u Скачайте OTCleanIt, запустите, нажмите Clean up |
Спасибо вам огромное за помощь! Вот эта скотина - C:\WINDOWS\PSEXESVC.EXE выдала на вирустотале аж 5 из 32. Удалил вручную + через пуск как сказали, далее удалил Комбофикс. сейчас скачаю Отклин, но остались вопросы- винды да, сборные (зверь сиди). но год не было проблем никаких вообще и самое главное - почему в сэйф мод вход теперь длится более 5 минут это ж нездоровая как мне кажется история, или это нормально? Если вы считаете, что установка sp3 пусть даже гипотетически может что-то пофиксить, то пойду искать этот пакет.
Простите, ещё вопрос а что со всеми этими поюзаными прогами теперь делать Малваре РСИТ СДфикс и т.д.? А также АВЗ хайджэк и иже с ними? Оставить или удалить надо? И совсем глупый вопрос - как-то можно обратно вид иконок, дисков и т.д. вернуть или для этого нужно заново виста айконс инстолить? Заранее спасибо за ответ! |
А, чего там, до кучи ещё вопрос - постоянно пользуюсь Flylinkom. Так и не разобрался, но имеет ли смысл при запуске Флайлинка запускать AVZguard? Чтобы уж никто ничто и никак, или он не даст качать? И по поводу NOD32 который у меня в резиденте - он что. совсем никакой? Что тогда посоветуете? Раньше был касперыч, ресурсов очень много жрал, маккафи был. тоже в итоге косяки какие-то пропускал. До этого случая НОД меня полностью устраивал, есть какой то выход из положения, понятно что 100% не даст никто. но варианты по опыту может есть?
Или хотя бы какой прогой пробивать софт перед запуском в дополнение к резидентному ноду? |
Цитата:
Цитата:
Можете выполнить, на свой риск в AVZ - файл - восстановление системы - п.10 или применить твик реестра Код:
Windows Registry Editor Version 5.00Цитата:
Часть из них полезные и не занимают места в памяти (HijackThis,RSIT, MBAM, ERUNT), базы MBAM можете иногда обновлять и сканировать систему, то же самое с AVZ. SDFix можете удалить. Цитата:
Цитата:
Советую прочитать электронную книгу "Безопасный Интернет. Универсальная защита для Windows ME - Vista", рекомендации здесь и здесь |
Многоуважаемый Pili ! Спасибо вам огромное за помощь и за детализированный ответ! Я до кучи ещё просканил и так и в сэйфе спайботом, ну и сверху всё это залакировал по вашему совету SP3 Вроде всё летает, тьфу тьфу тьфу. Ещё раз огромнейшее вам спасибо!!!!! В сэйф после этого пока не перегружался, пока всё остальное тестю. Флайлинк пашет как папа карла, проц- 5-7% эксплорер больше косяков не метает, вроде всё пучком, тему можно закрывать как "решённую". ОГРОМНОЕ СПАСИБО, вы мне очень помогли!
С огромным уважением, tooler |
tooler, Пожалуйста :) Обращайтесь, если возникнут проблемы, будем рады помочь.
Тема закрыта. Для открытия темы топикстартер может обратиться в РМ, для всех остальных - создавайте новую тему с учетом правил |
| Время: 09:16. |
Время: 09:16.
© OSzone.net 2001-