[решено] Не удаляются неизвестные мне файлы fidbox.dat и fidbox.idx. Что это за файлы?

Компьютерный форум OSzone.net (http://forum.oszone.net/index.php)

- Лечение систем от вредоносных программ (http://forum.oszone.net/forumdisplay.php?f=87)

- - [решено] Не удаляются неизвестные мне файлы fidbox.dat и fidbox.idx. Что это за файлы? (http://forum.oszone.net/showthread.php?t=141188)

segafos

27-05-2009 14:53 1128710

Не удаляются неизвестные мне файлы fidbox.dat и fidbox.idx. Что это за файлы?

Вложений: 1

В инете нашел много всего про эти файлы и в том числе как отключать его, но именно через Касперского. У меня никогда в жизни не было касперыча. Файл fidbox.dat растет не по дням, а по часам. Помогите плиззз што с этим делать?Файлы удаляются в безопасном режиме, но перезагрузившись в обычный режим, они снова появляются. Один раз fidbox.dat достиг размера 2,5 Гига, винда тупила не реально!
Логи выкладываю, мож чем помогут.

Котяра

27-05-2009 15:30 1128735

Выполните скрипт в AVZ:

Код:

begin

 SearchRootkit(true, true);

 SetAVZGuardStatus(true);

 SetServiceStart('MEMSWEEP2', 4);

 DeleteService('MEMSWEEP2');

 QuarantineFile('C:\WINDOWS\system32\6F2F.tmp','');

 QuarantineFile('C:\WINDOWS\system32\DRIVERS\epfwtdir.sys','');

 QuarantineFile('C:\WINDOWS\system32\Drivers\okojcc.sys','');

 DeleteFile('C:\WINDOWS\system32\6F2F.tmp');

 BC_ImportDeletedList;

 ExecuteSysClean;     

 BC_Activate;

 CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');

 RebootWindows(true);

end.

После выполнения скрипта Ваш компьютер автоматически перезагрузится. В папке с программой AVZ появится файл quarantine.zip. Его Вам необходимо прислать на E-Mail адрес: koshkin@rbcmail.ru

segafos

28-05-2009 02:40 1129143

Котяра
Выслал на указаный адрес карантин

Pili	28-05-2009 10:43 1129288

segafos, Найдите с помощью AVZ – сервис – поиск файлов на диске или с помощью файлового менеджера, например FAR (если через проводник – включите показ скрытых файлов) файлы:

Код:

C:\WINDOWS\system32\Drivers\okojcc.sys

C:\WINDOWS\system32\WinFl32.sys

запакуйте в архив с паролем infected и отправьте на newvirus@kaspersky.com, в письме укажите пароль на архив, когда придет ответ, сообщите, если оба окажутся зловредами, выполните скрипт

Код:

begin

SearchRootkit(true, true);

SetAVZGuardStatus(True);

 SetServiceStart('okojcc', 4);

 QuarantineFile('C:\WINDOWS\system32\WinFl32.sys','');

 QuarantineFile('C:\WINDOWS\system32\Drivers\okojcc.sys','');

 DeleteFile('C:\WINDOWS\system32\Drivers\okojcc.sys');

 DeleteFile('C:\WINDOWS\system32\WinFl32.sys');

 DeleteService('WinFl32');

 DeleteService('okojcc');

BC_ImportDeletedList;

ExecuteSysClean;

 BC_DeleteSvc('okojcc');

BC_Activate;

RebootWindows(true);

end.

Если программа Folder Lock установлена и/или WinFl32.sys окажется чистым, уберите из скрипта строчки

Код:

 DeleteFile('C:\WINDOWS\system32\WinFl32.sys');

 DeleteService('WinFl32');

Запустите HiJackThis, нажмите кнопку "Do a system scan only", в открывшемся окне поставьте галочки напротив указанных строк и нажмите кнопку "Fix Checked".

Код:

R3 - URLSearchHook: (no name) -  - (no file)

O9 - Extra button: (no name) - AutorunsDisabled - (no file)

O9 - Extra button: (no name) - {85e1f530-48f4-11d9-9629-08ff2ffc9f67} - (no file)

У вас jre1.5.0_10
Обновите Java Runtime Environment (JRE)
Скачайте JavaRA здесь или здесь
Распакуйте, запустите, выберите "Remove Older Versions",
Далее нажмите "Search For Updates", выберите "Update Using Sun Java's Website" и "Open Webpage"
Альтернативный вариант - после удаления старой версии скачайте и установите последнюю версию Java Runtime Environment (JRE) с сайта производителя.

Цитата:

Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Рекомендую установить WindowsXP SP3 и все последующие обновления - http://windowsupdate.microsoft.com

Повторите логи.

segafos

29-05-2009 02:53 1129966

Pili
отправил на newvirus@kaspersky.com архив с этими двумя файлами, оба чистые, не заражены!
какие дальнейшие действия? Надо в Хайджэке фиксить те строки?

thyrex

29-05-2009 07:48 1130012

Цитата:

Цитата segafos

Надо в Хайджэке фиксить те строки? »

Нужно

Pili	29-05-2009 08:03 1130016

Цитата:

Цитата segafos

какие дальнейшие действия? »

И что с проблемами? Если есть, сделайте логи полиморфным AVZ
Дополнительно скачайте gmer со случайным именем файла(рекомендуется) здесь, либо gmer.zip здесь или здесь, закройте все остальные программы и отключите антивирусное ПО (включите брандмауэр windows или отключите компьютер от локальной сети), запустите программу (в ОС Windows Vista необходимо запускать через правую кн. мыши от имени администратора). После автоматической экспресс-проверки, отметьте галочкой системный диск и нажмите на кнопку "Scan". После окончания проверки сохраните его лог (нажмите на кнопку Save) и вложите в сообщение.
Внимание! Если при запуске gmer выйдет окно предупреждающее об обнаружении ROOTKIT activity, нажмите No и в правой панели уберите значки напротив следующих пунктов
• Sections
• IAT/EAT
• Show all

segafos

29-05-2009 18:34 1130443

Pili
Проблема так и осталась! Хайджеком профиксил те строки. Гмером не получилось зделать лог (два раза пытался сделать полную проверку диска С, но почти под самый конец комп вырубается и некоторое время не включается)! AVZом сделал логи!

Pili	30-05-2009 13:31 1130921

Цитата:

Цитата Pili

У вас jre1.5.0_10
Обновите Java Runtime Environment (JRE)
Рекомендую установить WindowsXP SP3 и все последующие обновления - http://windowsupdate.microsoft.com »

Эти рекомендации вы проигнорировали.

Цитата:

Цитата segafos

отправил на newvirus@kaspersky.com архив с этими двумя файлами, оба чистые, не заражены! »

Если okojcc.sys и WinFl32.sys чистые , то больше по логам ничего плохого не вижу.
т.к. у вас NOD32 рекомендую отправить эти файлы также на samples@esetnod32.ru; samples@eset.com (отправлять в запароленном архиве, пароль infected) - http://www.esetnod32.ru/support/newvirus.php

Можно продолжить проверку другими утилитами.
Скачайте Malwarebytes' Anti-Malware здесь, здесь, здесь или здесь. Установите, обновите базы, выберите Perform Full Scan (Провести полную проверку), нажмите Scan (Проверить), после сканирования выберите Ок и далее Show Results (Показать результаты), нажмите "Remove Selected" (удалить выделенные, внимание - проверьте то, что удаляете). После удаления откройте лог и скопируйте в сообщение. Логи сканирования можно посмотреть во вкладке Logs (Отчеты), выбрав отчет и нажав кнопку Open (Открыть).
Базы МВАМ можно обновить отдельно - downloading the update MBAM

Скачайте ComboFix здесь, здесь или здесь и сохраните на рабочий стол.

Установите Recovery Console по инструкции (на англ.яз) - how-to-use-combofix и здесь - скачайте установочный файл для своей ОС (например Windows XP с пакетом обновления 2 (SP2) - для Windows XP SP3 использовать этот же файл) на рабочий стол, закройте все остальные приложения и мышкой перенесите установочный файл на иконку ComboFix и установите Microsoft Recovery Console. Доп. см. Установочные диски для установки с гибкого диска.
После установки консоли восстановления программа предложит запустить сканирование, подтвердите, нажав Yes.
Когда процесс сканирования завершится, скопируйте (Ctrl+A, Ctrl+C) текст из C:\ComboFix.txt и вставьте (Ctrl+V) в следующее сообщение если текст не уместится в одном сообщении, продолжите его в следующем или запакуйте файл C:\ComboFix.txt и прикрепите к сообщению.

Внимание! Перед запуском сканирования обязательно закройте все браузеры, временно выключите антивирус, firewall и другое защитное программное обеспечение. Не запускайте других программ во время работы Combofix и не нажимайте кнопки мыши. Combofix может отключить интернет через некоторое время после запуска, не переподключайте интернет пока Combofix не завершит работу. Если интернет не появился после окончания работы Combofix, перезагрузите компьютер.

Как использовать ComboFix - how-to-use-combofix (на англ.яз.) и здесь (на русском)
Прим: В случае, если ComboFix не запускается, переименуйте combofix.exe в combo-fix.exe

Скачайте OTListIt2, сохраните на рабочий стол и запустите, выберите: Scan All Users, Minimal Output, File Age: 30 Days, поставьте галочку LOP Check, Purity Check и в Extra Registry - Use Safe list.
Под строчкой Custom Scan вставьте
netsvcs
drivers32
Нажмите Run Scan, когда закончится процесс сканирования, откроются два файла OTListIt.Txt и Extras.txt , скопируйте (Ctrl+A, Ctrl+C) текст из этих файлов и вставьте (Ctrl+V) в следующее сообщение, если текст не уместится в одном сообщении, продолжите его в следующем или запакуйте полученные логи C:\OTListIt.Txt и C:\Extras.txt и прикрепите к сообщению.

Скачайте RootRepeal, распакуйте и запустите. Перейдите на вкладку Report и нажмите Scan. Поставьте все галки, а затем на вновь появившемся окне выберите диск С. После окончания исследования системы нажмите на кнопку Save Report, сохраните лог и вложите в сообщение.

segafos

30-05-2009 17:09 1131052

Вложений: 6

блин, сложновато все эти логи делать!вот в роде бы все, что просили, сделал. в РутРепил нашел этот файл fidbox.dat, думаю, что сейчас все решится с ним!

_Falcon_

30-05-2009 20:52 1131191

Что за файлы fidbox?

segafos

31-05-2009 02:44 1131402

_Falcon_
я фсе это читал. В самом первом сообщении я написал , что у меня никогда не было антивируса Касперского, поэтому через консоль я не могу его отключить! а другие ссылки в форуме, что ты мне дал, приходят на страницу регистрации на этом форуме. не могу прочитать что там написано, но думаю, что все тоже, что и везде.

Pili	31-05-2009 11:45 1131523

segafos, SP3 и обновления снова не установили. Что ответил по файлам вирлаб Eset?
Проверьте на virustotal.com файлы

Цитата:

c:\windows\system32\drivers\okojcc.sys
c:\windows\system32\sfcfiles.dll
c:\windows\system32\SVKP.sys
C:\WINDOWS\QTFont.qfn

Результат сообщите или дайте ссылку на результат проверки
Рекомендую sfcfiles.dll, tcpip.sys заменить на оригинальные (sfcfiles.dll можете проверить и взять из C:\WINDOWS\System32\dllcache)

Цитата:

Цитата segafos

у меня никогда не было антивируса Касперского »

Вы проверялись с помощью AVPTool, его драйвер есть в системе, впрочем можете проверить на VT и C:\WINDOWS\system32\drivers\fidbox.dat, если очень хотите.

segafos

31-05-2009 16:41 1131665

Pili
ЕСЕТ чтото еще не ответил!
вот ссылки на ВТ:
http://www.virustotal.com/ru/analisi...d24-1243773234
http://www.virustotal.com/ru/analisi...734-1243772158
http://www.virustotal.com/ru/analisi...154-1243772342
http://www.virustotal.com/ru/analisi...d18-1243772553

А как выгрузить этот драйвер АВПТулз? может быть это из-за него эти файлы появились?
еще мне кажется, что из-за этих файлов (фидбокс) скорость пропадает на инете!

segafos

01-06-2009 01:06 1131935

Pili
Еще хотел спросить! по поводу СП3, он просто установится поверх СП2?? и все конфигурации системы останутся без изменений?

Pili	01-06-2009 08:01 1132017

segafos, по трем последним ссылкам "Ваш файл просрочен или не существует.", выложите рез-т проверки в сообщение (методом copy/paste)

Цитата:

Цитата segafos

А как выгрузить этот драйвер АВПТулз? »

Можете его деинсталлировать.

Цитата:

Цитата segafos

по поводу СП3, он просто установится поверх СП2??»

Да.

Цитата:

Цитата segafos

и все конфигурации системы останутся без изменений? »

Нет. Здесь можете почитать обзор по SP3

segafos

01-06-2009 12:31 1132187

Pili,
а как деинсталировать АВПтулз? я даже не помню был он у меня или нет!как его найти и удалить? Не хотят все результаты вставляться, тока один, который с угрозой.
вот результаты проверки ВТ:
sfcfiles.dll

_Falcon_

01-06-2009 13:54 1132240

Цитата:

Цитата segafos

а как деинсталировать АВПтулз? »

Как удалить AVPtool с компа?

Pili	01-06-2009 14:57 1132289

Цитата:

Цитата segafos

вот результаты проверки ВТ:
sfcfiles.dll »

Файл можете отправить в вирлабы ЛК и ESET

Цитата:

Цитата Pili

Рекомендую sfcfiles.dll, tcpip.sys заменить на оригинальные (sfcfiles.dll можете проверить и взять из C:\WINDOWS\System32\dllcache) »

segafos

01-06-2009 15:38 1132324

_Falcon_
у меня нету этого АВПтулз. как мне его удалить? или может быть просто его следы остались вместе с этими файлами?

Pili
а где взять оригинальные файлы? sfcfiles.dll в C:\WINDOWS\System32\dllcache нету!

Pili	01-06-2009 16:50 1132370

Цитата:

Цитата segafos

у меня нету этого АВПтулз »

Цитата:

DRV - (is-83JRKdrv [System | Running]) -- C:\WINDOWS\system32\DRIVERS\02597275.sys (Kaspersky Lab)

Это говорит о том. что AVPTool вы устанавливали, запустите его, нажмите X (или "полная антивирусная защита"), программа предложит деинсталлировать AVPTool, рекомендую воспользоваться дополнительно утилитой KAVremover9.zip
Если драйвер останется, можете удалить скриптом AVZ

Код:

begin

SearchRootkit(true, true);

SetAVZGuardStatus(True);

 DeleteFile('C:\WINDOWS\system32\DRIVERS\02597275.sys');

 DeleteService('is-83JRKdrv');

BC_ImportDeletedList;

ExecuteSysClean;

 BC_DeleteSvc('is-83JRKdrv');

BC_Activate;

RebootWindows(true);

end.

Цитата:

Цитата segafos

а где взять оригинальные файлы? »

С чистой системы или установочного диска, см. также Способы восстановления системы, Тема про sfc на форуме

segafos

02-06-2009 01:10 1132697

Pili
урааааа! все получилось! сделал скрипт в АВЗ, драйвер удалился, комп перезагрузился, файлы удалились под виндой! всем огромнейшее спасибо! я очень очень рад!! но скорость на инете все таки так и осталась маленькой, это наверно мой провайдер гонит!

Еще у меня есть одна небольшая проблемка: винда запускается тока при помощи мультизагрузочного диска, загрузка доходит до следующей фразы: Verifying DMI Pool Data......
И все встает колом и не загружается, а с диском все ок! подскажите в чем проблема?

Блин, а за те файлы ваще респектище!! :)

Pili	02-06-2009 09:08 1132804

segafos, пожалуйста. Системные файлы заменили, SP3 и все обновления поставили? Если вы подозреваете, что в оставшихся проблемах виноваты вирусы, можем продолжить проверку на вирусы другими утилитами, например можете проверить систему другими антивирусами, по остальным проблемам вам следует обратиться в другие соответствующие разделы форума. Ссылки по теме восстановления были приведены ранее.
Будем продолжать проверку на вирусы?

segafos

02-06-2009 10:05 1132834

Pili
системный файлы не менял, СП3 не ставил! давайте попробуем палечится от вирусов другими утилитами! может быть все таки скорость падает на инете изза вирусов?

segafos

02-06-2009 10:46 1132859

Pili
и все же где мне найти решение проблемы по поводу загрузки винды?

Pili	02-06-2009 11:05 1132878

По проблеме Verifying DMI Pool Data воспользуйтесь поиском по форуму - http://forum.oszone.net/search.php?searchid=1753512

Цитата:

Цитата segafos

давайте попробуем палечится от вирусов другими утилитами! »

Ок. Файлы okojcc.sys и WinFl32.sys трогать не будем (по анализу ЛК, как вы сказали, они чистые), пока вы не сообщите о результатах их проверки вирлабом ESET, можете также отправить эти файлы в вирлаб DrWeb. Выполните восстановление системных файлов, установите SP3 и все последующие обновления, см. пост 4., тема на oszone Windows XP Service Pack 3
Проведите проверку с помощью Panda activescan, после проверки сохраните лог (Scan details – Save) и скопируйте его в сообщение.

segafos

03-06-2009 00:31 1133522

Pili
Восстановил системные файлы, поставил СП3. Пандой еще не проверял, т к инет стал тупить нереально. обычно тупость инета была изза того, что постоянно чтото качается, сейчас даже когда выключаю все закачки, тупит инет поконски (страницы, которые должны загружаться за 2-5секунд, загружаются 20-40 сек)! В чем причина?

Pili	03-06-2009 08:39 1133642

segafos, по файлу okojcc.sys - очень подозрителен, имхо, зловред, но если по анализу ЛК, как вы сказали, чист, то будем ждать ответа других вирлабов. Если у вас сборка ОС, то также возможны проблемы, также м.б. проблемы провайдера. Ждем логи Panda activescan, можете сделать новые логи по порядку: ComboFix, лог OTListIt и AVZ virusinfo_syscheck.zip (2-ой стандартный скрипт AVZ)

segafos

03-06-2009 15:00 1133961

Вложений: 1

Pili
лог Панды сделал! с ЕСЕТ и Др ВЭБ ответ пришел, но не по теме. в ЕСЕТ просили какие то лицензионные данные (не знаю), а от Доктора ВЭБа пришло сообщение, что они обрабатывают мое сообщение!

Pili	03-06-2009 16:12 1134034

Цитата:

Цитата segafos

ЕСЕТ просили какие то лицензионные данные (не знаю) »

я вам дал адрес русского вирлаба ESET, должны были ответить на русском яз.

Цитата:

Цитата segafos

Доктора ВЭБа пришло сообщение, что они обрабатывают мое сообщение! »

Пока им не отпишите по номеру тикета, не ответят.
Сканер ничего не показал, а файлы.

Код:

E:\С Е Р Ё Ж А\SPECIAL\Disk_Medic_v3.03.909_(WWW.LOMALKA.RU)\diskmedic-pw.exe

E:\С Е Р Ё Ж А\SPECIAL\Winamp 5.32\DFX.Audio.Enhancer.For.Winamp.2.and.5.v7.210.WinALL.Incl.Keymaker-CORE\KeyGen\CR-D72WP.exe

Можете удалить вручную. Точки восстановление удалите и создайте новую (см. правила)

Цитата:

Цитата Pili

можете сделать новые логи по порядку: ComboFix, лог OTListIt и AVZ virusinfo_syscheck.zip (2-ой стандартный скрипт AVZ) »

Не сделали, тогда можем продолжить проверку другими средствами.
Проверьте систему с помощью F-Secure Online Scanner, нажмите Start, разрешите установить Active X апплет от F-Secure, далее нажмите Full System Scan, если вирусы будут найдены, выберите Submit samples to F-Secure и Automatic cleaning, когда процесс завершится, нажмите Show report , скопируйте лог и вставьте в следующее сообщение.

segafos

04-06-2009 15:41 1134947

Pili
все! я решил больше не лечить комп. с СП 3 инет тупит нереально, снес его, инет ваще в идеале! самое главное , что избавился от тех файлов, которые не давали жить моему компу.
всем ОГРОМНЕЙШЕЕ СПАСИБО!
тема закрыта!

Pili	04-06-2009 17:17 1135052

Цитата:

Цитата segafos

с СП 3 инет тупит нереально »

У вас были подменены сист. файлы, в т.ч. tcpip.sys, т.е. получился "винигрет" из оригинальных и патченных файлов (вероятно у вас сборка), в таком случае лучше восстановить сист. файлы с лиц. дистрибутива и тогда можно ставить SP3 и все обновления и в дальнейшем не пользоваться сборками и программами, которые заменяют сист. файлы (напр. VistaDriveIcon).

Для предотвращения заражения, рекомендую не работать за компьютером с правами администратора, не использовать Internet Explorer или отключить в нем ActiveX, использовать DropMyRights см. здесь и здесь или SanboxIE, пользоваться браузером Firefox c плагином NoScript и AdBlock Plus
Рекомендую также использовать McAfee SiteAdvisor
Регулярно устанавливаете обновления - http://windowsupdate.microsoft.com и обновляйте антивирусные базы
По проблемам и вопросам, связанным с защитой ПК, советую посетить раздел Защита компьютерных систем
Дополнительно можете протестировать и настроить безопасность с помощью Belarc Advisor доп. см. здесь
И проверить программное обеспечения на безопасность и наличие обновлений с помощью Secunia Online Software Inspector (OSI)
Советую прочитать
Безопасный Интернет. Универсальная защита для Windows ME - Vista,
Базовая концепция системы безопасности ОС Windows семейства NT
Вы можете оказать помощь в сборе и пополнении базы чистых файлов AVZ
Чистого вам интернета!

Тема закрыта. Для открытия темы топикстартер может обратиться в РМ, для всех остальных - создавайте новую тему с учетом правил

Время: 16:45.