Cкрытая зараза, KIS'ом не убивается

[dimdeposit]

скрытая зараза, kis`ом и не находится и не убивается, прошу помощи!

virusinfo_syscheck.zip

virusinfo_syscure.zip

hijackthis.log

[ТроПа]

C:\WINDOWS\system32\drivers\klif.sys, C:\WINDOWS\system32\Drivers\kl1.sys - это от касперского.

C:\WINDOWS\System32\Drivers\dump_atapi.sys. C:\WINDOWS\System32\Drivers\dump_WMILIB.SYS, C:\WINDOWS\System32\wscript.exe, C:\WINDOWS\system32\cleanmgr.exe это системные файлы

C:\WINDOWS\system32\DRIVERS\FStarForce.sys - это от эмулятора виртуальных дисков.

 

С чего решили, что присутствует скрытая зараза?

 

Пофиксить в HijackThis следующие строчки

O20 - Winlogon Notify: ctasys - C:\WINDOWS\

[dimdeposit]

C:\WINDOWS\system32\drivers\klif.sys, C:\WINDOWS\system32\Drivers\kl1.sys - это от касперского.

C:\WINDOWS\System32\Drivers\dump_atapi.sys. C:\WINDOWS\System32\Drivers\dump_WMILIB.SYS, C:\WINDOWS\System32\wscript.exe, C:\WINDOWS\system32\cleanmgr.exe это системные файлы

C:\WINDOWS\system32\DRIVERS\FStarForce.sys - это от эмулятора виртуальных дисков.

 

С чего решили, что присутствует скрытая зараза?

 

Пофиксить в HijackThis следующие строчки

O20 - Winlogon Notify: ctasys - C:\WINDOWS\

 

вот почему ! прилагаю рисунок! сделан после того как Пофиксил в HijackThis следующие строчки[/url]

O20 - Winlogon Notify: ctasys - C:\WINDOWS\

 

после этого пропадает доступ в интернет и пропадает звук, помогает только перезагрузка!

[ТроПа]

Перезагружать после фикса в HJT нужно, это почемуто у нас не указано

Влючите в АВЗ AVZPM и повторите логи.

[dimdeposit]

Перезагружать после фикса в HJT нужно, это почемуто у нас не указано

Влючите в АВЗ AVZPM и повторите логи.

 

после перезагрузки внедрение в процесс повторяется, логи с вкл AVZPM!

virusinfo_syscheck.zip

virusinfo_syscure.zip

hijackthis.log

[akoK]

AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".

begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(true);
QuarantineFile('C:\WINDOWS\system32\hidec','');
DeleteFile('C:\WINDOWS\system32\hidec');
BC_ImportALL;
BC_Activate;
ExecuteSysClean;
RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.

 

begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.

 

 

Полученный архив отправьте на akok<at>pisem.net с указанной ссылкой на тему. (at=@)

 

 

Повторите логи

 

Скачайте DDS или с зеркала и сохраните на рабочий стол, отключите антивирус и запустите dds.scr, когда сканирование закончится, запакуйте файлы из файлов DDS.txt и Attach.txt и вложите в сообщение

 

Скачайте Gmer. Запустите программу. После автоматической экспресс-проверки, отметьте галочкой все жесткие диски и нажмите на кнопку Scan. После окончания проверки сохраните его.

[dimdeposit]

AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".

begin
......
end.

После выполнения скрипта компьютер перезагрузится.

...

 

к сожалению скрипт проблему не решил - пропадает доступ в инет и звук, карантин отправил, вот логи и все остальное что просили -

virusinfo_syscheck.zip

virusinfo_syscure.zip

DDS.txt

Attach.txt

gmer.log

hijackthis.log

[iradov]

dimdeposit

 

Небось при выскакивании окна нажимаешь "запретить", а потом еще удивляешься почему инет пропадает? Добавь этот процесс в доверенные. Или попробуй базу Каспера обновить. Последние два дня были кривые базы. Меня юзвери замучали звонками по поводу срабатывания Противоактивной и анти-хакерской защит и самопроизвольному отключению антиспама. Я один комп перепахал всеми возможными средствами и в ручную перелопатил, но ничего не нашел. Но когда после обеда вытянул новую базу, то как бабка пошептала - куда все проявления и делись.

[akoK]

Ничего явно активного не вижу.

[dimdeposit]

Ничего явно активного не вижу.

 

очень странно, а в карантине был вирус? у меня была подобная проблема в феврале, но после вирусной атаки стало еще хуже, каспер не загрузался, здесь же на форуме написали скрипт который странил и вирус, и проблему пропадания звука и доступа в инет, было это в посте http://forum.kasperskyclub.ru/index.php?sh...c=8103&st=0

, а скрипт Код

begin

SearchRootkit(true, true);

SetAVZGuardStatus(True);

QuarantineFile('ctasys.dll','');

QuarantineFile('digeste.dll','');

QuarantineFile('C:\WINDOWS\system32\twex.exe','');

DeleteFile('C:\WINDOWS\system32\twex.exe');

DeleteFile('digeste.dll');

DeleteFile('ctasys.dll');

BC_ImportAll;

ExecuteSysClean;

BC_Activate;

RebootWindows(true);

end.

 

так что на базы каспера я не грешу обновляюсь раз в два дня, ну что ж есть, что ломает доступ в инет и звук, это ж не возможно через каж 5 мин перезагружать копм что б что нибуть поделоть, кроме локальную молчанку с компом, без звука и без инета!

[ТроПа]

Загрузите компьютер в Безопасном режиме, АВЗ-Сервис-Диспетчер служб и драйверов, переключиться на вкладку Сервисы (по анализу реестра) и сохранить протокол (нажмите дискетку, сохраните и выложите).

[dimdeposit]

в ответ iradov`у посылаю картинку, в подтверждение что не влияет разрешеть действие или нет - звук и инет пропадает, еще для напряга ваших просмотривающих мою тему, мозгов, предлагаю обратить внимание на то, что при выполнении действия или не выполнении, пропадает красочность окна каспера - стиль оформления окна, для сравнения она должна быть как у диспечера задач - синяя объемно выделеная,

 

для wise-wistful - что и просил, вроде это!

 

вопрос для akoK - в карантине вирус все ж был иль нет?

avz_services.htm

Изменено 3 апреля, 2009 пользователем dimdeposit

[ТроПа]

В списке процессов подозрительного ниего не видно.

[akoK]

Нет...ничего не попало.

[dimdeposit]

В списке процессов подозрительного ниего не видно.

так и что мне тепереча делать, то?

 

Нет...ничего не попало.

файлы из карантина может вернуть?