Большая просьба помочь с уничтожением system.exe

[Ulysses]

Здравствуйте.

С недавних пор компьютер стал с завидной регулярностью выдавать сообщения следующего содержания: "system.exe - обнаружена ошибка. Приложение будет закрыто". Почитав, пришел к выводу, что это есть вирус и надо с ним бороться. Нашел возможность бороться с ним при помощи avz, однако возникла новая проблема. AVZ не устанавливается - не дает разархивировать, ссылаясь на то, что недостаточно квот для прочитывания всех файлов с расширением *.avz. Знаю, что не я первый обращаюсь с такой проблемой, однако всюду, где я находил описание решения этой проблемы, предлагалось откуда-то что-то скачать, а при попытке перейти по ссылке оказывалось, что там уже ничего не скачивается. Очень прошу подсказать, что у меня происходит с avz, что с ним делать, и что именно делать потом, когда он запустится, чтобы избавиться от system.exe

Учитывая неработоспособность AVZ, прислать протоколы, создаваемые этой программой, я не могу.

Заранее спасибо.

hijackthis.log

Изменено 3 марта, 2009 пользователем Ulysses

[ТроПа]

Эту АВЗ попробуйте, базы обновлять не нужно.

[Ulysses]

УРРААА! Заработала!!

В смысле AVZ. Огромное спасибо.

Высылаю протоколы с просьбой глянуть, что делать дальше.

virusinfo_syscure.zip

virusinfo_syscheck.zip

hijackthis.log

[ТроПа]

1.AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\tvsm.dll','');
QuarantineFile('C:\autorun.inf','');
QuarantineFile('C:\Documents and Settings\Сенсей\Application Data\Microsoft\Windows\sys32.dll','');
QuarantineFile('C:\WINDOWS\system32\kwave.sys','');
QuarantineFile('C:\WINDOWS\system32\stisvc.exe','');
QuarantineFile('C:\WINDOWS\system32\MsSip3.dll','');
QuarantineFile('C:\WINDOWS\system32\MsSip2.dll','');
QuarantineFile('C:\WINDOWS\system32\MsSip1.dll','');
DelCLSID('28ABC5C0-4FCB-11CF-AAX5-81CX1C635612');
QuarantineFile('C:\RECYCLER\S-1-5-21-1482476501-1644491937-682003330-1013\ise32.exe','');
QuarantineFile('C:\Documents and Settings\Сенсей\Application Data\Microsoft\Windows\lsass.exe','');
DeleteService('WindowsTelephony');
QuarantineFile('C:\WINDOWS\system32\wincab.sys','');
QuarantineFile('C:\DOCUME~1\6232~1\LOCALS~1\Temp\54082.sys','');
QuarantineFile('C:\WINDOWS\system32\mckwave.dll','');
QuarantineFile('C:\WINDOWS\system32\c001B6D.mat','');
QuarantineFile('C:\WINDOWS\system32\amvo0.dll','');
QuarantineFile('c:\windows\system32\system.exe','');
TerminateProcessByName('c:\windows\system32\system.exe');
QuarantineFile('c:\windows\system\svhost.exe','');
TerminateProcessByName('c:\windows\system\svhost.exe');
DeleteFile('c:\windows\system\svhost.exe');
DeleteFile('c:\windows\system32\system.exe');
DeleteFile('C:\WINDOWS\system32\amvo0.dll');
DeleteFile('C:\WINDOWS\system32\mckwave.dll');
DeleteFile('C:\DOCUME~1\6232~1\LOCALS~1\Temp\54082.sys');
DeleteFile('C:\WINDOWS\system32\wincab.sys');
DeleteFile('C:\Documents and Settings\Сенсей\Application Data\Microsoft\Windows\lsass.exe');
DeleteFile('C:\RECYCLER\S-1-5-21-1482476501-1644491937-682003330-1013\ise32.exe');
DeleteFile('C:\WINDOWS\system32\MsSip1.dll');
DeleteFile('C:\WINDOWS\system32\MsSip2.dll');
DeleteFile('C:\WINDOWS\system32\MsSip3.dll');
DeleteFile('C:\System Volume Information\_restore{1B06EEB7-47A2-47D7-9F5B-8411877436F7}\RP127\A0015681.dll');
DeleteFile('C:\System Volume Information\_restore{1B06EEB7-47A2-47D7-9F5B-8411877436F7}\RP128\A0016709.dll');
DeleteFile('C:\System Volume Information\_restore{1B06EEB7-47A2-47D7-9F5B-8411877436F7}\RP127\A0015666.dll');
DeleteFile('C:\System Volume Information\_restore{1B06EEB7-47A2-47D7-9F5B-8411877436F7}\RP125\A0015601.dll');
DeleteFile('C:\System Volume Information\_restore{1B06EEB7-47A2-47D7-9F5B-8411877436F7}\RP124\A0015554.dll');
DeleteFile('C:\System Volume Information\_restore{1B06EEB7-47A2-47D7-9F5B-8411877436F7}\RP122\A0014461.dll');
DeleteFile('C:\Documents and Settings\Сенсей\Application Data\Microsoft\Windows\sys32.dll');
DeleteFile('C:\autorun.inf');
DeleteFile('C:\WINDOWS\system32\tvsm.dll');
DeleteFile('C:\WINDOWS\system32\c001B6D.mat');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.

 

AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".

begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.

 

Прислать карантин (файл quarantine.zip из папки AVZ) на адрес В теле письма укажите ссылку на тему.

 

2.Пофиксить в HijackThis следующие строчки )

F2 - REG:system.ini: Shell=
F2 - REG:system.ini: UserInit=

 

Повторите логи.

[Ulysses]

Все веленое проделал. Не помогло: окошко продолжает выскакивать ((((

Файл карантина выслал.

Новые отчеты прилагаю.

 

Сообщение от модератора MedvedevUnited

Не выкладывайте, пожалуйста, карантин (файл virusinfo_cure.zip).

 

Все веленое проделал. Не помогло: окошко продолжает выскакивать ((((

Файл карантина выслал.

Новые отчеты прилагаю.

 

Не выкладывайте, пожалуйста, карантин (файл virusinfo_cure.zip).

Виноват, больше не буду. Не знал, что это карантин.

virusinfo_syscheck.zip

virusinfo_syscure.zip

hijackthis.log

Изменено 3 марта, 2009 пользователем MedvedevUnited

[akoK]

Очистите временные файлы через Пуск-Программы-Стандартные-Служебные-Очистка диска или с помощью ATF Cleaner

- скачайте ATF Cleaner или с зеркала, запустите, поставьте галочку напротив Select All и нажмите Empty Selected.

- если вы используете Firefox, нажмите Firefox - Select All - Empty Selected

- нажмите No, если вы хотите оставить ваши сохраненные пароли

- если вы используете Opera, нажмите Opera - Select All - Empty Selected

- нажмите No, если вы хотите оставить ваши сохраненные пароли

 

 

Скачайте SDFix, загрузитесь в безопасном режиме, запустите утилиту (запустить RunThis.bat - подтвердить, нажав "Y"), после окончания сканирования скопируйте текст из C:\Report.txt и вставьте в следующее сообщение или запакуйте файл C:\Report.txt и прикрепите к сообщению

Описание SDFix есть здесь

 

 

Скачайте ComboFix здесь, здесь или здесь и сохраните на рабочий стол.

 

1. Необходимо установить Recovery Console по инструкции - how-to-use-combofix:

• Скачайте установочный файл для своей ОС и сохраните на рабочий стол.
  Windows XP Professional с пакетом обновления 2 (SP2)
  Windows XP Home Edition с пакетом обновления 2 (SP2)
   
  Установочный файл Recovery Console для Windows XP SP3 идентичен Windows XP SP2
   
  Если Вы используете Windows XP с пакетом обновления 1 (SP1) или Исходный выпуск Windows XP, то необходимо обязательно ознакомится со статьей Как получить установочные диски Windows XP и скачать установочный файл Recovery Console, который соответствует виду Вашей системы.
   
   
  
• Закройте все остальные приложения и мышкой перенесите установочный файл на иконку ComboFix, подтвердите лицензионное соглашение и установите Microsoft Recovery Console.
  

 

 

2. Внимание! Обязательно закройте все браузеры, временно выключите антивирус, firewall и другое защитное программное обеспечение. Не запускайте других программ во время работы Combofix. Combofix может отключить интернет через некоторое время после запуска, не переподключайте интернет пока Combofix не завершит работу. Если интернет не появился после окончания работы Combofix, перезагрузите компьютер. Во время работы Combofix не нажимайте кнопки мыши, это может стать причиной зависания Combofix.

3. Запустите combofix.exe, когда процесс завершится, скопируйте текст из C:\ComboFix.txt и вставьте в следующее сообщение или запакуйте файл C:\ComboFix.txt и прикрепите к сообщению.

Прим: В случае, если ComboFix не запускается, переименуйте combofix.exe в combo-fix.exe

 

Скачайте RSIT или отсюда. Запустите, выберите проверку файлов за последние три месяца и нажмите продолжить. Должны открыться два отчета log.txt и info.txt. Прикрепите их к следующему сообщению. Если вы их закрыли, то логи по умолчанию сохраняются в одноименной папке (RSIT) в корне системного диска.

[Ulysses]

Большое спасибо. Все выполнил. Возмущавшая меня надпись перестала появляться.

Запрошенные Вами файлы прилагаю.

ComboFix.txt

info.txt

log.txt

Report.txt

[akoK]

Запакуйте пожалуйста папку C:\Qoobox\Quarantine\ и C:\SDFix\backups\backups.zip с паролем virus и пришлите на akok<at>pisem.net (at=@) с указанной ссылкой на тему.

 

Деинсталлируйте ComboFix: нажмите Пуск => Выполнить в окне наберите команду Combofix /u, нажмите кнопку "ОК"

 

Скачайте OTCleanIt, запустите, нажмите Clean up

 

 

Пофиксить в HijackThis следующие строчки

 O4 - HKCU\..\Run: [Microsoft Windows Automatic Update] C:\RECYCLER\S-1-5-21-5415605933-4785233374-779271386-9177\mwau.exe

 

 

Скачайте OTMoveIt3 by OldTimer или с зеркала и сохраните на рабочий стол.

Запустите OTMoveIt3 (в ОС Windows Vista необходимо запускать через правую кн. мыши от имени администратора)

временно выключите антивирус, firewall и другое защитное программное обеспечение. Выделите и скопируйте текст ниже (Ctrl+C)

:Processes
explorer.exe

:Services

:Files
E:\semo2x.exe
E:\juok3st.bat
E:\semo2x.exe
E:\juok3st.bat
E:\juok3st.bat
F:\USBNB.exe
E:\semo2x.exe
C:\WINDOWS\system32\CF24200.exe
c:\windows\system32\c009A3D4.mat
c:\windows\system32\c009054.mat
c:\windows\system32\c00DE76.mat
c:\windows\system32\c00EB544.mat
c:\windows\system32\c0061284.mat
c:\windows\system32\c001984.mat
c:\windows\system32\c0091455.mat
c:\windows\system32\c0055C91.mat
c:\windows\system32\c0065840.mat
c:\windows\system32\c0095A51.mat
c:\windows\system32\c00DE26B.mat
c:\windows\system32\c00E937C.mat
c:\windows\system32\c0047700.mat
c:\windows\system32\c00E8350.mat
c:\windows\system32\c0069656.mat
c:\windows\system32\c0053D7C.mat
c:\windows\system32\c004BA0A.mat
c:\recycler\S-1-5-21-5415605933-4785233374-779271386-9177\mwau.exe
:Reg
[-HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{0f99b138-bba0-11dd-8b86-0015f207ca97}]
[-HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{1036bf7c-9bfd-11dd-8b3e-0015f207ca97}]
[-HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{158a457f-8fb5-11dd-8b2e-0015f207ca97}]
[-HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{17267899-ba01-11dd-8b83-0015f207ca97}]
[-HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{6cda6c44-b63b-11dd-8b7e-0015f207ca97}]
[-HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{9686acf4-8863-11dd-8b1f-fda78e1a97ec}]
[-HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{ddf290c0-8eb1-11dd-8b2c-0015f207ca97}]
[-HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{f4cc05c5-df9e-11dd-8bbb-0015f207ca97}]
:Commands
[purity]
[emptytemp]
[start explorer]
[Reboot]

В OTMoveIt3 под панелью "Paste Instructions for Items to be Moved" (под желтой панелью) вставьте скопированный текст и нажмите кнопку "MoveIt!". Выделите (Ctrl+A) и скопируйте (Ctrl+C) текст из окна под панелью "Results" (правая зеленая панель) в следующее сообщение.

Прим: Если файлы и папки не могут быть перемещены немедленно и появиться запись <deleted on reboot>, потребуется перезагрузка. После перезагрузки откройте папку "C:\_OTMoveIt\MovedFiles", найдите последний .log файл (лог в формате mmddyyyy_hhmmss.log), откройте и скопируйте текст из него в следующее сообщение.

 

c:\windows\system32\sbe6_32.dll - проверить на http://www.virustotal.com линк запостить.

c:\windows\uninst.exe - проверить на http://www.virustotal.com линк запостить.

Java - обновить

 

Повторите лог RSIT.

[Ulysses]

Надпись снова появилась, продолжает меня мучать.

Все, что просили, высылаю.

 

http://www.virustotal.com/ru/analisis/2d6f...dbc7b65d0209d25

http://www.virustotal.com/ru/analisis/5212...ad070b82b0f30ef

 

Яву обновить не удается. Сижу через скайлинк, ему не нравится такое подключение. Как сделать так, чтобы понравилось, не знаю.

 

Архив с карантинами Вам выслал

01012070_044312.log

info.txt

log.txt

[akoK]

Пофиксить в HijackThis следующие строчки

 F2 - REG:system.ini: Shell=
F2 - REG:system.ini: UserInit=
O4 - HKCU\..\Run: [Mozillacorp] C:\WINDOWS\system32\system.exe

 

Ваш провайдер?

address: MCC NOC
address: 20, Vorontsovskaya str.,
address: 109044, Moscow
address: Russia

 

Скачайте OTMoveIt3 by OldTimer или с зеркала и сохраните на рабочий стол.

Запустите OTMoveIt3 (в ОС Windows Vista необходимо запускать через правую кн. мыши от имени администратора)

временно выключите антивирус, firewall и другое защитное программное обеспечение. Выделите и скопируйте текст ниже (Ctrl+C)

:Processes
explorer.exe

:Services
AMDMSRIO
Mozillacorp
:Files
C:\DOCUME~1\6232~1\LOCALS~1\Temp\{55638DD9-D5A9-11D3-B74B-204C4F4F5020}\AMDMSRIO.sys
C:\WINDOWS\system32\system.exe
C:\WINDOWS\system32\444.exe
C:\DOCUME~1\6232~1\LOCALS~1\Temp\65756.sys 
:Reg

:Commands
[purity]
[emptytemp]
[start explorer]
[Reboot]

В OTMoveIt3 под панелью "Paste Instructions for Items to be Moved" (под желтой панелью) вставьте скопированный текст и нажмите кнопку "MoveIt!". Выделите (Ctrl+A) и скопируйте (Ctrl+C) текст из окна под панелью "Results" (правая зеленая панель) в следующее сообщение.

Прим: Если файлы и папки не могут быть перемещены немедленно и появиться запись <deleted on reboot>, потребуется перезагрузка. После перезагрузки откройте папку "C:\_OTMoveIt\MovedFiles", найдите последний .log файл (лог в формате mmddyyyy_hhmmss.log), откройте и скопируйте текст из него в следующее сообщение.

 

Ну вот почему люди не читают

 

Запакуйте пожалуйста папку C:\Qoobox\Quarantine\ и C:\SDFix\backups\backups.zip с паролем virus и пришлите на akok<at>pisem.net (at=@) с указанной ссылкой на тему.

В карантин попало:

Worm.Win32.AutoRun.ezt

Trojan-Spy.Win32.Goldun.bfa - пароли меняйте

Trojan.Win32.Agent2.eeg

[Ulysses]

Прошу прощения, если неправильно Вас понял и потому в неправильной форме выслал карантины.

 

Лог после MoveIt прилагается.

 

Сообщение о system.exe продолжает выскакивать каждые 15-20 секунд.

 

Ваш провайдер?

 

Код

address: MCC NOC

address: 20, Vorontsovskaya str.,

address: 109044, Moscow

address: Russia

 

Что Вы имели под этим ввиду?

 

Яву обновил через сайт.

03102009_120132.log

[akoK]

Повторите логи AVZ.

[Fasawe]

Сообщение о system.exe продолжает выскакивать каждые 15-20 секунд.

[цитата]

Гммм... заразный провайдер?

Может стоит задуматься об фаерволе?(по крайней мере на время...)

Изменено 10 марта, 2009 пользователем Fasawe

[Ulysses]

Повторил. Прилагаю.

virusinfo_syscure.zip

virusinfo_syscheck.zip

[akoK]

AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".

begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
QuarantineFile('C:\Program Files\SPSS\spsswspc.dll','');
QuarantineFile('C:\WINDOWS\system32\stisvc.exe','');
DeleteFile('c:\windows\system32\system.exe');
DeleteFile('C:\WINDOWS\system32\system.exe');
DeleteFile('C:\DOCUME~1\6232~1\LOCALS~1\Temp\63875.sys');
 BC_ImportALL;
ExecuteRepair(16);
BC_Activate;
ExecuteSysClean;
RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.

 

begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.

 

 

Полученный архив отправьте на newvirus<at>kaspersky.com (at=@) с указанием пароля: virus в теле письма

 

Повторите логи.