Компьютерный форум OSzone.net  

Компьютерный форум OSzone.net (http://forum.oszone.net/index.php)
-   Лечение систем от вредоносных программ (http://forum.oszone.net/forumdisplay.php?f=87)
-   -   [решено] не открывает некоторые сайты (http://forum.oszone.net/showthread.php?t=181642)

rivera 28-07-2010 16:48 1462292
не открывает некоторые сайты
 
на 75% сайтов выдает такую ошибку


Ошибка 101 (net::ERR_CONNECTION_RESET): Неизвестная ошибка


При это ни Нод-32, ни CureIT ничего не находят



не открывает ни в IE ни в хроме

icotonev 28-07-2010 17:37 1462337
:hi: Добрый день...!

AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".


Код:
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('c:\program files\multi password recovery\mpr.exe.bak','');
 QuarantineFile('C:\WINDOWS\system32\msconfig.exe','');
 QuarantineFile('C:\Program Files\Multi Password Recovery\MPR.exe','');
 DeleteFile('c:\program files\multi password recovery\mpr.exe.bak');
 DelCLSID('{314111c7-a502-11d2-bbca-00c04f8ec294}');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
 ExecuteRepair(20);
RebootWindows(true);
end.
После выполнения скрипта компьютер перезагрузится.
После перезагрузки выполнить второй скрипт:

Код:
begin
 CreateQurantineArchive(GetAVZDirectory+'quarantine .zip');
end.
В результате выполнения скрипта будет сформирован карантин quarantine.zip. Отправьте полученный файл quarantine.zip из папки AVZ через данную форму. В строке "Подробное описание возникшей ситуации:", напишите пароль на архив "virus" (без кавычек), в строке "Электронный адрес:" укажите свой электронный адрес. Полученный ответ сообщите здесь.

Подготовить новые логи..!

+

Cкачайте Gmer или с зеркала. Запустите программу. После автоматической экспресс-проверки, отметьте галочкой все жесткие диски и нажмите на кнопку Scan. После окончания проверки сохраните его лог (нажмите на кнопку Save) под каким хотите именем, например Gmer.log и прикрепите лог сюда.

+

Скачайте RSIT или отсюда. Запустите, выберите проверку файлов за последние три месяца и нажмите продолжить. Должны открыться два отчета log.txt и info.txt. Прикрепите их к следующему сообщению. Если вы их закрыли, то логи по умолчанию сохраняются в одноименной папке (RSIT) в корне системного диска.

+

Скачайте Malwarebytes' Anti-Malware или с зеркала, установите, обновите базы, выберите "Perform Full Scan", нажмите "Scan", после сканирования - Ok - Show Results (показать результаты) - Откройте лог и скопируйте в блокнот и прикрепите его к следующему посту.

rivera 28-07-2010 18:26 1462365
Проблема решена.

все дело было в постоянных маршрутах, понял по созданному backup'у, там был возврат маршрутов

у меня остались вопросы:
1. msconfig.exe - это же системный файл, с ним все в порядке
2. я вроде тоже смотрел те логи, откуда вы понимаете, что именно надо сажать в карантин, а что является нормальным файлом? (на ум приходит только то, что надо знать список всех "белых" файлов)
3. что за новинки такие ГМЕР и РСИТ? они что делают и дают?


(а пока пойду выполнять все остальные пункты)

icotonev 28-07-2010 18:43 1462387
Привет..!

1.АВЗ подозира ===>>>C:\WINDOWS\system32\msconfig.exe ЭПС: подозрение на Файл с подозрительным именем (CH) (высокая степень вероятности)
Файл успешно помещен в карантин (C:\WINDOWS\system32\msconfig.exe)
А почему вы думаете, что системный файл не может быть инфицирован ..?

2. Подозрение на маскировку ключа реестра службы\драйвера "gxvxcserv.sys"(Подозрение на Kido или TDSS).....для этой цели использовать ГМЕР..- сканер руткитов - в настоящее время один из наиболее часто используемых
инструментов для обнаружения и удаления руткитов на системах Windows.

3.РСИТ - Данная утилита представляющая собой инструмент для быстрого, но глубокого автоматического исследования наиболее уязвимых областей операционной системы пользователя на основе утилиты HijackThis, но с более расширенными возможностями анализа, позволяющего отследить изменения, произошедшие за определённый период, будь то процесс, служба, драйвер, ключ реестра, директория или файл.

rivera 29-07-2010 10:02 1462665
1. По форме отправить файл карантина не получилось, объем больше чем максимально допустимый
2. ГМЕР - работал более 13 часов, ничего не происходило: ЦПУ загружен 100%, никакие приложения не работают, объем винта 160 Гигов - терпения не хватило до конца продержать
3. Все логи прикреплены

(скорее риторика)
4. а чё, CureIt и HiJackThis нынче не в моде? ими больше не пользуются?
5. Куда смотрел обновленный Нод32 и почему CureIt нашел всего 3 вируса, когда после него Malwarebytes' Anti-Malwarе еще тучу чего нашел ((


добавлено:
после запуска гмер, даже после экспресс скана, весь комп грузится на 100 % и псец - хард резет
сделал легкий лог

icotonev 29-07-2010 17:09 1462994
Цитата:
Цитата rivera
1. По форме отправить файл карантина не получилось, объем больше чем максимально допустимый »
Если размер карантина превышает 1,5 Мб, то карантин отправьте по адресу newvirus@kaspersky.com
Полученный ответ сообщите здесь.


Удалите в МВАМ:

Код:
Зараженные ключи в реестре:
HKEY_CURRENT_USER\SOFTWARE\{NSINAME} (Trojan.Agent) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\gxvxc (Rootkit.Agent) -> No action taken.
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_NETPROTOCOL (Trojan.Agent) -> No action taken.
HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\gxvxcserv.sys (Trojan.Agent) -> No action taken.

Зараженные параметры в реестре:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\option_1 (Rootkit.Agent) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\option_2 (Rootkit.Agent) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\option_3 (Rootkit.Agent) -> No action taken.
HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\New Windows\Allow\www.qword.com (Adware.QWO) -> No action taken.

Объекты реестра заражены:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\AntiVirusDisableNotify (Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> No action taken.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoSMHelp (Hijack.Help) -> Bad: (1) Good: (0) -> No action taken.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Start_ShowSearch (Hijack.StartMenu) -> Bad: (0) Good: (1) -> No action taken.

Зараженные папки:
C:\Program Files\Common Files\wm\keys (Trojan.KeyLog) -> No action taken.

Зараженные файлы:
C:\WINDOWS\system32\inetsrv\iissync.exe (Virus.Expiro) -> No action taken.
C:\Program Files\Common Files\keylog.txt (Malware.Trace) -> No action taken.
C:\WINDOWS\system32\gxvxccounter (Trojan.DNSChanger) -> No action taken.
C:\Documents and Settings\user\Избранное\Qword Search Engine.url (Adware.QWO) -> No action taken.
Сделайте новый лог МВАМ..!

icotonev 29-07-2010 19:16 1463095
Кроме того скачать TDSSKiller и делать проверку компьютера. Подробные указания Здесь

По умолчанию утилита выводит отчет работы в корень системного диска (диска, на котором установлена операционная система, как правило, это диск С:\).Имя отчета имеет следующий вид:
Например: C:\TDSSKiller.2.4.0_23.07.2010_15.31.43_log.txt
Прикрепите лог в следующем сообщение..!

rivera 30-07-2010 09:34 1463358
icotonev
удалите МБАМ - это удалить Malwarebytes' Anti-Malware ???
сделать новый лог не удаляя, а просто проапдейтив базу низя?


зачем вы цитировали код: мне его куда вставить?

rivera 30-07-2010 10:19 1463370
повторный скан МБАМ (до утилиты TDSSKiller - никаких изменений)

прогнал разок TDSSKiller - после перезагрузки обещал удалить руткиты

счас повторно прогоню мбам и TDSSKiller потом выложу результаты

rivera 30-07-2010 10:44 1463383
прогнал ТДССКиллер

прогнал МБАМОМ (не удалял и не обновлял повторно)

icotonev 01-08-2010 12:49 1464502
Удалите при помощи MBAM:

Код:
Зараженные ключи в реестре:
HKEY_CURRENT_USER\SOFTWARE\{NSINAME} (Trojan.Agent) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\gxvxc (Rootkit.Agent) -> No action taken.
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_NETPROTOCOL (Trojan.Agent) -> No action taken.

Зараженные параметры в реестре:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\option_1 (Rootkit.Agent) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\option_2 (Rootkit.Agent) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\option_3 (Rootkit.Agent) -> No action taken.
HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\New Windows\Allow\www.qword.com (Adware.QWO) -> No action taken.

Объекты реестра заражены:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\AntiVirusDisableNotify (Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> No action taken.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoSMHelp (Hijack.Help) -> Bad: (1) Good: (0) -> No action taken.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Start_ShowSearch (Hijack.StartMenu) -> Bad: (0) Good: (1) -> No action taken.

Зараженные файлы:
C:\WINDOWS\system32\inetsrv\iissync.exe (Virus.Expiro) -> No action taken.
Подготовка свежих логи : Краткие правила по запросу помощи в лечении

rivera 06-08-2010 10:28 1468005
простите, а как удалять при помощи МБАМ? файл я удалил с помощью File assassin а как ключи реестра кильнуть?

thyrex 06-08-2010 10:56 1468030
Вот так

rivera 09-08-2010 11:16 1469888
вот все логи после всех лечений

ps ГМЕР не работает у меня

thyrex 09-08-2010 14:42 1470026
Логи AVZ почему сделаны в безопасном режиме? Переделать

rivera 09-08-2010 17:15 1470142
логи АВЗ сделаны в безопасном режиме
с загрузкой всез драйверов - как в аптеке

thyrex 10-08-2010 11:18 1470653
Логи нужны из нормального режима

rivera 10-08-2010 14:48 1470795
понял
вотъ...

thyrex 10-08-2010 15:44 1470840
Что сейчас с проблемой?

rivera 10-08-2010 16:59 1470883
проблемы нет - думал это вы мне скажете.

мне интересно какая разница между сбором логов АВЗ в безопасном режиме и в нормальном?
и еще интересно, на что следует обращать внимание при поиске проблем по логам АВЗ (да и всем остальным)

это чтоб самому оперативно вмешиваться

thyrex 10-08-2010 18:55 1470940
Установите SP3 (может потребоваться активация) + все новые патчи
Установите Internet Explorer 8 (даже если им не пользуетесь)

Drongo 10-08-2010 18:55 1470941
Цитата:
Цитата rivera
мне интересно какая разница между сбором логов АВЗ в безопасном режиме и в нормальном? »
Безопасный режим это крайний случай, и лучше делать логи в нормальном, т.к. в нормальном больше информации будет.

Цитата:
Цитата rivera
и еще интересно, на что следует обращать внимание при поиске проблем по логам АВЗ (да и всем остальным) »
Отдельных рекомендаций нет. И самому лучше не вмешиваться. Но если очень хочется, то тут, всё пояснят - Обучение методам грамотного лечения от вредоносных программ

Если проблемы нет, отмечайте тему решённой. :)


Время: 13:48.

Время: 13:48.
© OSzone.net 2001-