Перейти к содержанию

Попался какой-то вирус, который не лечится


DIMANDUC

Рекомендуемые сообщения

Здравствуйте!

Возникает пролема при полной проверке компьютера KIS 2009. возникает вот что:

post-8737-1239650093_thumb.jpg

Какой-то вирус. Лечится хорошо вроде-бы. Но после перезагрузки системы опять возникает таже самая штука при проверке компьютера.

Вот логи:

virusinfo_syscure.zip

virusinfo_syscheck.zip

hijackthis.log

virusinfo_syscure.zip

virusinfo_syscheck.zip

Изменено пользователем DIMANDUC
Ссылка на комментарий
Поделиться на другие сайты

1.AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\System32\drivers\89211389.sys','');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.

 

AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".

begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.

 

Прислать карантин (файл quarantine.zip из папки AVZ) на адрес newvirus@kaspersky.com В теле письма укажите пароль на архив virus. После того как получите ответ запостите нам.

 

Продублируйте карантин (файл quarantine.zip из папки AVZ) на адрес dbc22864ba2b.gif В теле письма укажите ссылку на тему.

 

И в АВЗ--сервис--поиск файлов на диске поищите svchost.exe и привидите полные пути ко всем найденным.

  • Согласен 1
Ссылка на комментарий
Поделиться на другие сайты

1.AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".

Кодbegin

SearchRootkit(true, true);

SetAVZGuardStatus(True);

QuarantineFile('C:\WINDOWS\System32\drivers\89211389.sys','');

BC_ImportAll;

ExecuteSysClean;

BC_Activate;

RebootWindows(true);

end.

После выполнения скрипта компьютер перезагрузится.

Это я сделал.

AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".

Кодbegin

CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');

end.

 

тоже выполнил. Полученный файл отправил по указанным адресам с ссылками на тему и описанием проблемы.

И в АВЗ--сервис--поиск файлов на диске поищите svchost.exe и привидите полные пути ко всем найденным.

вот:

C:\WINDOWS\assembly\Nativelmages_v2.0.50727_32\SMS...

C:\WINDOWS\Microsoft.NET\Framework\v3.0\Windows Com...

C:\WINDOWS\system32\netstat.exe

C:\WINDOWS\system32\svchost.exe

D:\Программы\Total Commander\Soft\Ace Utilities\au.exe

вот вроде все... Пути печатал сам, поэтому возможны ошибки. И еще не получилось просмотреть полные пути некоторых файлов. Вынужден ставить точки...

Ссылка на комментарий
Поделиться на другие сайты

вот вроде все... Пути печатал сам, поэтому возможны ошибки. И еще не получилось просмотреть полные пути некоторых файлов. Вынужден ставить точки...

 

Не совсем понятно, привидите скриншот окна.

Файл в карантин не захотел.

В АВЗ включите AVZPM и повторите логи.

Изменено пользователем wise-wistful
Ссылка на комментарий
Поделиться на другие сайты

Не совсем понятно, привидите скриншот окна.

Файл в карантин не захотел.

В АВЗ включите AVZPM и повторите логи.

чичас... вот:

post-8737-1239710531_thumb.jpg

подробно о том, как включить AVZPM... если можно...

Ссылка на комментарий
Поделиться на другие сайты

Запустите AVZ -> выберите пункт меню AVZPM -> Установить драйвер расширенного мониторинга процессов -> перезагрузить систему.

------

Даже инструкция уже есть, оказывается )

Изменено пользователем MedvedevUnited
Ссылка на комментарий
Поделиться на другие сайты

вот новые логи

virusinfo_syscheck.zip

virusinfo_syscure.zip

hijackthis.log

C:\WINDOWS\system32\svchost.exe проверьте на virustotal.com и приведите ссылку на результат проверки

вот ссылка http://www.virustotal.com/ru/reanalisis.ht...a5463460e2380b4

если не откроется вот что там написано

Файл уже проанализирован:

MD5: e948a9079d0e6350be92d4d3e0077f81

First received: 2008.05.01 04:38:40 (CET)

Дата: 2009.04.14 09:49:38 (CET) [<1D]

Результаты: 0/40

Permalink: analisis/68067d892ad96a5bc6b692ed8b882b79

Изменено пользователем DIMANDUC
  • Согласен 1
Ссылка на комментарий
Поделиться на другие сайты

1.AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\drivers\ovfsthceqfcetgrusingrurkjedbxtxbkpmenn.sys','');
DeleteFile('C:\WINDOWS\system32\drivers\ovfsthceqfcetgrusingrurkjedbxtxbkpmenn.sys');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.

 

AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".

begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.

 

Прислать карантин (файл quarantine.zip из папки AVZ) на адрес dbc22864ba2b.gif В теле письма укажите ссылку на тему.

 

Повторите логи.

 

 

Скачайте и распакуйте в отдельную папку - Registry Search

 

Запустите утилиты Registry Search

В верхнем окне, предназначенном для поиска введите

 

fystemroot

 

нажмите "Ok".

В блокноте откроется тескт, скопируйте его и вставьте в следующее сообщение

Изменено пользователем wise-wistful
Ссылка на комментарий
Поделиться на другие сайты

Вот логи:

virusinfo_syscheck.zip

virusinfo_syscure.zip

hijackthis.log

Вот блокнот

Windows Registry Editor Version 5.00

 

; Registry Search 2.0 by Bobbi Flekman © 2005

; Version: 2.0.6.0

 

; Results at 14.04.2009 19:13:34 for strings:

; 'fystemroot'

; Strings excluded from search:

; (None)

; Search in:

; Registry Keys Registry Values Registry Data

; HKEY_LOCAL_MACHINE HKEY_USERS

 

 

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services\BITS]

; Contents of value:

; %fystemRoot%\system32\svchost.exe -k netsvcs

"ImagePath"=hex(2):25,00,66,00,79,00,73,00,74,00,65,00,6d,00,52,00,6f,00,6f,00,\

74,00,25,00,5c,00,73,00,79,00,73,00,74,00,65,00,6d,00,33,00,32,00,5c,00,73,\

00,76,00,63,00,68,00,6f,00,73,00,74,00,2e,00,65,00,78,00,65,00,20,00,2d,00,\

6b,00,20,00,6e,00,65,00,74,00,73,00,76,00,63,00,73,00,00,00

 

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services\wuauserv]

; Contents of value:

; %fystemroot%\system32\svchost.exe -k netsvcs

"ImagePath"=hex(2):25,00,66,00,79,00,73,00,74,00,65,00,6d,00,72,00,6f,00,6f,00,\

74,00,25,00,5c,00,73,00,79,00,73,00,74,00,65,00,6d,00,33,00,32,00,5c,00,73,\

00,76,00,63,00,68,00,6f,00,73,00,74,00,2e,00,65,00,78,00,65,00,20,00,2d,00,\

6b,00,20,00,6e,00,65,00,74,00,73,00,76,00,63,00,73,00,00,00

 

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Services\BITS]

; Contents of value:

; %fystemRoot%\system32\svchost.exe -k netsvcs

"ImagePath"=hex(2):25,00,66,00,79,00,73,00,74,00,65,00,6d,00,52,00,6f,00,6f,00,\

74,00,25,00,5c,00,73,00,79,00,73,00,74,00,65,00,6d,00,33,00,32,00,5c,00,73,\

00,76,00,63,00,68,00,6f,00,73,00,74,00,2e,00,65,00,78,00,65,00,20,00,2d,00,\

6b,00,20,00,6e,00,65,00,74,00,73,00,76,00,63,00,73,00,00,00

 

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Services\wuauserv]

; Contents of value:

; %fystemroot%\system32\svchost.exe -k netsvcs

"ImagePath"=hex(2):25,00,66,00,79,00,73,00,74,00,65,00,6d,00,72,00,6f,00,6f,00,\

74,00,25,00,5c,00,73,00,79,00,73,00,74,00,65,00,6d,00,33,00,32,00,5c,00,73,\

00,76,00,63,00,68,00,6f,00,73,00,74,00,2e,00,65,00,78,00,65,00,20,00,2d,00,\

6b,00,20,00,6e,00,65,00,74,00,73,00,76,00,63,00,73,00,00,00

 

[HKEY_LOCAL_MACHINE\SYSTEM\controlset004\Services\BITS]

; Contents of value:

; %fystemRoot%\system32\svchost.exe -k netsvcs

"ImagePath"=hex(2):25,00,66,00,79,00,73,00,74,00,65,00,6d,00,52,00,6f,00,6f,00,\

74,00,25,00,5c,00,73,00,79,00,73,00,74,00,65,00,6d,00,33,00,32,00,5c,00,73,\

00,76,00,63,00,68,00,6f,00,73,00,74,00,2e,00,65,00,78,00,65,00,20,00,2d,00,\

6b,00,20,00,6e,00,65,00,74,00,73,00,76,00,63,00,73,00,00,00

 

[HKEY_LOCAL_MACHINE\SYSTEM\controlset004\Services\wuauserv]

; Contents of value:

; %fystemroot%\system32\svchost.exe -k netsvcs

"ImagePath"=hex(2):25,00,66,00,79,00,73,00,74,00,65,00,6d,00,72,00,6f,00,6f,00,\

74,00,25,00,5c,00,73,00,79,00,73,00,74,00,65,00,6d,00,33,00,32,00,5c,00,73,\

00,76,00,63,00,68,00,6f,00,73,00,74,00,2e,00,65,00,78,00,65,00,20,00,2d,00,\

6b,00,20,00,6e,00,65,00,74,00,73,00,76,00,63,00,73,00,00,00

 

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\BITS]

; Contents of value:

; %fystemRoot%\system32\svchost.exe -k netsvcs

"ImagePath"=hex(2):25,00,66,00,79,00,73,00,74,00,65,00,6d,00,52,00,6f,00,6f,00,\

74,00,25,00,5c,00,73,00,79,00,73,00,74,00,65,00,6d,00,33,00,32,00,5c,00,73,\

00,76,00,63,00,68,00,6f,00,73,00,74,00,2e,00,65,00,78,00,65,00,20,00,2d,00,\

6b,00,20,00,6e,00,65,00,74,00,73,00,76,00,63,00,73,00,00,00

 

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\wuauserv]

; Contents of value:

; %fystemroot%\system32\svchost.exe -k netsvcs

"ImagePath"=hex(2):25,00,66,00,79,00,73,00,74,00,65,00,6d,00,72,00,6f,00,6f,00,\

74,00,25,00,5c,00,73,00,79,00,73,00,74,00,65,00,6d,00,33,00,32,00,5c,00,73,\

00,76,00,63,00,68,00,6f,00,73,00,74,00,2e,00,65,00,78,00,65,00,20,00,2d,00,\

6b,00,20,00,6e,00,65,00,74,00,73,00,76,00,63,00,73,00,00,00

 

; End Of The Log...

Ссылка на комментарий
Поделиться на другие сайты

1.AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\System32\drivers\89211389.sys','');
QuarantineFile('C:\WINDOWS\TEMP\don5.tmp','');
DeleteFile('C:\WINDOWS\TEMP\don5.tmp');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.

 

AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".

begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.

 

 

Прислать карантин (файл quarantine.zip из папки AVZ) на адрес dbc22864ba2b.gif В теле письма укажите ссылку на тему.

 

2.Пофиксить в HijackThis следующие строчки

F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,C:\WINDOWS\TEMP\don5.tmp

 

Повторите логи.

 

Руткит в карантин не захотел.

Напишите, после выполнения скрипта проблема всё ещё наблюдается?

Ссылка на комментарий
Поделиться на другие сайты

.AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".

Кодbegin

SearchRootkit(true, true);

SetAVZGuardStatus(True);

QuarantineFile('C:\WINDOWS\System32\drivers\89211389.sys','');

QuarantineFile('C:\WINDOWS\TEMP\don5.tmp','');

DeleteFile('C:\WINDOWS\TEMP\don5.tmp');

BC_ImportAll;

ExecuteSysClean;

BC_Activate;

RebootWindows(true);

end.

После выполнения скрипта компьютер перезагрузится.

 

AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".

Кодbegin

CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');

end.

 

 

Прислать карантин (файл quarantine.zip из папки AVZ) на адрес dbc22864ba2b.gif В теле письма укажите ссылку на тему.

 

Это я все сделал.

F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,C:\WINDOWS\TEMP\don5.tmp

не нашел такой строчки.

Повторите логи.

Пожалуйста:

virusinfo_syscheck.zip

virusinfo_syscure.zip

hijackthis.log

Напишите, после выполнения скрипта проблема всё ещё наблюдается?

Сейчас посмотрю...

[После просмотра]: сохраняется... Что ж это за вирус такой "кастрат"?)

DIMANDUC, теперь замените все значения в реестре %fystemRoot% на %systemRoot% (пути уже знаете).

это как можно сделать?

Изменено пользователем DIMANDUC
Ссылка на комментарий
Поделиться на другие сайты

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
  • Похожий контент

    • FredyFox
      От FredyFox
      Вирус не лечится. Все что пишется о нем - название и что сидит в System Memory. Все, что мог бы использовать для его удаления, закрывается моментально при попытке использовать. Могу пытаться что-то с этим сделать только в безопасном режиме
    • Jortin
      От Jortin
      Доброго дня! Неизвестно когда успел подцепить вирус HEUR:Trojan.Multi.GenBadur.genw. 
      По поведению вируса все то же самое что и написано в его описании, сначала появляется окно с предложением лечения вируса с перезагрузкой, но после нее, он появляется  вновь. Файл автологгера прикрепляю.
      CollectionLog-2024.11.07-09.15.zip
    • iulian
      От iulian
      Мой компьютер: 
      MSI Prestige 14 H b12U (EVO) 
       
      Процессор — Intel i5 12450h , rtx 2050 
      Win 11 Home 
       
      История проблемы: 
      Не знаю вообще, как словил вирус, есть 2 теории: 
      1. Я скачивал iso-файл для установки винды (сборка Win10 облегченная) на другой комп и через торрент скачал iso, а через Rufus создал загрузочную флешку, после установил на тот ПК, начались проблемы: комп начал шуметь сильно иногда, не всегда, и когда открываешь диспетчер задач, со 100% на проц подает на 50%, потом на 20% и до 11–15%. Окей, оставляю теперь диспетчер задач включенным всегда, но когда запускаю тяжелую прогу, например «Audo desk Fusion 365», начинает шуметь сильно, ну я как бы думаю, что это сама прога, но при этом, когда включаю обычную демонстрацию экрана на конференций, тоже самое, начинает кипеть и бухтеть, так как запустить тяжелую прогу. Понимаю, что это не демка так грузит, решил проверить. Переустанавливаю винду, предварительно удалив все файлы, форматируя диск, а также винду скачиваю с другого компа с официального сайта. Запускаю комп, опять то же самое, полез в интернет искать решение проблемы, ничего не нашел, единственно посоветовали скачать на флешку «Касперский» антивирус и так почистить ПК, скачал, не запускается, писать на форму, сказали ждать обновлений. Не знаю, сколько еще ждать, но очень уже надоел этот вирус, и прошу помочь его убрать. 
      2. Это то, что мне изначально его подсунули в ноут, так как на тот ПК, который я установил ту винду, он не имеет таких проблем вообще. 

       
          
    • MaximLem
      От MaximLem
      Здравствуйте, хотел бы обратиться за помощью в связи с ситуацией с вирусами на компьютере. Честно говоря, не знаю точно после чего эти вирусы появились., находятся они в разделе "Разрешённые угрозы". Логи и скриншот прикрепил
    • barank1n
      От barank1n
      Висит примерно уже две недели. Руки дошли только сегодня. Установлен Kaspersky Anti-Virus. Kaspersky обнаруживает этот троян после каждого запуска ПК, даже после лечения.  Образ Windows не официальный. Прикрепляю к данной теме файл с логами.
      CollectionLog-2024.10.22-22.01.zip report1.log report2.log
×
×
  • Создать...