вирус или что это? - Компьютерный форум OSzone.net

Компьютерный форум OSzone.net (http://forum.oszone.net/index.php)

- Лечение систем от вредоносных программ (http://forum.oszone.net/forumdisplay.php?f=87)

- - вирус или что это? (http://forum.oszone.net/showthread.php?t=133082)

вирус или что это?

Такая неприятность приключилась .На диск С кто-то напал. Ребенок сидел закомпом ,грит открылась какая то порнуха и появилось окно с антивирусом ,что на компе какой то вирус.Антивирус ,кстати,не стоит ,стоит фаервол только.Есть несколько портэйбл версий антивирусов,которыми периодически проверяю.
А ведут эти файлы себя странно.Просят исходящее соединение и не удаляются просто так .Удалила их в безопасном режиме( 85 штук),но они появляются опять,то есть где то есть еще какой то файл.Как его найти? Может это и обновления какие то,но что то я сомневаюсь ,названия какие то уж больно странные -yATUI.exe, Hwn1t6q.exe, Orr2Hw.exe и т д
Др.Вэб у меня давно уже не может ничего проверить ,выдает ошибку, а сегодня даже ссылка не открывается .
Сайт майкрософта тоже не открывается .

помогите ,плиз,разобраться что это и что с этим делать .

Пока проверяла AVZ удалился мой шпион ActualSpy, я его сама ставила ,так что это не то,что я ищу.

chups007, Здравствуйте.
ASPMonitor (C:\Program Files\ASPMonitor\) - деинсталлируйте.

Цитата:

Цитата chups007

Антивирус ,кстати,не стоит ,стоит фаервол только »

Цитата:

Цитата chups007

Др.Вэб у меня давно уже не может ничего проверить ,выдает ошибку »

В системе есть NOD32(видимо portable), Panda security, Agnitum outpost, рекомендую оставить один антивирус, остальные (в т.ч. остатки, напр. NOD32) удалить, outpost также можно временно деинсталлировать, чтобы не мешал. DrWeb не установится, пока есть Panda, доп. см. Чистка системы после некорректного удаления антивируса и Инструкции и утилиты для полного удаления остатков антивирусных ...
Предварительно, для предотвращения заражения в ходе лечения, отключите автозапуск со съемных носителей, включите брандмауэр windows и уберите в исключениях брандмауэра общий доступ к файлам и принтерам. Проверьте задания планировщика задач и удалите неизвестные задания
Запустите AVZ, далее в меню файл - выполнить скрипт, выделите и скопируйте текст ниже в окно выполнения скрипта AVZ, временно выключите антивирус и другое защитное программное обеспечение, нажмите кнопку «Запустить».

Код:

begin

SearchRootkit(true, true);

SetAVZGuardStatus(True);

 SetServiceStart('tqhbadyu', 4);

 SetServiceStart('xpeap', 4);

 QuarantineFile('c:\documents and settings\networkservice.nt authority\application data\frbwga.dll','');

 QuarantineFile('c:\program files\movie maker\frbwga.dll','');

 QuarantineFile('c:\windows\system32\frbwga.dll','');

 QuarantineFile('c:\nhWKPuLV.exe','');

 QuarantineFile('C:\WINDOWS\system32\01.tmp','');

 QuarantineFile('C:\Program Files\ASPMonitor\hprog.dll','');

 QuarantineFile('C:\Program Files\ASPMonitor\hk.dll','');

 QuarantineFile('C:\Program Files\ASPMonitor\ASMonitor.exe','');

 DeleteFile('C:\Program Files\ASPMonitor\ASMonitor.exe');

 DeleteFile('C:\Program Files\ASPMonitor\hk.dll');

 DeleteFile('C:\Program Files\ASPMonitor\hprog.dll');

 DeleteFile('C:\WINDOWS\system32\01.tmp');

 DeleteFile('c:\nhWKPuLV.exe');

 DeleteFile('c:\documents and settings\networkservice.nt authority\application data\frbwga.dll');

 DeleteFile('c:\program files\movie maker\frbwga.dll');

 DeleteFile('c:\windows\system32\frbwga.dll');

 DeleteService('tqhbadyu');

 DeleteService('xpeap');

DeleteFileMask('C:\Program Files\ASPMonitor\', '*.*', true);

DeleteDirectory('C:\Program Files\ASPMonitor');

DeleteFileMask('%Tmp%', '*.*', true);

BC_ImportDeletedList;

ExecuteSysClean;

 BC_DeleteFile('C:\Documents and Settings\NetworkService.NT AUTHORITY\Application Data\frbwga.dll');

 BC_DeleteSvc('tqhbadyu');

 BC_DeleteSvc('xpeap');

BC_Activate;

RegKeyIntParamWrite('HKLM','SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer','NoDriveTypeAutoRun', 221);

RebootWindows(true);

end.

Компьютер перезагрузится. После перезагрузки выполнить ещё скрипт

Код:

begin        

CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');

end.

Файл quarantine.zip отправьте на user15802[at]mail.ru, в письме укажите ссылку на тему
Запустите HiJackThis, нажмите кнопку "Do a system scan only", в открывшемся окне поставьте галочки напротив указанных строк и нажмите кнопку "Fix Checked".

Код:

O2 - BHO: (no name) - {02478D38-C3F9-4efb-9B51-7695ECA05670} - (no file)

O4 - HKUS\S-1-5-18\..\Policies\Explorer\Run: [Msn] c:\nhWKPuLV.exe (User 'SYSTEM')

O4 - HKUS\S-1-5-18\..\Policies\Explorer\Run: [MsnMessendger] c:\nhWKPuLV.exe (User 'SYSTEM')

O4 - HKUS\.DEFAULT\..\Policies\Explorer\Run: [Msn] c:\nhWKPuLV.exe (User 'Default user')

O24 - Desktop Component 0: (no name) - http://lines.planetadruzey.ru/136802.png

Вероятно система заражена червем kido (файл frbwga.dll удаляется скриптом), проверьте систему с помощью KidoKiller_v3.3.zip

Скачайте Malwarebytes' Anti-Malware здесь, здесь, здесь или здесь. Установите, обновите базы, выберите Perform Full Scan (Провести полную проверку), нажмите Scan (Проверить), после сканирования выберите Ок и далее Show Results (Показать результаты), нажмите "Remove Selected" (удалить выделенные, внимание - проверьте то, что удаляете). После удаления откройте лог и скопируйте в сообщение. Логи сканирования можно посмотреть во вкладке Logs (Отчеты), выбрав отчет и нажав кнопку Open (Открыть).

Скачайте ComboFix здесь, здесь или здесь и сохраните на рабочий стол.
Установите Recovery Console по инструкции (на англ.яз) - how-to-use-combofix и здесь - скачайте установочный файл для своей ОС (например Windows XP с пакетом обновления 2 (SP2) - для Windows XP SP3 использовать этот же файл) на рабочий стол, закройте все остальные приложения и мышкой перенесите установочный файл на иконку ComboFix и установите Microsoft Recovery Console. Доп. см. Программа для Windows XP Professional с пакетом обновления 2 (SP2): Установочные диски для установки с гибкого диска.
После установки консоли восстановления программа предложит запустить сканирование, подтвердите, нажав Yes.
Когда процесс сканирования завершится, скопируйте (Ctrl+A, Ctrl+C) текст из C:\ComboFix.txt и вставьте (Ctrl+V) в следующее сообщение если текст не уместится в одном сообщении, продолжите его в следующем или запакуйте файл C:\ComboFix.txt и прикрепите к сообщению.
Внимание! Перед запуском сканирования обязательно закройте все браузеры, временно выключите антивирус, firewall и другое защитное программное обеспечение. Не запускайте других программ во время работы Combofix и не нажимайте кнопки мыши. Combofix может отключить интернет через некоторое время после запуска, не переподключайте интернет пока Combofix не завершит работу. Если интернет не появился после окончания работы Combofix, перезагрузите компьютер.
Как использовать ComboFix - how-to-use-combofix (на англ.яз.) и здесь (на русском)
Прим: В случае, если ComboFix не запускается, переименуйте combofix.exe в combo-fix.exe

Скачайте Gmer, запустите программу. После автоматической экспресс-проверки, отметьте галочкой все жесткие диски и нажмите на кнопку "Scan". После окончания проверки сохраните его лог (нажмите на кнопку Save) и вложите в сообщение.
Сделайте новые логи virusinfo_syscheck.zip (2-ой стандартный скрипт AVZ) и hijackthis

Pili ,спасибо большое ,щас буду всё это проделывать,хотя я проверила SpyBot(ом),помоему он всё удалил,по крайней мере сайт майкрософта открывается и файлы больше не растут.

Антивирус поставила только вчера ,Панду. Всё остальное -portable версии, в том числе и др.Вэб,который работать отказывается . Это всё надо удалить, я имею ввиду кроме Панды?Все эти антивирусы? Разве они будут мешать друг другу?

Кстати, я пользуюсь CCleaner и RegSupreme Pro, они удаляют остатки программ?
Вобщем сейчас у меня стоит фаервол,панда и спайбот.

Второй ответ в теме мне не понятен ,но ,возможно,там есть какой то скрытый смысл.

Проверила Kidokiller (ом ) и Malwarebyte

Malwarebytes' Anti-Malware 1.34
Версия базы данных: 1804
Windows 5.1.2600 Service Pack 2

2/26/2009 7:43:37 AM
mbam-log-2009-02-26 (07-43-31).txt

Тип проверки: Полная (C:\|E:\|)
Проверено объектов: 254723
Прошло времени: 1 hour(s), 28 minute(s), 56 second(s)

Заражено процессов в памяти: 0
Заражено модулей в памяти: 0
Заражено ключей реестра: 0
Заражено значений реестра: 0
Заражено параметров реестра: 1
Заражено папок: 0
Заражено файлов: 12

Заражено процессов в памяти:
(Вредоносные программы не обнаружены)

Заражено модулей в памяти:
(Вредоносные программы не обнаружены)

Заражено ключей реестра:
(Вредоносные программы не обнаружены)

Заражено значений реестра:
(Вредоносные программы не обнаружены)

Заражено параметров реестра:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL \CheckedValue (Hijack.System.Hidden) -> Bad: (0) Good: (1) -> No action taken.

Заражено папок:
(Вредоносные программы не обнаружены)

Заражено файлов:
E:\programs\avz4\avz4\Infected\2009-01-07\avz00001.dta (Trojan.Agent) -> No action taken.
E:\programs\avz4\avz4\Infected\2009-01-07\avz00002.dta (Trojan.Agent) -> No action taken.
E:\programs\avz4\avz4\Quarantine\2009-01-02\avz00003.dta (Trojan.Agent) -> No action taken.
E:\programs\avz4\avz4\Quarantine\2009-02-06\avz00001.dta (Trojan.Agent) -> No action taken.
E:\programs\avz4\avz4\Quarantine\2009-02-06\avz00002.dta (Trojan.Agent) -> No action taken.
E:\programs\avz4\avz4\Quarantine\2009-02-11\avz00001.dta (Trojan.Agent) -> No action taken.
E:\programs\avz4\avz4\Quarantine\2009-02-11\avz00002.dta (Trojan.Agent) -> No action taken.
E:\programs\avz4\avz4\Quarantine\2009-02-11\avz00004.dta (Trojan.Agent) -> No action taken.
E:\programs\avz4\avz4\Quarantine\2009-02-17\avz00001.dta (Trojan.Agent) -> No action taken.
E:\programs\avz4\avz4\Quarantine\2009-02-17\avz00002.dta (Trojan.Agent) -> No action taken.
E:\programs\avz4\avz4\Quarantine\2009-02-20\avz00001.dta (Trojan.Agent) -> No action taken.
E:\programs\avz4\avz4\Quarantine\2009-02-20\avz00002.dta (Trojan.Agent) -> No action taken.

Всё это хозяйство удалила.

А вот скрин Спайбота ,чистила им до этого

Combofix пока не скачала ,сделаю это немного попозже .

Цитата:

Цитата chups007

Все эти антивирусы? Разве они будут мешать друг другу? »

Да, возможны конфликты, если включены антивирусные мониторы различных антивирусов.

Цитата:

Цитата chups007

Кстати, я пользуюсь CCleaner и RegSupreme Pro, они удаляют остатки программ? »

Удалять лучше стандартно через установку/удаление программ и спец. утилитами от производителей антивирусов, выше были ссылки.

Цитата:

Цитата chups007

Вобщем сейчас у меня стоит фаервол,панда и спайбот. »

Если у панды есть свой firewall, то лучше его отключить или не использовать сторонний firewall, spybot временно лучше удалить, чтобы не мешал (особенно модуль teatimer), после окончания лечения можете заново установить

Цитата:

Цитата chups007

Второй ответ в теме мне не понятен ,но ,возможно,там есть какой то скрытый смысл. »

Какой ответ?
Жду карантин и остальные логи.

не очень поняла ,как отключить автозапуск со съёмных носителей .. там написано : "Меры превентивной защиты от автозапуска, если вдруг зловред не содержится в антивирусных базах:
Скопируйте приведенный ниже текст в блокнот и сохраните файл как noautorun.reg, примените..."
А куда этот блокнот сохранить?

Письмо с карантином отправила ,до комбофикса пока так и не добралась .
Всё остальное вроде сделала ,что поняла и нашла в компе.))

Цитата:

Цитата chups007

А куда этот блокнот сохранить? »

Блокнот сохранять не надо, сохранить (куда угодно, на любой диск) нужно файл noautorun.reg
chups007, Распакуйте файл AutorunDisabled.zip и примените reg файл
Карантин пришел пустой, на время выполнения скрипта антивирус отключали?

Интересно..Да ,всё отключала. Я её вручную сейчас зазиповала и отправила.

Всё перечитываю,что надо делать с комбофиксом,не очень понимаю,если честно.. Скачала отсюда http://www.microsoft.com/downloads/d...c-0a0205368124 и комбофикс ,сохранила на рабочий стол , а вот по поводу*перетащить* не очень поняла ..

chups007, в карантин за 26.02.09 ничего не попало из скрипта 2-го поста, архив был без пароля.