Вирусы свалили намертво

[грач]

Доброго времени суток. Столкнулся с такой проблемой. решил на второй компьютер поставить НОД 32. стоял он там неделю, позже стал ругаться на вирус. и каждую секунду удалял его, и снова оповещение, и так по замкнотому кругу, я решил установить Касперского, установка проходит хорошо, но позже он просто не запускается... перезагрузка и снова авп в процессах не видно.. пробовал Kaspersky Antivirus 2009 и Kaspersky Antivirus 7. тоже самое... портейбл версия тоже не запускается. пишет мол Антивирус обнаружен на вашем компьютере... и незнаю что делать...

 

онлайн сканнер показал что заражены :

 

C:\WINDOWS\Temp\9460183.tmp

C:\WINDOWS\Temp\725282.tmp

C:\WINDOWS\Temp\6471605.tmp

C:\WINDOWS\Temp\5836612.tmp

C:\WINDOWS\Temp\198775.tmp

C:\WINDOWS\Temp\12099658.tmp

C:\WINDOWS\system32\drivers\gxvxcserv.sys

 

 

 

вроде Trojan Win32 agent Tdss( по данным онлайн сканнера)

hijackthis.log

virusinfo_syscure.zip

virusinfo_syscheck.zip

hijackthis.log

[dan-1]

выполните эти правила и вам помогут

[thyrex]

Выполните скрипт в AVZ

 begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\autorun.inf','');
DeleteFile('C:\autorun.inf');
DeleteFileMask('C:\WINDOWS\Temp\', '*. *', true);
RegKeyIntParamWrite('HKLM','SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer','NoDriveTypeAutoRun', 221);
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.

 

Выполнить скрипт в AVZ.

begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.

quarantine.zip из папки AVZ отправьте на newvirus@kaspersky.com. В письме укажите пароль на архив virus. Полученный ответ сообщите здесь.

 

Ваши DNS и Ваш провайдер скорее эти 85.113.62.227, 85.113.63.252, ER-Telecom Company Samara

 

А эти DNS (85.255.112.169,85.255.112.111) и этот провайдер

org-name: UkrTeleGroup Ltd.

address: UkrTeleGroup Ltd.

Mechnikova 58/5

65029 Odessa

Ukraine

не Ваши

 

Пофиксить в HiJack

O17 - HKLM\System\CCS\Services\Tcpip\..\{497C1407-5FD7-407D-BB13-34158FA585EC}: NameServer = 85.255.112.169,85.255.112.111
O17 - HKLM\System\CS6\Services\Tcpip\Parameters: NameServer = 85.255.112.169,85.255.112.111
O17 - HKLM\System\CS7\Services\Tcpip\Parameters: NameServer = 85.255.112.169,85.255.112.111
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: NameServer = 85.255.112.169,85.255.112.111

 

Скачайте Gmer, запустите программу. После автоматической экспресс-проверки, отметьте галочкой системный диск и нажмите на кнопку "Scan". После окончания проверки сохраните его лог (нажмите на кнопку Save) и вложите в сообщение. Если не будет запускаться, попробуйте переименовать gmer.exe, например, в game.exe

[грач]

всё сделал как написали, GMER при запуске сразу стал ругаться на какую то модификацию...

GMER_log.log

[Alex56]

Сохраните текст ниже как cleanup.bat в ту же папку, где находится gmer.exe

gmer.exe -del service gaopdxserv.sys
gmer.exe -del file "C:\WINDOWS\system32\drivers\gaopdxqsenlgibhcjxkyebxnpxevttjrufynma.sys"
gmer.exe -del file "C:\WINDOWS\system32\drivers\gaopdxpxufjpiqloeptaswucfmkvnoqxrxjkcd.sys"
gmer.exe -del file "C:\WINDOWS\system32\drivers\gaopdxoyeoypuhaldevvkbocjxteiuotdxbjdk.sys"
gmer.exe -del file "C:\WINDOWS\system32\drivers\gaopdxlxrfamuyvtrnopyktudjklvvwwifomde.sys"
gmer.exe -del file "C:\WINDOWS\system32\gaopdxfgnskbakawkxjqxokorowoewuijiklvd.dll"
gmer.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\gaopdxserv.sys"
gmer -reboot

И запустите cleanup.bat

 

Повторить лог gmer

[грач]

выполнил, приложил... вот что пишет ГМЕР при запуске и первоначальном сканировании

 

 

 

 

лог приложил

GMER_log2.log

Изменено 3 мая, 2009 пользователем грач

[thyrex]

Сохраните текст ниже как cleanup.bat в ту же папку, где находится gmer.exe

gmer.exe -del service gaopdxserv.sys
gmer.exe -del file "c:\windows\system32\drivers\gaopdxbpplljtufayjvdjnlffnyxmlamexgwrr.sys"
gmer.exe -del file "c:\windows\system32\drivers\gaopdxqsenlgibhcjxkyebxnpxevttjrufynma.sys"
gmer.exe -del file "c:\windows\system32\gaopdxjjretypquwycgmphmikpbnirvpqmdsil.dll"
gmer.exe -del file "c:\windows\system32\gaopdxfgnskbakawkxjqxokorowoewuijiklvd.dll"
gmer.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\gaopdxserv.sys"
gmer.exe -del reg "HKLM\SYSTEM\ControlSet007\Services\gaopdxserv.sys"
gmer -reboot

И запустите cleanup.bat

 

Сделать новый лог gmer

Изменено 3 мая, 2009 пользователем thyrex

[ТроПа]

Кроме предложенного в АВЗ включите AVZPM и повторите логи АВЗ.

[Alex56]

Используем другую программку

 

Скачайте IceSword

В нижнем левом углу нажмите Files. Появится аналог проводника

Найдите файлы

C:\WINDOWS\system32\drivers\gaopdxqsenlgibhcjxkyebxnpxevttjrufynma.sys
C:\WINDOWS\system32\drivers\gaopdxbpplljtufayjvdjnlffnyxmlamexgwrr.sys
C:\WINDOWS\system32\gaopdxfgnskbakawkxjqxokorowoewuijiklvd.dll
C:\WINDOWS\system32\gaopdxjjretypquwycgmphmikpbnirvpqmdsil.dll

Правой кнопкой мыши - force delete каждому

 

Выберите Registry. Найти и удалить ветви реестра

 

HKLM\SYSTEM\CurrentControlSet\Services\gaopdxserv.sys
HKLM\SYSTEM\ControlSet007\Services\gaopdxserv.sys

 

Повторить лог gmer

Изменено 3 мая, 2009 пользователем Alex56

[грач]

файлы айссворд не увидел, ветки реестра удалил . при запуске ГМЕР даже не ругался )

GMER_log_3.log

[Alex56]

Что с проблемами?

В логе чисто

Изменено 4 мая, 2009 пользователем Alex56

[грач]

единственный недостаток это, когда запускаешь интернет, проходит подключение, и всё начинает виснуть, то есть не выделятся ярлыки, панель не реагирует, после секуд 50 появлятся всё-таки табличка что интернет подключен и всё начинает работать нормально.

 

Здравствуйте,

 

В присланном Вами файле обнаружено новое вредоносное программное обеспечение.

Его детектирование будет включено в очередное обновление антивирусных баз.

Благодарим за оказанную помощь.

Trojan.Win32.Tdss.vgy

 

С уважением,

Вирусный аналитик

123060, Россия, Москва, 1-й Волоколамский проезд дом 10, стр 1

Тел./факс: + 7 (495) 797 8700

Изменено 4 мая, 2009 пользователем грач

[Falcon]

Уберите имя аналитика, пожалуйста

[грач]

Всем огромное спасибо за помощь!

[Alex56]

Пожалуйста, удачи Вам!