Перейти к содержанию
Правила раздела
19 лет клубу! Встречаемся в офисе «Лаборатории Касперского»

Попался какой-то вирус, который не лечится

DIMANDUC

Автор DIMANDUC
в Помощь в удалении вирусов

 Поделиться

Рекомендуемые сообщения

DIMANDUC Опытный

DIMANDUC

Опубликовано
Опубликовано (изменено)

Здравствуйте!

Возникает пролема при полной проверке компьютера KIS 2009. возникает вот что:

post-8737-1239650093_thumb.jpg

Какой-то вирус. Лечится хорошо вроде-бы. Но после перезагрузки системы опять возникает таже самая штука при проверке компьютера.

Вот логи:

virusinfo_syscure.zip

virusinfo_syscheck.zip

hijackthis.log

virusinfo_syscure.zip

virusinfo_syscheck.zip

Изменено пользователем DIMANDUC
Ссылка на комментарий
Поделиться на другие сайты
Самогонщик Гигант мысли

Самогонщик

Опубликовано
Опубликовано (изменено)

Обнови базы

Файл-Обновление баз загрузиться около 1,5Mb

Изменено пользователем Самагонщик
  • Согласен 1
Ссылка на комментарий
Поделиться на другие сайты
ТроПа Ветеран

ТроПа

Опубликовано
Опубликовано

1.AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\System32\drivers\89211389.sys','');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.

 

AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".

begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.

 

Прислать карантин (файл quarantine.zip из папки AVZ) на адрес newvirus@kaspersky.com В теле письма укажите пароль на архив virus. После того как получите ответ запостите нам.

 

Продублируйте карантин (файл quarantine.zip из папки AVZ) на адрес dbc22864ba2b.gif В теле письма укажите ссылку на тему.

 

И в АВЗ--сервис--поиск файлов на диске поищите svchost.exe и привидите полные пути ко всем найденным.

  • Согласен 1
Ссылка на комментарий
Поделиться на другие сайты
DIMANDUC Опытный

DIMANDUC

Опубликовано
  • Автор
Опубликовано
1.AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".

Кодbegin

SearchRootkit(true, true);

SetAVZGuardStatus(True);

QuarantineFile('C:\WINDOWS\System32\drivers\89211389.sys','');

BC_ImportAll;

ExecuteSysClean;

BC_Activate;

RebootWindows(true);

end.

После выполнения скрипта компьютер перезагрузится.

Это я сделал.

AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".

Кодbegin

CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');

end.

 

тоже выполнил. Полученный файл отправил по указанным адресам с ссылками на тему и описанием проблемы.

И в АВЗ--сервис--поиск файлов на диске поищите svchost.exe и привидите полные пути ко всем найденным.

вот:

C:\WINDOWS\assembly\Nativelmages_v2.0.50727_32\SMS...

C:\WINDOWS\Microsoft.NET\Framework\v3.0\Windows Com...

C:\WINDOWS\system32\netstat.exe

C:\WINDOWS\system32\svchost.exe

D:\Программы\Total Commander\Soft\Ace Utilities\au.exe

вот вроде все... Пути печатал сам, поэтому возможны ошибки. И еще не получилось просмотреть полные пути некоторых файлов. Вынужден ставить точки...

Ссылка на комментарий
Поделиться на другие сайты
ТроПа Ветеран

ТроПа

Опубликовано
Опубликовано (изменено)
вот вроде все... Пути печатал сам, поэтому возможны ошибки. И еще не получилось просмотреть полные пути некоторых файлов. Вынужден ставить точки...

 

Не совсем понятно, привидите скриншот окна.

Файл в карантин не захотел.

В АВЗ включите AVZPM и повторите логи.

Изменено пользователем wise-wistful
Ссылка на комментарий
Поделиться на другие сайты
DIMANDUC Опытный

DIMANDUC

Опубликовано
  • Автор
Опубликовано
Не совсем понятно, привидите скриншот окна.

Файл в карантин не захотел.

В АВЗ включите AVZPM и повторите логи.

чичас... вот:

post-8737-1239710531_thumb.jpg

подробно о том, как включить AVZPM... если можно...

Ссылка на комментарий
Поделиться на другие сайты
MedvedevUnited Ветеран

MedvedevUnited

Опубликовано
Опубликовано (изменено)

Запустите AVZ -> выберите пункт меню AVZPM -> Установить драйвер расширенного мониторинга процессов -> перезагрузить систему.

------

Даже инструкция уже есть, оказывается )

Изменено пользователем MedvedevUnited
Ссылка на комментарий
Поделиться на другие сайты
DIMANDUC Опытный

DIMANDUC

Опубликовано
  • Автор
Опубликовано (изменено)

вот новые логи

virusinfo_syscheck.zip

virusinfo_syscure.zip

hijackthis.log

C:\WINDOWS\system32\svchost.exe проверьте на virustotal.com и приведите ссылку на результат проверки

вот ссылка http://www.virustotal.com/ru/reanalisis.ht...a5463460e2380b4

если не откроется вот что там написано

Файл уже проанализирован:

MD5: e948a9079d0e6350be92d4d3e0077f81

First received: 2008.05.01 04:38:40 (CET)

Дата: 2009.04.14 09:49:38 (CET) [<1D]

Результаты: 0/40

Permalink: analisis/68067d892ad96a5bc6b692ed8b882b79

Изменено пользователем DIMANDUC
  • Согласен 1
Ссылка на комментарий
Поделиться на другие сайты
ТроПа Ветеран

ТроПа

Опубликовано
Опубликовано (изменено)

1.AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\drivers\ovfsthceqfcetgrusingrurkjedbxtxbkpmenn.sys','');
DeleteFile('C:\WINDOWS\system32\drivers\ovfsthceqfcetgrusingrurkjedbxtxbkpmenn.sys');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.

 

AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".

begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.

 

Прислать карантин (файл quarantine.zip из папки AVZ) на адрес dbc22864ba2b.gif В теле письма укажите ссылку на тему.

 

Повторите логи.

 

 

Скачайте и распакуйте в отдельную папку - Registry Search

 

Запустите утилиты Registry Search

В верхнем окне, предназначенном для поиска введите

 

fystemroot

 

нажмите "Ok".

В блокноте откроется тескт, скопируйте его и вставьте в следующее сообщение

Изменено пользователем wise-wistful
Ссылка на комментарий
Поделиться на другие сайты
DIMANDUC Опытный

DIMANDUC

Опубликовано
  • Автор
Опубликовано

Вот логи:

virusinfo_syscheck.zip

virusinfo_syscure.zip

hijackthis.log

Вот блокнот

Windows Registry Editor Version 5.00

 

; Registry Search 2.0 by Bobbi Flekman © 2005

; Version: 2.0.6.0

 

; Results at 14.04.2009 19:13:34 for strings:

; 'fystemroot'

; Strings excluded from search:

; (None)

; Search in:

; Registry Keys Registry Values Registry Data

; HKEY_LOCAL_MACHINE HKEY_USERS

 

 

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services\BITS]

; Contents of value:

; %fystemRoot%\system32\svchost.exe -k netsvcs

"ImagePath"=hex(2):25,00,66,00,79,00,73,00,74,00,65,00,6d,00,52,00,6f,00,6f,00,\

74,00,25,00,5c,00,73,00,79,00,73,00,74,00,65,00,6d,00,33,00,32,00,5c,00,73,\

00,76,00,63,00,68,00,6f,00,73,00,74,00,2e,00,65,00,78,00,65,00,20,00,2d,00,\

6b,00,20,00,6e,00,65,00,74,00,73,00,76,00,63,00,73,00,00,00

 

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services\wuauserv]

; Contents of value:

; %fystemroot%\system32\svchost.exe -k netsvcs

"ImagePath"=hex(2):25,00,66,00,79,00,73,00,74,00,65,00,6d,00,72,00,6f,00,6f,00,\

74,00,25,00,5c,00,73,00,79,00,73,00,74,00,65,00,6d,00,33,00,32,00,5c,00,73,\

00,76,00,63,00,68,00,6f,00,73,00,74,00,2e,00,65,00,78,00,65,00,20,00,2d,00,\

6b,00,20,00,6e,00,65,00,74,00,73,00,76,00,63,00,73,00,00,00

 

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Services\BITS]

; Contents of value:

; %fystemRoot%\system32\svchost.exe -k netsvcs

"ImagePath"=hex(2):25,00,66,00,79,00,73,00,74,00,65,00,6d,00,52,00,6f,00,6f,00,\

74,00,25,00,5c,00,73,00,79,00,73,00,74,00,65,00,6d,00,33,00,32,00,5c,00,73,\

00,76,00,63,00,68,00,6f,00,73,00,74,00,2e,00,65,00,78,00,65,00,20,00,2d,00,\

6b,00,20,00,6e,00,65,00,74,00,73,00,76,00,63,00,73,00,00,00

 

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Services\wuauserv]

; Contents of value:

; %fystemroot%\system32\svchost.exe -k netsvcs

"ImagePath"=hex(2):25,00,66,00,79,00,73,00,74,00,65,00,6d,00,72,00,6f,00,6f,00,\

74,00,25,00,5c,00,73,00,79,00,73,00,74,00,65,00,6d,00,33,00,32,00,5c,00,73,\

00,76,00,63,00,68,00,6f,00,73,00,74,00,2e,00,65,00,78,00,65,00,20,00,2d,00,\

6b,00,20,00,6e,00,65,00,74,00,73,00,76,00,63,00,73,00,00,00

 

[HKEY_LOCAL_MACHINE\SYSTEM\controlset004\Services\BITS]

; Contents of value:

; %fystemRoot%\system32\svchost.exe -k netsvcs

"ImagePath"=hex(2):25,00,66,00,79,00,73,00,74,00,65,00,6d,00,52,00,6f,00,6f,00,\

74,00,25,00,5c,00,73,00,79,00,73,00,74,00,65,00,6d,00,33,00,32,00,5c,00,73,\

00,76,00,63,00,68,00,6f,00,73,00,74,00,2e,00,65,00,78,00,65,00,20,00,2d,00,\

6b,00,20,00,6e,00,65,00,74,00,73,00,76,00,63,00,73,00,00,00

 

[HKEY_LOCAL_MACHINE\SYSTEM\controlset004\Services\wuauserv]

; Contents of value:

; %fystemroot%\system32\svchost.exe -k netsvcs

"ImagePath"=hex(2):25,00,66,00,79,00,73,00,74,00,65,00,6d,00,72,00,6f,00,6f,00,\

74,00,25,00,5c,00,73,00,79,00,73,00,74,00,65,00,6d,00,33,00,32,00,5c,00,73,\

00,76,00,63,00,68,00,6f,00,73,00,74,00,2e,00,65,00,78,00,65,00,20,00,2d,00,\

6b,00,20,00,6e,00,65,00,74,00,73,00,76,00,63,00,73,00,00,00

 

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\BITS]

; Contents of value:

; %fystemRoot%\system32\svchost.exe -k netsvcs

"ImagePath"=hex(2):25,00,66,00,79,00,73,00,74,00,65,00,6d,00,52,00,6f,00,6f,00,\

74,00,25,00,5c,00,73,00,79,00,73,00,74,00,65,00,6d,00,33,00,32,00,5c,00,73,\

00,76,00,63,00,68,00,6f,00,73,00,74,00,2e,00,65,00,78,00,65,00,20,00,2d,00,\

6b,00,20,00,6e,00,65,00,74,00,73,00,76,00,63,00,73,00,00,00

 

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\wuauserv]

; Contents of value:

; %fystemroot%\system32\svchost.exe -k netsvcs

"ImagePath"=hex(2):25,00,66,00,79,00,73,00,74,00,65,00,6d,00,72,00,6f,00,6f,00,\

74,00,25,00,5c,00,73,00,79,00,73,00,74,00,65,00,6d,00,33,00,32,00,5c,00,73,\

00,76,00,63,00,68,00,6f,00,73,00,74,00,2e,00,65,00,78,00,65,00,20,00,2d,00,\

6b,00,20,00,6e,00,65,00,74,00,73,00,76,00,63,00,73,00,00,00

 

; End Of The Log...

Ссылка на комментарий
Поделиться на другие сайты
ТроПа Ветеран

ТроПа

Опубликовано
Опубликовано

1.AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\System32\drivers\89211389.sys','');
QuarantineFile('C:\WINDOWS\TEMP\don5.tmp','');
DeleteFile('C:\WINDOWS\TEMP\don5.tmp');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.

 

AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".

begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.

 

 

Прислать карантин (файл quarantine.zip из папки AVZ) на адрес dbc22864ba2b.gif В теле письма укажите ссылку на тему.

 

2.Пофиксить в HijackThis следующие строчки

F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,C:\WINDOWS\TEMP\don5.tmp

 

Повторите логи.

 

Руткит в карантин не захотел.

Напишите, после выполнения скрипта проблема всё ещё наблюдается?

Ссылка на комментарий
Поделиться на другие сайты
DIMANDUC Опытный

DIMANDUC

Опубликовано
  • Автор
Опубликовано (изменено)
.AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".

Кодbegin

SearchRootkit(true, true);

SetAVZGuardStatus(True);

QuarantineFile('C:\WINDOWS\System32\drivers\89211389.sys','');

QuarantineFile('C:\WINDOWS\TEMP\don5.tmp','');

DeleteFile('C:\WINDOWS\TEMP\don5.tmp');

BC_ImportAll;

ExecuteSysClean;

BC_Activate;

RebootWindows(true);

end.

После выполнения скрипта компьютер перезагрузится.

 

AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".

Кодbegin

CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');

end.

 

 

Прислать карантин (файл quarantine.zip из папки AVZ) на адрес dbc22864ba2b.gif В теле письма укажите ссылку на тему.

 

Это я все сделал. 

F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,C:\WINDOWS\TEMP\don5.tmp

не нашел такой строчки.

Повторите логи.

Пожалуйста:

virusinfo_syscheck.zip

virusinfo_syscure.zip

hijackthis.log

Напишите, после выполнения скрипта проблема всё ещё наблюдается?

Сейчас посмотрю...

[После просмотра]: сохраняется... Что ж это за вирус такой "кастрат"?)

DIMANDUC, теперь замените все значения в реестре %fystemRoot% на %systemRoot% (пути уже знаете).

это как можно сделать?

Изменено пользователем DIMANDUC
Ссылка на комментарий
Поделиться на другие сайты

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
 Поделиться
Перейти к списку тем

  • Похожий контент

    • Albert2025
      [РЕШЕНО] Поймал вирус, но не лечится стандартно
      Автор Albert2025
      Добрый день.
      Подозреваю, что сегодня с флэшки случайно запустил вирус.
      Проверки файлов на флэшке через opentip.kaspersky.com выдает результаты HEUR:Trojan.Win64.Convagent.gen и Trojan.VBS.Starter.pl
      На компьютере при этом в Диспетчере задач есть какие-то неизвестные запущенные процессы.
      Но при этом проверка KVRT и DrWeb CureIt результатов не приносит, ничего не обнаруживается.
      Боюсь, что сидит какой-нибудь шифровальщик или троян, собирающий данные (пароли и т.д.).
        Прошу помочь разобраться, что делает этот вирус и как избавиться от него, во вложении архив с флэшки, пароль virus.
      Также в директории был еще файл *.dat, но он слишком большого размера, при помещении его в архив он превышает допустимый размер.
      P.S. Также приложил логи.
      rootdir1.rar
      CollectionLog-2025.05.20-11.45.zip
    • NotDev
      [РЕШЕНО] Trojan.Win32.Shellcode.btx попался на майнер
      Автор NotDev
      Доброго времени суток. Помогите пожалуйста. Собственно, скачал с яндекса Notepad++, сайт индексировался выше, чем оригинальный сайт, не заметил этого. Просканировал с помощью ESET и KVRT. Вылечил файлы, отправил с помощью AVZ по данной форме файл Форма отправки карантина, а потом наткнулся на данную тему.
      [РЕШЕНО] MEM:Trojan.Win32.SEPEH.gen Помогите удалить, пожалуйста - Помощь в удалении вирусов - Kaspersky Club | Клуб «Лаборатории Касперского»

      файлы точно такие же, директории тоже и происходит точно такая же ситуация.
      Сам "установочный файл" отправил на any.run, результат можете посмотреть тут
      https://app.any.run/tasks/6cc9f3a2-26a3-4175-a5e9-157595baa225

      1) AutoLogger - логи с него.
      2) Farbar Recovery Scan Tool - так же лог с него.

      Шаг с AVZ был пропущен, так как я уже выполнил скрипт и отправил на форму.
      CollectionLog-2025.07.06-21.02.zip FRST.zip
    • ChanyRi
      Есть ли вирусы которые сразу после выключения включают ПК?
      Автор ChanyRi
      Столкнулся с проблемой, что где то раз в две недели после выключения мой ПК сам включается. Сначало думал дело в блоке питания и заменил его, но через неделю все тоже самое. Проверил саму кнопку включения и настройки BIOS, но это тоже не дало результат. Так же точно знаю, что это не спящий режим или перезагрузка, так как при спящем режиме или перезагрузке кулера не отключаются. Теперь я подозреваю, что это какой то вирус. Есть ли вообще вирус который может включать ПК? Антивирус никаких проблем не видит. Заранее спасибо
    • Morelax
      [РЕШЕНО] Не могу избавиться от вируса CAAServices.exe, который хранится в C:\ProgramData\CAAService
      Автор Morelax
      Добрый день! Заметил в автозагрузках странный процесс CAAServices.exe. Но при удалении он снова восстанавливается. Отключил из автозагрузки, вроде не включается теперь, но всё равно не даёт покоя и хочется избавиться. Подскажите, пожалуйста, как это сделать? Я не особо шарю в этих делах. Смотрел похожие темы, но не особо понял инструкции по устранению вируса. Заранее спасибо. 

      ps/ он автоматически добавляет в исключения в дефендер (последний скрин)



    • Garguha
      [РЕШЕНО] Два dwm.exe процесса один из которых скрытый майнер
      Автор Garguha
      Заметил что в простое происходит сильный нагрев и съедается около 20% процессора. После поисков проблем обнаружил 2 dwm.exe процесса один из которых и берёт на себя нагрузку. После прочтения нескольких статей форума не смог лично разобраться в решении проблемы.
      CollectionLog-2025.07.18-20.40.zip
×
×
  • Создать...