Перейти к содержанию
Правила раздела

2 надоедливых вируса

Jeopardist

От Jeopardist
в Помощь в удалении вирусов

 Share

Рекомендуемые сообщения

Jeopardist Постоялец

Jeopardist

Опубликовано
Опубликовано (изменено)

Итак, после полугодичного использования Misrosoft Essential я решил вернуться к старому доброму KISу. Проблема состоит в следующем: каждые несколько часов в подробном отчёте говорится об обнаружении следующих вирусов:

1)Worm.Win32.AutoRun.ckjw в C:\Documents and Settings\Admin\Application Data\tlzns.exe

2)Trojan.Win32.Llac.zxd в C:\WINDOWS\Temp\tmpb050d220\c2.exe

КИС не выполняет с ними никаких действий.

Прошу помочь. Вроде бы особо никаких проблем с работой ПК нет, но всегда приятно, когда он чистый.

Логи прилагаются.

virusinfo_syscure.zip

virusinfo_syscheck.zip

hijackthis.log

Изменено пользователем Jeopardist
Ссылка на комментарий
Поделиться на другие сайты
  • Ответов 58
  • Created
  • Последний ответ

Top Posters In This Topic

  • Jeopardist

    26

  • zirreX

    18

  • Roman_Five

    10

  • oliva

    3

Popular Days

Top Posters In This Topic

Popular Days

Popular Posts

zirreX
zirreX

Выполните скрипт в AVZ AVZ, меню "Файл -> Выполнить скрипт" -> Скопировать ниже написанный скрипт -> Нажать кнопку "Запустить".   begin SearchRootkit(true, true); SetAVZGuardStatus(true

Posted Images

zirreX Постоялец

zirreX

Опубликовано
Опубликовано (изменено)

Здравствуйте!

 

Перед выполнением скрипта отключите защиту KIS! (ПКМ по значку в трее - Приостановка защиты)

Выполните скрипт в AVZ

AVZ, меню "Файл -> Выполнить скрипт" -> Скопировать ниже написанный скрипт -> Нажать кнопку "Запустить".

 

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
SearchRootkit(true, true);
SetAVZGuardStatus(true);
SetServiceStart('fsxnjkhq', 4);
SetServiceStart('pxodqwai', 4);
QuarantineFile('C:\WINDOWS\system32\winbootr\svchost.exe','');
QuarantineFile('C:\Documents and Settings\Admin\Application Data\Puixuz\tiwo.exe','');
QuarantineFile('C:\Documents and Settings\Admin\Application Data\J18VS5J5.exe','');
QuarantineFile('C:\WINDOWS\system32\drivers\pxodqwai.sys','');
QuarantineFile('C:\WINDOWS\system32\drivers\fsxnjkhq.sys','');
QuarantineFile('c:\documents and settings\admin\Рабочий стол\akson.exe','');
DeleteFile('C:\WINDOWS\system32\drivers\fsxnjkhq.sys');
DeleteFile('C:\WINDOWS\system32\drivers\pxodqwai.sys');
DeleteFile('C:\Documents and Settings\Admin\Application Data\J18VS5J5.exe');
DeleteFile('C:\Documents and Settings\Admin\Application Data\Puixuz\tiwo.exe');
DeleteFile('C:\WINDOWS\system32\winbootr\svchost.exe');
DelCLSID('{46378E8P-H638-4E86-IKKI-WIFI13W7FA7Y}');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','NKRY12LW45IMP');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','NKRY12LW45IMP');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','{D8066EDF-CA2F-97AB-BAA1-23DA88184D86}');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','HKLM');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','HKCU');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','Policies');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','Policies');
DeleteService('pxodqwai');
DeleteService('fsxnjkhq');
DeleteFileMask('C:\WINDOWS\TEMP\', '*.*', true);
DeleteFileMask(GetEnvironmentVariable ('Temp'), '*.*', true);
BC_ImportAll;
ExecuteSysClean;
BC_DeleteFile('C:\WINDOWS\system32\winbootr\svchost.exe');
BC_DeleteSvc('fsxnjkhq');
BC_DeleteSvc('pxodqwai');
BC_Activate;
RebootWindows(true);
end.

 

После выполнения скрипта компьютер перезагрузится!

 

После перезагрузки выполните такой скрипт:

 

AVZ, меню "Файл -> Выполнить скрипт" -> Скопировать ниже написанный

скрипт -> Нажать кнопку "Запустить".

begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.

 

Отправьте файл quarantine.zip через данную форму или через личный кабинет, при условии, что вы являетесь пользователем продуктов Лаборатории Касперского.

 

В строке "Подробное описание возникшей ситуации:", напишите пароль на архив "virus" (без кавычек).

В строке "Электронный адрес:" укажите свой электронный адрес.

Полученный ответ сообщите в этой теме.

 

Пофиксите в hijackthis

 

O9 - Extra button: (no name) - {8DAE90AD-4583-4977-9DD4-4360F7A45C74} - (no file)
O18 - Protocol: solores - {8FA1F4E9-444B-48BF-98CD-B8ECA88E6BA5} - (no file)

 

Сделайте новые логи!

 

• Скачайте Malwarebytes' Anti-Malware или с зеркала, установите, обновите базы, выберите "Perform Full Scan", нажмите "Scan", после сканирования - Ok - Show Results (показать результаты) - Откройте лог и скопируйте в блокнот и прикрепите его к следующему посту.

Если базы MBAM в автоматическом режиме обновить не удалось, обновите их отдельно. Загрузить обновление MBAM.

Изменено пользователем zirreX
Ссылка на комментарий
Поделиться на другие сайты
oliva Продвинутый

oliva

Опубликовано
Опубликовано (изменено)

У меня та же история. Схватила несколько вирусов на флешку. Пришлось удалить, лечению не поддавались. Обратилась в службу ТП. Они рекомендовали выполнить скрипт. Но в нем ошибка. Помогите пожалуйста ее исправить. Вот текст самого скрипта:

begin

SetAVZGuardStatus(True);

SearchRootkit(true, true);

begin

QuarantineFile('appmgmts.dll','');

QuarantineFile('C:\WINDOWS\system32\EncIcons.dll','');

QuarantineFile('C:\WINDOWS\system32\SetDev.dll','');

QuarantineFile('C:\WINDOWS\system32\Momo.dll','');

QuarantineFile('C:\WINDOWS\system32\MainOp.dll','');

QuarantineFile('C:\WINDOWS\system32\FunFrm.dll','');

QuarantineFile('C:\WINDOWS\system32\FaceVerify.dll','');

QuarantineFile('C:\WINDOWS\system32\facev.dll','');

QuarantineFile('C:\WINDOWS\system32\Apblend.dll','');

end.

BC_ImportAll;

ExecuteSysClean;

BC_Activate;

RebootWindows(true);

end.

Скриншот сообщения об ошибке прилагаю. Спасибо.

post-10544-1307847570_thumb.jpg

Изменено пользователем oliva
Ссылка на комментарий
Поделиться на другие сайты
Tiare Профи

Tiare

Опубликовано
Опубликовано
обратилась в службу ТП. Они рекомендовали выполнить скрипт. Но в нем ошибка. Помогите пожалуйста ее исправить.

 

Исправила

begin
SetAVZGuardStatus(True);
SearchRootkit(true, true);
QuarantineFile('appmgmts.dll','');
QuarantineFile('C:\WINDOWS\system32\EncIcons.dll','');
QuarantineFile('C:\WINDOWS\system32\SetDev.dll','');
QuarantineFile('C:\WINDOWS\system32\Momo.dll','');
QuarantineFile('C:\WINDOWS\system32\MainOp.dll','');
QuarantineFile('C:\WINDOWS\system32\FunFrm.dll','');
QuarantineFile('C:\WINDOWS\system32\FaceVerify.dll','');
QuarantineFile('C:\WINDOWS\system32\facev.dll','');
QuarantineFile('C:\WINDOWS\system32\Apblend.dll','');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

 

oliva, у каждого пользователя проблема индивидуальная, поэтому нужно создавать отдельную тему. Тем самым не вводить в заблуждние других пользователей и хелперов :)

Ссылка на комментарий
Поделиться на другие сайты
oliva Продвинутый

oliva

Опубликовано
Опубликовано
Исправила

begin
SetAVZGuardStatus(True);
SearchRootkit(true, true);
QuarantineFile('appmgmts.dll','');
QuarantineFile('C:\WINDOWS\system32\EncIcons.dll','');
QuarantineFile('C:\WINDOWS\system32\SetDev.dll','');
QuarantineFile('C:\WINDOWS\system32\Momo.dll','');
QuarantineFile('C:\WINDOWS\system32\MainOp.dll','');
QuarantineFile('C:\WINDOWS\system32\FunFrm.dll','');
QuarantineFile('C:\WINDOWS\system32\FaceVerify.dll','');
QuarantineFile('C:\WINDOWS\system32\facev.dll','');
QuarantineFile('C:\WINDOWS\system32\Apblend.dll','');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

 

oliva, у каждого пользователя проблема индивидуальная, поэтому нужно создавать отдельную тему. Тем самым не вводить в заблуждние других пользователей и хелперов :)

Спасибо за помощь. Замечание поняла.

Ссылка на комментарий
Поделиться на другие сайты
Jeopardist Постоялец

Jeopardist

Опубликовано
  • Автор
Опубликовано (изменено)

Пришел ответ.

Hello,

 

This message is generated by automatic letter reception system. The report contains information on what the verdicts on the files (if any in the letter) makes antivirus with latest updates. Letter will be passed to the virus analyst.

 

akson.exe,

bcqr00011.dat,

bcqr00012.dat

 

No malicious code were found in these files.

 

Best Regards, Kaspersky Lab

 

новые логи - это те, которые я в начале делают?

 

Мелвейр нашел PUP.PSWTool.ProducktKey в С/Windows/system32. что такое - не знаю. удалять?

Изменено пользователем Jeopardist
Ссылка на комментарий
Поделиться на другие сайты
Roman_Five Корифей

Roman_Five

Опубликовано
Опубликовано

деинсталлируйте MBAM

 

Выполните скрипт в AVZ (AVZ, Меню "Файл - Выполнить скрипт"):

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
ClearQuarantine;
SetServiceStart('ylivjztf', 4);
QuarantineFile('C:\WINDOWS\system32\drivers\ylivjztf.sys','');
QuarantineFile('C:\WINDOWS\system32\io02.sys','');
DeleteFile('C:\WINDOWS\system32\drivers\ylivjztf.sys');
DeleteService('ylivjztf');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.

Для создания архива с карантином выполните скрипт:

begin
CreateQurantineArchive(GetAVZDirectory + 'Qurantine.zip');
end.

Отправьте на проверку файл Quarantine.zip из папки AVZ через данную форму или через личный кабинет (если являетесь пользователем продуктов Лаборатории Касперского и зарегистрированы).

Для получения ответа в более короткий срок отправьте Ваш запрос через Личный кабинет.

В строке "Подробное описание возникшей ситуации:" укажите пароль на архив "virus" (без кавычек).

В строке "Электронный адрес:" укажите адрес своей электронной почты.

Полученный ответ сообщите в этой теме.

 

Обязательно. У Вас было новое заражение.

После проведённого лечения рекомендуется установить следующие обновления:

- все обновления на Windows (может потребоваться активация Windows)

- проверить на наличие уязвимостей в ОС и используемом ПО / установить актуальные версии используемого ПО (подробнее)

 

ПОСЛЕ этого сделайте новые логи по правилам.

Ссылка на комментарий
Поделиться на другие сайты
Jeopardist Постоялец

Jeopardist

Опубликовано
  • Автор
Опубликовано

2 раза подряд

Hello,

 

This message is generated by automatic letter reception system. The report contains information on what the verdicts on the files (if any in the letter) makes antivirus with latest updates. Letter will be passed to the virus analyst.

 

Your attachment was not received. Probably your problem files were cut off on a mail server during delivering. To avoid this problem you need to place your files in password protected archive (password 'infected' without quotes) and send it again.

 

что делать?

Ссылка на комментарий
Поделиться на другие сайты
Roman_Five Корифей

Roman_Five

Опубликовано
Опубликовано
что делать?

ничего. карантин пустой. так и ожидалось, к слову.

обновлений установили? когда установите - сделайте новые логи.

Ссылка на комментарий
Поделиться на другие сайты

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
 Share
Перейти к списку тем

  • Похожий контент

    • civiero
      Вирус или нет?
      От civiero
      При просмотре видео на ютуб останавливается видео и появляется звуки костей, или слово amazing. Нужно ли волноваться по этому поводу? Антивирус ничего не выдает.
    • Gagik
      Поймал вирус
      От Gagik
      Поймал вирус не знаю из за чего и ни чем не определяется почти,вроде как dwm процесс называется,при открытии диспетчера задач,не отображается и нагрузка сразу спадает,в простое нагревает процессор до 90 градусов
    • lomosow
      NET:MALWARE.URL Вирус
      От lomosow
      Поймал вирусняк, открывает edge при заходе в систему, Dr.web его обнаруживает, но удалить его не может, пишет "ошибка лечения". называется NET:MALWARE.URL. UPD. веб перестал его обнаруживать, но проблема никуда не делась 
    • Mr. Denp
      Вирусы: HEUR:Trojan.Multi.GenBadur.genw и HEUR:Trojan.Script.Generic
      От Mr. Denp
      Добрый день!
       
      Уже как несколько месяцев сижу с пойманными вирусами. Первый появился: HEUR:Trojan.Multi.GenBadur.genw - Касперский пытается устранить, но безуспешно.
      Процесс лечения заканчивается следующей ошибкой:

       
      Происходит перезагрузка компьютера, затем очередная автоматическая проверка компьютера Касперским, и троян снова появляется с предложением удаления.
      И так по кругу. 
      Вирус находится в системной памяти.
       
      Второй - HEUR:Trojan.Script.Generic появился сравнительно недавно, после удаления Касперским, он также появляется заново.
       
      Большая просьба помочь решить проблему. Насколько это опасно? Можно ли что-то сделать?
      Склонялся к варианту переустановки винды, но потеря файлов и головная боль с повторной установкой всего напрягает.
       
      Винда официальная. Единственная причины возникновения, которая приходит на ум - это торрент.
       
      Заранее благодарен!
       
    • SiGiDi
      Вирус Петя, что делать
      От SiGiDi
      Вчера установил файл, после его распаковки вылез экран смерти и после череп который моргает красно белым цветом, что мне делать

×
×
  • Создать...