Перейти к содержанию
Правила раздела

Вирусы, вызывающие перегрузку системы и сбои в работе [OК]

tomkiv

От tomkiv
в Помощь в удалении вирусов

 Share

Рекомендуемые сообщения

tomkiv Новичок

tomkiv

Опубликовано
Опубликовано (изменено)

Такая же ситуация - возникла вчера. Внезапно запустился IE, хотя я тоже им не пользуюсь и начал открывать страницу с непонятными иероглифами. Не успела я еще ничего понять - страница загрузилась, а после этого в нижнем правом углу появилась панелька Face cook (или Cook Face) - как-то так и началась такая вот вещь с компом. Facecook удалила - теперь проблема с этими же (и некоторыми другими) процессами. Периодически система не дает работать Битторренту... Не дает установить ни НОД, ни Доктора Веба, не дает запускаться Касперскому 2010.

Изменено пользователем ТроПа
Ссылка на комментарий
Поделиться на другие сайты
tomkiv Новичок

tomkiv

Опубликовано
  • Автор
Опубликовано (изменено)

Здравствуйте!

 

У меня возникла следующая проблема: вчера внезапно открылось окно IE и стало открывать страницу с непонятными иероглифами, хотя я IE не пользуюсь. Пока я опомнилась, у меня на компе появилась странная программа Face Cooker (или Cook Face - как-то так звучит). Появилась панелька этой программы в нижнем правом углу. Вместе с этим появились новые процессы, которых раньше никогда не было - H001.exe, J001.exe и многие другие. Пыталась удалить антивирусом, но Десятый Касперский не запускается, Доктор Веб не устанавливается (как и НОД32). CureIT находит вирусы, но после перезагрузки все как и было.

 

Новые процессы сильно грузят систему, что приводит к зависанию. При запуске запускается J001. exe, J002.exe, A019.exe, H001. exe, G001.exe, cmd.exe (который и грузит систему на 80-100%), ping.exe, NetworkLicenceServer.exe, AxCmd.exe, s.exe, Safety.exe, reader_sl.exe и другие - это из тех, которых раньше вроде не было. При запуске FIREFOX запускается klwtblfs.exe, потом исчезает.

 

Другие симптомы - после некоторого времени работы виснет Битторрент.

 

Кроме того, не отключается Восстановление Системы. (Уже достаточно давно)

 

Буду очень признательна, если поможете в устранении проблемы!

hijackthis.log

virusinfo_syscheck.zip

virusinfo_syscure.zip

Изменено пользователем tomkiv
Ссылка на комментарий
Поделиться на другие сайты
thyrex Мудрец

thyrex

Опубликовано
Опубликовано (изменено)

Пофиксить в HiJack

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = www.9348.cn/?205449
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://toolbar.ask.com/toolbarv/askRedirect?o=101761&gct=&gc=1&q=
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = www.9348.cn/?205449
R1 - HKLM\Software\Microsoft\Internet Explorer\Search,Default_Search_URL = http://toolbar.ask.com/toolbarv/askRedirect?o=101761&gct=&gc=1&q=
R1 - HKCU\Software\Microsoft\Internet Explorer\SearchURL,(Default) = http://toolbar.ask.com/toolbarv/askRedirect?o=101761&gct=&gc=1&q=%s
R3 - URLSearchHook: (no name) - {83821C2B-32A8-4DD7-B6D4-44309A78E668} - (no file)
F2 - REG:system.ini: Shell=Explorer.exe	C:\WINDOWS\conime.exe	 asds
F3 - REG:win.ini: load=c:\windows\system32\sysDll.exe
F2 - REG:system.ini: UserInit=userinit.exe,
O2 - BHO: (no name) - {2F55A1E9-EE3D-4B19-8B5F-378DEB2F893C} - (no file)
O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)
O17 - HKLM\System\CCS\Services\Tcpip\..\{4B8EAAA7-89FF-4C66-9EA9-63899DF0A0D0}: NameServer = 85.255.112.130,85.255.112.184
O17 - HKLM\System\CS2\Services\Tcpip\Parameters: NameServer = 85.255.112.130,85.255.112.184
O17 - HKLM\System\CS2\Services\Tcpip\..\{4B8EAAA7-89FF-4C66-9EA9-63899DF0A0D0}: NameServer = 85.255.112.130,85.255.112.184
O17 - HKLM\System\CS3\Services\Tcpip\Parameters: NameServer = 85.255.112.130,85.255.112.184
O17 - HKLM\System\CS3\Services\Tcpip\..\{4B8EAAA7-89FF-4C66-9EA9-63899DF0A0D0}: NameServer = 85.255.112.130,85.255.112.184
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: NameServer = 85.255.112.130,85.255.112.184

 

Выполните скрипт в AVZ

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('c:\windows\system32\sysdll.dll','');
DeleteFile('c:\windows\system32\sysdll.dll');
QuarantineFile('C:\WINDOWS\system32\egqT.dll','');
QuarantineFile('c:\windows\system32\tymdtcd.dll','');
QuarantineFile('c:\windows\system32\rlmktxc.dll','');
QuarantineFile('C:\WINDOWS\SYSTEM32\blbrunsrv.dll','');
QuarantineFile('C:\WINDOWS\system32\5f31.exe','');
QuarantineFile('C:\WIN\DOWS\LAX.exe','');
QuarantineFile('c:\windows\system32\sysDll.exe','');
QuarantineFile('C:\WINDOWS\MICROSOFT\winsys.dll','');
QuarantineFile('C:\WINDOWS\TEMP\tempo-29177328.tmp','');
DelCLSID('{28ABC5C0-4FCB-11CF-AAX5-81CX1C635612}');
QuarantineFile('c:\RECYCLER\S-1-5-21-1482476501-1644491937-682003330-1013\ise32.exe','');
QuarantineFile('C:\WINDOWS\Fonts\EAC1E80C.DLL','');
QuarantineFile('C:\autorun.exe','');
QuarantineFile('C:\WINDOWS\system32\drivers\brywu.sys','');
SetServiceStart('gaouqje', 4);
DeleteService('gaouqje');
QuarantineFile('C:\WINDOWS\system32\dll.sys','');
SetServiceStart('dedede', 4);
DeleteService('dedede');
QuarantineFile('C:\WINDOWS\system32\windswe.exe','');
DeleteService('windswe');
QuarantineFile('C:\WINDOWS\system32\s.exe','');
DeleteService('OSEvent');
QuarantineFile('C:\WINDOWS\system32\ILWQBTO5AP\F001.exe','');
DeleteService('Nationallms');
QuarantineFile('C:\WINDOWS\Fonts\41EF2154.EXE','');
QuarantineFile('C:\WINDOWS\system32\i\G001.exe','');
QuarantineFile('C:\WINDOWS\system32\UP45WG057A\J002.exe','');
DeleteService('aw');
DeleteService('ad');
DeleteService('544753B4');
DeleteService('BackGround Switch');
QuarantineFile('c:\windows\system32\avwbunyocsu.dll','');
TerminateProcessByName('c:\windows\conime.exe');
QuarantineFile('c:\windows\conime.exe','');
DeleteFile('c:\windows\conime.exe');
DeleteFile('c:\windows\system32\avwbunyocsu.dll');
DeleteFile('C:\WINDOWS\system32\UP45WG057A\J002.exe');
DeleteFile('C:\WINDOWS\system32\i\G001.exe');
DeleteFile('C:\WINDOWS\Fonts\41EF2154.EXE');
DeleteFile('C:\WINDOWS\system32\ILWQBTO5AP\F001.exe');
DeleteFile('C:\WINDOWS\system32\s.exe');
DeleteFile('C:\WINDOWS\system32\windswe.exe');
DeleteFile('C:\WINDOWS\system32\dll.sys');
DeleteFile('C:\WINDOWS\system32\drivers\brywu.sys');
DeleteFile('C:\autorun.exe');
DeleteFile('C:\WINDOWS\Fonts\EAC1E80C.DLL');
DeleteFile('c:\RECYCLER\S-1-5-21-1482476501-1644491937-682003330-1013\ise32.exe');
DeleteFile('C:\WINDOWS\TEMP\tempo-29177328.tmp');
DeleteFile('C:\WINDOWS\MICROSOFT\winsys.dll');
DeleteFile('c:\windows\system32\sysDll.exe');
DeleteFile('C:\WIN\DOWS\LAX.exe');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','LUXLAX2');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SYSTEM\CurrentControlSet\Services\Eventlog\Application\OSEvent','EventMessageFile');
DeleteFile('C:\WINDOWS\system32\5f31.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SYSTEM\CurrentControlSet\Services\Eventlog\Application\svchose','EventMessageFile');
DeleteFile('C:\WINDOWS\SYSTEM32\blbrunsrv.dll');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SYSTEM\CurrentControlSet\Services\BlbSrv\Parameters','ServiceDll');
DeleteFile('0.exe');
DeleteFile('C:\WINDOWS\system32\egqT.dll');
DeleteFile('C:\Windows\Tasks\{5B57CF47-0BFA-43c6-ACF9-3B3653DCADBA}.job');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
ExecuteRepair(9);
ExecuteRepair(16);
RebootWindows(true);
end.

Компьютер перезагрузится.

 

Выполнить скрипт в AVZ.

begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.

quarantine.zip из папки AVZ отправьте на newvirus@kaspersky.com. Полученный ответ сообщите здесь.

 

Сделайте новые логи

Изменено пользователем thyrex
Ссылка на комментарий
Поделиться на другие сайты
tomkiv Новичок

tomkiv

Опубликовано
  • Автор
Опубликовано

Спасибо за инструкцию - после применения этого скрипта кое-какие проблемы отпали, смогла установить НОД - он в свою очередь удалил многие вирусы (96шт.) Большинство странных процессов ушли, однако некоторые файлы вирусов ни антивирус, ни скрипт удалить не могут - тот же beep.sys и некоторые другие. Выкладываю новые логи, как получу ответ из лаборатории, выложу и его.

 

Спасибо за Вашу помощь, надеюсь Вы поможете устранить проблему полностью! :D

hijackthis.log

virusinfo_syscheck.zip

virusinfo_syscure.zip

Ссылка на комментарий
Поделиться на другие сайты
thyrex Мудрец

thyrex

Опубликовано
Опубликовано

Выполните скрипт в AVZ

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\msdt.exe','');
DeleteFile('C:\WINDOWS\msdt.exe');
DelBHO('{296AB1C7-FB22-4D17-8834-064E2BA0A6F0}');
QuarantineFile('C:\WINDOWS\MICROSOFT\winsys.dll','');
QuarantineFile('C:\WINDOWS\system32\drivers\brywu.sys','');
SetServiceStart('gaouqje', 4);
DeleteService('gaouqje');
QuarantineFile('C:\WINDOWS\system32\0XNUA6QRNP\J002.exe','');
DeleteService('fsdfs');
QuarantineFile('C:\WINDOWS\system32\regedit32.exe','');
DeleteService('BackGround Switch');
QuarantineFile('C:\WINDOWS\Fonts\41EF2154.EXE','');
DeleteService('544753B4');
QuarantineFile('C:\WINDOWS\system32\Safety.exe','');
QuarantineFile('c:\windows\system32\rwmrtkc.dll','');
QuarantineFile('C:\WINDOWS\system32\egqT.dll','');
QuarantineFile('C:\WINDOWS\system32\Drivers\klif.sys','');
DeleteService('TSP');
DeleteFile('C:\WINDOWS\system32\Drivers\klif.sys');
DeleteFile('C:\WINDOWS\system32\egqT.dll');
DeleteFile('c:\windows\system32\rwmrtkc.dll');
DeleteFile('C:\WINDOWS\system32\Safety.exe');
DeleteFile('C:\WINDOWS\Fonts\41EF2154.EXE');
DeleteFile('C:\WINDOWS\system32\regedit32.exe');
DeleteFile('C:\WINDOWS\system32\0XNUA6QRNP\J002.exe');
DeleteFile('C:\WINDOWS\system32\drivers\brywu.sys');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','SefatyReg');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SYSTEM\CurrentControlSet\Services\BITS\Parameters','ServiceDll');
DeleteFile('C:\WINDOWS\MICROSOFT\winsys.dll');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
ExecuteRepair(3);
RebootWindows(true);
end.

Компьютер перезагрузится.

 

Выполнить скрипт в AVZ.

begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.

quarantine.zip из папки AVZ отправьте на newvirus@kaspersky.com. Полученный ответ сообщите здесь.

 

Файл beep.sys нужно заменить на чистыq из дистрибутива:

- Загрузитесь в консоли восстановления

- На приглашение введите строку:

expand X:\i386\beep.sy_ C:\WINDOWS\system32\drivers\beep.sys

Вместо Х подставьте букву драйва, где лежит дистрибутив.

Переписывание подтвердите.

 

- Выйдите из консоли восстановления командой exit + клавиша ВВОД.

- Загрузитесь нормально.

 

Альтернативная замена готовым файлом с аналогичной ОС может быть произведена при загрузке в консоли восстановления (см. выше), с Live CD (BartPE, Knoppix etc.) или с установкой диска в другой ПК.

 

Сделайте новые логи

Ссылка на комментарий
Поделиться на другие сайты

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
 Share
Перейти к списку тем

  • Похожий контент

    • wadim1904
      Работа с госулугами
      От wadim1904
      На компьютерах с kaspersky endpoint security 10 при открытии сайта Госуслуги нет значка ГОСТ (картинка приложена). Как я понял из-за того, что касперский использует свой корневой центр для проверки сертификатов.
      Как отключить эту функцию?

    • Elly
      Вопросы к администрации по работе форума
      От Elly
      Вопросы по работе форума следует писать сюда. Вопросы по модерированию, согласно правилам, сюда писать не следует.
      Ответ можно получить только на вопрос, который грамотно сформулирован и не нарушает правил\устава форума.
    • Ilyambuss
      [РЕШЕНО] Усиление работы системы охлаждения ноутбука после ухода в спящий режим
      От Ilyambuss
      здравствуйте, неделю назад обращался сюда с такой проблемой: "после нажатия клавиш Win + L ноутбук уходит в спящий (или ждущий) режим, экран гаснет через пару минут. проблема в том, что когда я оставляю ноутбук в этом режиме, то через несколько минут я слышу, как система охлаждения ноута начинает работать интенсивнее и громче, как будто происходит какой-то процесс. как только выхожу из спящего режима, всё сразу стихает, и как будто ничего и не было". это оказался майнер, сейчас проблема абсолютно идентичного характера, нужна помощь. и прошу прощения что наступаю на те же грабли и занимаю время консультантов, работающих на этом сайте 
      CollectionLog-2024.10.29-21.38.zip
    • Ilyambuss
      Усиление работы системы охлаждения ноутбука после ухода в спящий режим
      От Ilyambuss
      после нажатия клавиш Win + L ноутбук уходит в спящий (или ждущий) режим, экран гаснет через пару минут. проблема в том, что когда я оставляю ноутбук в этом режиме, то через несколько минут я слышу, как система охлаждения ноута начинает работать интенсивнее и громче, как будто происходит какой-то процесс. как только выхожу из спящего режима, всё сразу стихает, и как будто ничего и не было.. в чём может быть проблема? проверки касперским никаких проблем не выявляют
    • Ilyambuss
      [РЕШЕНО] Усиление работы системы охлаждения ноутбука после ухода в спящий режим
      От Ilyambuss
      после нажатия клавиш Win + L ноутбук уходит в спящий (или ждущий) режим, экран гаснет через пару минут. проблема в том, что когда я оставляю ноутбук в этом режиме, то через несколько минут я слышу, как система охлаждения ноута начинает работать интенсивнее и громче, как будто происходит какой-то процесс. как только выхожу из спящего режима, всё сразу стихает, и как будто ничего и не было. началось это с недавних пор, раньше такого не было. может ли это быть какой-нибудь майнер или любой другой вирус? и грозит ли эта проблема преждевременному износу комплектующих ноута? проверки касперским никаких проблем не выявляют
      CollectionLog-2024.10.21-01.06.zip
×
×
  • Создать...