Касперский не видит вирус [ОК]

[zkalinina]

У меня стоит KAV 2009, обновляется ежедневно, но при этом я заметила, что комп ведет себя странно - появляются неизвестные файлы, документы, которыми недавно пользовалась-не открываются(пишет документ поврежден) и т.д. Начало само по себе включаться восстановление системы при запуске ПК. Я подозреваю, что поймала вирус при скачивании одной программы из инета. Каспер при запуске полной проверки ничего опасного не нашел (проверяла несколько раз). Очень прошу вас помочь!

 

И еще http://www.getsysteminfo.com/read.php?file...7bd8cf61c211165

virusinfo_syscheck.zip

virusinfo_syscure.zip

hijackthis.log

GetSystemInfo_ПК_Пользователь_2009_06_03_02_48_40.zip

Изменено 2 июня, 2009 пользователем zkalinina

[Falcon]

Здравствуйте!

 

Пофиксите в HjT:

R3 - URLSearchHook: (no name) -  - (no file)

Выполните в AVZ:

begin
SetAVZPMStatus(true);
RebootWindows(true); 
end.

После перезагрузки сделайте новые логи AVZ.

 

Скачайте Gmer. Запустите программу. После автоматической экспресс-проверки, отметьте галочкой все жесткие диски и нажмите на кнопку "Scan". После окончания проверки сохраните его лог (нажмите на кнопку Save) под каким хотите именем, например Gmer.log и прикрепите лог сюда.

[Alexey_I]

Здравствуйте.

C:\WINDOWS\System32\Drivers\sptd.sys - проверьте на http://www.virustotal.com/ или http://virscan.org, результаты проверки выложите в сообщение или дайте на них ссылку.

Очистите временные файлы, скачайте ATF Cleaner, запустите, поставьте галочку напротив Select All и нажмите Empty Selected.

- если вы используете Firefox, нажмите Firefox - Select All - Empty Selected

- нажмите No, если вы хотите оставить ваши сохраненные пароли

- если вы используете Opera, нажмите Opera - Select All - Empty Selected

- нажмите No, если вы хотите оставить ваши сохраненные пароли

 

Скачайте Malwarebytes' Anti-Malware здесь, здесь, здесь или здесь. Установите, обновите базы, выберите Perform Full Scan (Провести полную проверку), нажмите Scan (Проверить), после сканирования выберите Ок и далее Show Results (Показать результаты), нажмите "Remove Selected" (удалить выделенные, внимание - проверьте то, что удаляете). После удаления откройте лог и скопируйте в сообщение. Логи сканирования можно посмотреть во вкладке Logs (Отчеты), выбрав отчет и нажав кнопку Open (Открыть).

Базы МВАМ можно обновить отдельно - downloading the update MBAM

 

Скачайте ComboFix здесь, здесь или здесь и сохраните на рабочий стол.

 

Установите Recovery Console по инструкции (на англ.яз) - how-to-use-combofix и здесь - скачайте установочный файл для своей ОС (например Windows XP с пакетом обновления 2 (SP2) - для Windows XP SP3 использовать этот же файл) на рабочий стол, закройте все остальные приложения и мышкой перенесите установочный файл на иконку ComboFix и установите Microsoft Recovery Console. Доп. см. Установочные диски для установки с гибкого диска.

После установки консоли восстановления программа предложит запустить сканирование, подтвердите, нажав Yes.

Когда процесс сканирования завершится, скопируйте (Ctrl+A, Ctrl+C) текст из C:\ComboFix.txt и вставьте (Ctrl+V) в следующее сообщение если текст не уместится в одном сообщении, продолжите его в следующем или запакуйте файл C:\ComboFix.txt и прикрепите к сообщению.

 

Внимание! Перед запуском сканирования обязательно закройте все браузеры, временно выключите антивирус, firewall и другое защитное программное обеспечение. Не запускайте других программ во время работы Combofix и не нажимайте кнопки мыши. Combofix может отключить интернет через некоторое время после запуска, не переподключайте интернет пока Combofix не завершит работу. Если интернет не появился после окончания работы Combofix, перезагрузите компьютер.

 

Как использовать ComboFix - how-to-use-combofix (на англ.яз.)

Изменено 3 июня, 2009 пользователем Alexey_I

[zkalinina]

Здравствуйте!

 

Все сделала, вот

virusinfo_syscure.zip

virusinfo_syscheck.zip

отчет.log

[akoK]

zkalinina, приветствую.

 

Подготовьте, пожалуйста, логи, которые рекомендует Alexey_I.

 

Очистите временные файлы через Пуск-Программы-Стандартные-Служебные-Очистка диска или с помощью ATF Cleaner

- скачайте ATF Cleaner, запустите, поставьте галочку напротив Select All и нажмите Empty Selected.

- если вы используете Firefox, нажмите Firefox - Select All - Empty Selected

- нажмите No, если вы хотите оставить ваши сохраненные пароли

- если вы используете Opera, нажмите Opera - Select All - Empty Selected

- нажмите No, если вы хотите оставить ваши сохраненные пароли

Изменено 3 июня, 2009 пользователем akoK

[zkalinina]

Здравствуйте!

Пробовала выполнить C:\WINDOWS\System32\Drivers\sptd.sys - проверьте на http://www.virustotal.com/ или http://virscan.org, -не запускается проверка на этих сайтах имменно этого файла.

 

Файлы временные очистила.

Дальше:

Malwarebytes' Anti-Malware 1.37

Версия базы данных: 2224

Windows 5.1.2600 Service Pack 2

 

05.06.2009 2:12:55

mbam-log-2009-06-05 (02-12-55).txt

 

Тип проверки: Полная (C:\|D:\|)

Проверено объектов: 172648

Прошло времени: 15 minute(s), 33 second(s)

 

Заражено процессов в памяти: 0

Заражено модулей в памяти: 0

Заражено ключей реестра: 2

Заражено значений реестра: 0

Заражено параметров реестра: 0

Заражено папок: 0

Заражено файлов: 1

 

Заражено процессов в памяти:

(Вредоносные программы не обнаружены)

 

Заражено модулей в памяти:

(Вредоносные программы не обнаружены)

 

Заражено ключей реестра:

HKEY_CLASSES_ROOT\urlsearchhook.toolbarurlsearchhook (Trojan.BHO) -> Quarantined and deleted successfully.

HKEY_CLASSES_ROOT\urlsearchhook.toolbarurlsearchhook.1 (Trojan.BHO) -> Quarantined and deleted successfully.

 

Заражено значений реестра:

(Вредоносные программы не обнаружены)

 

Заражено параметров реестра:

(Вредоносные программы не обнаружены)

 

Заражено папок:

(Вредоносные программы не обнаружены)

 

Заражено файлов:

c:\program files\WinRAR\patch.exe (Trojan.Downloader) -> Quarantined and deleted successfully.

 

Что скажите?

ComboFix.rar

[Alexey_I]

C:\WINDOWS\System32\Drivers\sptd.sys
c:\windows\system32\winlogon.exe
c:\documents and settings\Пользователь\Application Data\Microsoft\Installer\{E3E71D07-CD27-46CB-8448-16D4FB29AA13}\ARPPRODUCTICON.exe
c:\documents and settings\Пользователь\Application Data\Sun\Java\jre1.6.0_13\lzma.dll

Запакуйте с паролем infected и отправьте в вирлаб на newvirus@kaspersky.com, пароль укажите в письме, когда придет ответ, сообщите.

winlogon.exe рекомендую заменить на оригинальный с лиц. дистрибутива или установите WindowsXP SP3 и все последующие обновления - http://windowsupdate.microsoft.com

 

Скопируйте текст ниже в блокнот и сохраните как файл с названием CFScript.txt на рабочий стол.

временно выключите антивирус, firewall и другое защитное программное обеспечение

File::
c:\windows\system32\drivers\tdIlns.sys

Driver::
gqucnfgm

 

После сохранения переместите CFScript.txt на пиктограмму ComboFix.exe

 

 

Когда сохранится новый отчет ComboFix, скопируйте (Ctrl+A, Ctrl+C) текст из C:\ComboFix.txt и вставьте (Ctrl+V) в следующее сообщение если текст не уместится в одном сообщении, продолжите его в следующем или запакуйте файл C:\ComboFix.txt и прикрепите к сообщению.

Сделайте новый лог Hijackthis.

Изменено 5 июня, 2009 пользователем Alexey_I

[zkalinina]

Здравствуйте!

Файлы отправила, только C:\WINDOWS\System32\Drivers\sptd.sys не удалось добавить в архив-пишет приложение используется. Что с ним делать?

 

 

 

ComboFix 09-06-04.01 - Пользователь 05.06.2009 14:06.2 - NTFSx86

Microsoft Windows XP Professional 5.1.2600.2.1251.7.1049.18.3582.3164 [GMT 6:00]

Running from: c:\documents and settings\Пользователь\Мои документы\Лечим комп\ComboFix.exe

Command switches used :: c:\documents and settings\Пользователь\Рабочий стол\CFScript.txt.txt

AV: Антивирус Касперского *On-access scanning disabled* (Updated) {2C4D4BC6-0793-4956-A9F9-E252435469C0}

AV: Doctor Web Anti-Virus *On-access scanning disabled* (Updated) {3454C8F1-ECBC-4180-A6F4-04632FBA762B}

FW: Outpost Firewall Pro *disabled* {8A20CA2A-9E02-4A64-923B-0A38208EB7FD}

.

 

((((((((((((((((((((((((( Files Created from 2009-05-05 to 2009-06-05 )))))))))))))))))))))))))))))))

.

 

2009-06-05 07:27 . 2009-06-05 07:27 -------- d-----w- C:\Passware

2009-06-04 21:54 . 2009-06-04 22:01 -------- d--h--w- c:\windows\$hf_mig$

2009-06-03 18:25 . 2009-06-03 18:25 -------- d-----w- c:\documents and settings\Пользователь\Application Data\Malwarebytes

2009-06-03 18:25 . 2009-05-26 07:20 40160 ----a-w- c:\windows\system32\drivers\mbamswissarmy.sys

2009-06-03 18:25 . 2009-06-03 18:25 -------- d-----w- c:\documents and settings\All Users\Application Data\Malwarebytes

2009-06-03 18:24 . 2009-06-03 18:25 -------- d-----w- c:\program files\Malwarebytes' Anti-Malware

2009-06-03 18:24 . 2009-05-26 07:19 19096 ----a-w- c:\windows\system32\drivers\mbam.sys

2009-06-03 07:21 . 2009-06-03 07:21 11264 ----a-w- c:\windows\system32\drivers\uzg4njgy.sys

2009-06-02 21:14 . 2009-04-06 05:37 704384 ----a-w- c:\windows\system32\drivers\SandBox.sys

2009-06-02 21:13 . 2009-02-10 10:15 257432 ----a-w- c:\windows\system32\drivers\afwcore.sys

2009-06-02 21:12 . 2009-02-18 11:30 31128 ----a-w- c:\windows\system32\drivers\afw.sys

2009-06-02 21:12 . 2009-06-04 22:05 -------- d-----w- c:\windows\system32\Filt

2009-06-02 21:12 . 2009-06-02 21:12 -------- d-----w- c:\program files\Agnitum

2009-06-02 21:12 . 2009-06-02 21:12 -------- d-----w- c:\documents and settings\All Users\Application Data\Agnitum

2009-06-02 18:53 . 2009-06-02 18:53 -------- d-----w- C:\1

2009-05-31 23:20 . 2009-05-31 23:20 -------- d-----w- c:\program files\Java

2009-05-31 23:11 . 2009-05-31 23:20 410984 ----a-w- c:\windows\system32\deploytk.dll

2009-05-31 23:10 . 2009-05-31 23:20 152576 ----a-w- c:\documents and settings\Пользователь\Application Data\Sun\Java\jre1.6.0_13\lzma.dll

2009-05-31 17:42 . 2009-05-31 17:42 -------- d-----w- c:\program files\WebMoney Agent

2009-05-31 17:41 . 2009-05-31 17:42 -------- d-----w- c:\program files\webmoney

2009-05-25 21:10 . 2009-05-25 21:10 10134 ----a-r- c:\documents and settings\Пользователь\Application Data\Microsoft\Installer\{E3E71D07-CD27-46CB-8448-16D4FB29AA13}\ARPPRODUCTICON.exe

2009-05-25 21:10 . 2009-05-25 21:10 -------- d-----w- c:\program files\Microsoft WSE

2009-05-25 21:02 . 2009-05-25 21:02 -------- d-----w- c:\program files\Electronic Arts

2009-05-25 21:02 . 2009-05-25 21:02 -------- d--h--w- c:\program files\InstallShield Installation Information

2009-05-24 21:02 . 2009-05-24 21:02 -------- d-----w- c:\program files\EA GAMES

2009-05-24 18:32 . 2009-05-24 18:32 -------- d-----w- c:\program files\DAEMON Tools Toolbar

2009-05-24 18:31 . 2009-05-24 18:32 -------- d-----w- c:\program files\DAEMON Tools Lite

2009-05-24 18:12 . 2009-05-24 18:12 -------- d-----w- c:\program files\uTorrent

2009-05-24 18:12 . 2009-06-01 22:44 -------- d-----w- c:\documents and settings\Пользователь\Application Data\uTorrent

2009-05-23 17:28 . 2009-05-23 17:29 -------- d-----w- c:\program files\GTA_Ultimate

2009-05-22 19:14 . 2009-05-22 19:14 44808 ----a-w- c:\documents and settings\All Users\Application Data\Kaspersky Lab\AVP8\Data\Updater\Temporary Files\temporaryFolder\AutoPatches\kav8exec\8.0.0.454\fssync.dll

2009-05-22 19:14 . 2009-05-22 19:14 33808 ----a-w- c:\documents and settings\All Users\Application Data\Kaspersky Lab\AVP8\Data\Updater\Temporary Files\temporaryFolder\AutoPatches\kav8exec\8.0.0.454\klbg.sys

2009-05-22 19:14 . 2009-05-22 19:14 213520 ----a-w- c:\documents and settings\All Users\Application Data\Kaspersky Lab\AVP8\Data\Updater\Temporary Files\temporaryFolder\AutoPatches\kav8exec\8.0.0.454\XP\klif.sys

2009-05-22 19:14 . 2009-05-22 19:14 206088 ----a-w- c:\documents and settings\All Users\Application Data\Kaspersky Lab\AVP8\Data\Updater\Temporary Files\temporaryFolder\AutoPatches\kav8exec\8.0.0.454\avp.exe

2009-05-22 18:45 . 2009-05-22 19:14 94643 ----a-w- c:\windows\system32\drivers\klick.dat

2009-05-22 18:45 . 2009-05-22 19:14 105395 ----a-w- c:\windows\system32\drivers\klin.dat

2009-05-22 18:44 . 2009-06-04 23:03 360480 --sha-w- c:\windows\system32\drivers\fidbox2.dat

2009-05-22 18:44 . 2009-06-04 23:03 3153952 --sha-w- c:\windows\system32\drivers\fidbox.dat

2009-05-22 18:44 . 2009-06-05 06:51 -------- d-----w- c:\documents and settings\All Users\Application Data\Kaspersky Lab

2009-05-14 17:31 . 2009-05-14 17:31 -------- d-----w- c:\documents and settings\All Users\Application Data\nView_Profiles

2009-05-09 11:12 . 2009-05-09 11:22 -------- d-----w- c:\program files\Crysis

2009-05-07 17:57 . 2009-05-07 17:58 -------- d-----w- c:\program files\Grand Theft Auto IV

2009-05-07 17:08 . 2009-05-07 17:08 -------- d-----w- c:\program files\Rockstar Games

2009-05-07 09:17 . 2009-05-07 09:17 -------- d-----w- c:\program files\Common Files\DirectX

2009-05-06 18:57 . 2009-05-07 17:43 -------- d-----w- C:\totalcmd

2009-05-06 18:57 . 2008-08-08 01:04 545 ----a-w- c:\windows\UC.PIF

2009-05-06 18:57 . 2008-08-08 01:04 545 ----a-w- c:\windows\RAR.PIF

2009-05-06 18:57 . 2008-08-08 01:04 545 ----a-w- c:\windows\PKZIP.PIF

2009-05-06 18:57 . 2008-08-08 01:04 545 ----a-w- c:\windows\PKUNZIP.PIF

2009-05-06 18:57 . 2008-08-08 01:04 545 ----a-w- c:\windows\NOCLOSE.PIF

2009-05-06 18:57 . 2008-08-08 01:04 545 ----a-w- c:\windows\LHA.PIF

2009-05-06 18:57 . 2008-08-08 01:04 545 ----a-w- c:\windows\ARJ.PIF

 

.

(((((((((((((((((((((((((((((((((((((((( Find3M Report ))))))))))))))))))))))))))))))))))))))))))))))))))))

.

2009-06-04 23:03 . 2009-05-22 18:44 3360 --sha-w- c:\windows\system32\drivers\fidbox2.idx

2009-06-04 23:03 . 2009-05-22 18:44 26768 --sha-w- c:\windows\system32\drivers\fidbox.idx

2009-05-31 18:18 . 2008-12-24 06:02 -------- d---a-w- c:\documents and settings\All Users\Application Data\TEMP

2009-05-31 18:14 . 2008-03-03 07:03 -------- d-----w- c:\documents and settings\Пользователь\Application Data\WebMoney

2009-05-31 17:42 . 2008-03-03 06:45 -------- d-----w- c:\program files\WebMoney Advisor

2009-05-25 21:09 . 2001-10-20 11:00 70134 ----a-w- c:\windows\system32\perfc019.dat

2009-05-25 21:09 . 2001-10-20 11:00 432488 ----a-w- c:\windows\system32\perfh019.dat

2009-05-24 18:33 . 2008-12-19 04:40 -------- d-----w- c:\documents and settings\Пользователь\Application Data\DAEMON Tools Lite

2009-05-24 18:29 . 2008-12-19 04:40 721904 ----a-w- c:\windows\system32\drivers\sptd.sys

2009-05-22 19:14 . 2008-01-29 12:29 33808 ----a-w- c:\windows\system32\drivers\klbg.sys

2009-05-22 17:34 . 2008-12-22 02:28 -------- d-----w- c:\program files\Kaspersky Lab

2009-05-07 09:01 . 2008-12-22 05:32 -------- d-----w- c:\program files\Игры

.

 

------- Sigcheck -------

 

[-] 2004-09-17 11:16 503808 A975A70FCEFE2A224412214320C89DED c:\windows\system32\winlogon.exe

.

((((((((((((((((((((((((((((( SnapShot@2009-06-04_20.51.38 )))))))))))))))))))))))))))))))))))))))))

.

+ 2009-06-05 06:51 . 2009-06-05 06:51 16384 c:\windows\Temp\Perflib_Perfdata_f4.dat

+ 2008-10-16 08:09 . 2008-10-16 08:09 43544 c:\windows\system32\wups2.dll

+ 2008-12-19 03:35 . 2008-10-16 08:08 34328 c:\windows\system32\wups.dll

+ 2008-12-19 03:35 . 2008-10-16 08:09 51224 c:\windows\system32\wuauclt.exe

- 2008-12-19 03:52 . 2004-11-18 05:42 22752 c:\windows\system32\spupdsvc.exe

+ 2008-12-19 03:52 . 2005-02-25 03:36 22752 c:\windows\system32\spupdsvc.exe

+ 2009-01-21 13:40 . 2005-02-25 03:36 14560 c:\windows\system32\spmsg.dll

+ 2009-06-04 21:45 . 2008-10-16 08:08 34328 c:\windows\system32\SoftwareDistribution\Setup\ServiceStartup\wups.dll\7.2.6001.788\wups.dll

+ 2008-12-19 03:35 . 2008-10-16 08:08 34328 c:\windows\system32\dllcache\wups.dll

+ 2008-12-19 03:35 . 2008-10-16 08:09 51224 c:\windows\system32\dllcache\wuauclt.exe

+ 2004-08-17 11:04 . 2008-10-16 08:09 92696 c:\windows\system32\dllcache\cdm.dll

+ 2004-08-17 11:04 . 2008-10-16 08:09 92696 c:\windows\system32\cdm.dll

+ 2008-12-19 03:35 . 2008-10-16 08:13 202776 c:\windows\system32\wuweb.dll

+ 2008-12-19 03:35 . 2008-10-16 08:12 323608 c:\windows\system32\wucltui.dll

+ 2008-12-19 03:35 . 2008-10-16 08:12 561688 c:\windows\system32\wuapi.dll

+ 2008-12-19 03:35 . 2008-10-16 08:13 202776 c:\windows\system32\dllcache\wuweb.dll

+ 2008-12-19 03:35 . 2008-10-16 08:12 323608 c:\windows\system32\dllcache\wucltui.dll

+ 2008-12-19 03:35 . 2008-10-16 08:12 561688 c:\windows\system32\dllcache\wuapi.dll

+ 2008-12-19 03:35 . 2008-10-16 08:13 1809944 c:\windows\system32\wuaueng.dll

+ 2008-12-19 03:35 . 2008-10-16 08:13 1809944 c:\windows\system32\dllcache\wuaueng.dll

.

((((((((((((((((((((((((((((((((((((( Reg Loading Points ))))))))))))))))))))))))))))))))))))))))))))))))))

.

.

*Note* empty entries & legit default entries are not shown

REGEDIT4

 

[HKEY_LOCAL_MACHINE\~\Browser Helper Objects\{B4806C1A-FE8A-4008-9DA3-8CEDB6E82C10}]

2008-09-05 12:42 2409472 ----a-w- c:\program files\WebMoney Advisor\wmadvisor.dll

 

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"CTFMON.EXE"="c:\windows\system32\ctfmon.exe" [2004-08-17 15360]

"DAEMON Tools Lite"="c:\program files\DAEMON Tools Lite\daemon.exe" [2009-04-23 691656]

 

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"JMB36X IDE Setup"="c:\windows\RaidTool\xInsIDE.exe" [2007-03-20 36864]

"36X Raid Configurer"="c:\windows\system32\xRaidSetup.exe" [2007-08-29 1966080]

"NvCplDaemon"="c:\windows\system32\NvCpl.dll" [2008-06-25 13529088]

"NvMediaCenter"="c:\windows\system32\NvMcTray.dll" [2008-06-25 86016]

"WireLessMouse"="c:\program files\Office Mouse Driver\StartAutorun.exe" [2005-11-30 94208]

"WheelMouse"="c:\program files\A4Tech\Mouse\Amoumain.exe" [2007-02-10 241664]

"PCSuiteTrayApplication"="c:\program files\Nokia\Nokia PC Suite 6\LaunchApplication.exe" [2007-06-18 271360]

"TkBellExe"="c:\program files\Common Files\Real\Update_OB\realsched.exe" [2009-02-01 185896]

"Adobe Reader Speed Launcher"="c:\program files\Adobe\Reader 9.0\Reader\Reader_sl.exe" [2009-02-27 35696]

"AVP"="c:\program files\Kaspersky Lab\Kaspersky Anti-Virus 2009\avp.exe" [2009-05-22 206088]

"wmagent.exe"="c:\program files\WebMoney Agent\wmagent.exe" [2008-10-01 209376]

"SunJavaUpdateSched"="c:\program files\Java\jre6\bin\jusched.exe" [2009-05-31 148888]

"OutpostMonitor"="c:\progra~1\Agnitum\OUTPOS~1\op_mon.exe" [2009-04-15 1229640]

"OutpostFeedBack"="c:\program files\Agnitum\Outpost Firewall Pro\feedback.exe" [2009-04-14 433480]

"RTHDCPL"="RTHDCPL.EXE" - c:\windows\RTHDCPL.exe [2008-02-13 16857600]

"nwiz"="nwiz.exe" - c:\windows\system32\nwiz.exe [2008-06-25 1630208]

 

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]

"CTFMON.EXE"="c:\windows\system32\CTFMON.EXE" [2004-08-17 15360]

"Nokia.PCSync"="c:\program files\Nokia\Nokia PC Suite 6\PcSync2.exe" [2007-06-19 1241088]

 

[HKEY_LOCAL_MACHINE\software\microsoft\security center\Monitoring\KasperskyAntiVirus]

"DisableMonitoring"=dword:00000001

 

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile]

"EnableFirewall"= 0 (0x0)

 

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]

"%windir%\\system32\\sessmgr.exe"=

"c:\\Program Files\\uTorrent\\uTorrent.exe"=

 

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\GloballyOpenPorts\List]

"51000:TCP"= 51000:TCP:utorrent port1

"51000:UDP"= 51000:UDP:utorrent port2

 

R0 klbg;Kaspersky Lab Boot Guard Driver;c:\windows\system32\drivers\klbg.sys [29.01.2008 18:29 33808]

R0 pe3ajy2b;Helldorado Environment Driver (pe3ajy2b);c:\windows\system32\drivers\pe3ajy2b.sys [07.08.2007 18:34 65144]

R0 pe3alcnb;KDS-PvO Environment Driver (pe3alcnb);c:\windows\system32\drivers\pe3alcnb.sys [20.08.2007 19:08 64624]

R0 pf2ajy2b;Helldorado File System Driver (pf2ajy2b);c:\windows\system32\drivers\pf2ajy2b.sys [07.08.2007 18:34 83576]

R0 ps6ajy2b;Helldorado Synchronization Driver (ps6ajy2b);c:\windows\system32\drivers\ps6ajy2b.sys [07.08.2007 18:33 68736]

R0 ps7alcnb;KDS-PvO Synchronization Driver (ps7alcnb);c:\windows\system32\drivers\ps7alcnb.sys [20.08.2007 19:08 68216]

R1 SandBox;SandBox;c:\windows\system32\drivers\SandBox.sys [03.06.2009 3:14 704384]

R1 uzg4njgy;AVZ-RK Kernel Driver;c:\windows\system32\drivers\uzg4njgy.sys [03.06.2009 13:21 11264]

R3 afw;Agnitum firewall driver;c:\windows\system32\drivers\afw.sys [03.06.2009 3:12 31128]

R3 afwcore;afwcore;c:\windows\system32\drivers\afwcore.sys [03.06.2009 3:13 257432]

R3 klim5;Kaspersky Anti-Virus NDIS Filter;c:\windows\system32\drivers\klim5.sys [30.04.2008 18:06 24592]

S0 gqucnfgm;gqucnfgm;c:\windows\system32\drivers\tdIlns.sys --> c:\windows\system32\drivers\tdIlns.sys [?]

S2 acssrv;Agnitum Client Security Service;c:\progra~1\Agnitum\OUTPOS~1\acs.exe [03.06.2009 3:12 1267528]

S2 pr2ajy2b;Helldorado Drivers Auto Removal (pr2ajy2b);c:\windows\system32\pr2ajy2b.exe svc --> c:\windows\system32\pr2ajy2b.exe svc [?]

S2 pr2alcnb;KDS-PvO Drivers Auto Removal (pr2alcnb);c:\windows\system32\pr2alcnb.exe svc --> c:\windows\system32\pr2alcnb.exe svc [?]

S3 ASWFilt;ASWFilt;c:\windows\system32\Filt\ASWFilt.dll [03.06.2009 3:14 33888]

S3 GEST Service;GEST Service for program management.;c:\program files\GIGABYTE\GEST\GSvr.exe [19.12.2008 9:50 47624]

.

.

------- Supplementary Scan -------

.

uStart Page = hxxp://www.daemon-search.com/startpage

uInternet Connection Wizard,ShellNext = iexplore

uSearchURL,(Default) = hxxp://www.google.com/keyword/%s

IE: &Google Search - c:\program files\Google\GoogleToolbar1.dll/cmsearch.html

IE: &Экспорт в Microsoft Excel - c:\progra~1\MICROS~2\OFFICE11\EXCEL.EXE/3000

IE: Backward Links - c:\program files\Google\GoogleToolbar1.dll/cmbacklinks.html

IE: Cached Snapshot of Page - c:\program files\Google\GoogleToolbar1.dll/cmcache.html

IE: Similar Pages - c:\program files\Google\GoogleToolbar1.dll/cmsimilar.html

IE: Translate into English - c:\program files\Google\GoogleToolbar1.dll/cmtrans.html

IE: {{3AFFD7F7-FD3D-4C9D-8F83-03296A1A8840} - {3AFFD7F7-FD3D-4C9D-8F83-03296A1A8840} - c:\program files\WebMoney Advisor\wmadvisor.dll

TCP: {820D98C1-8B9E-4D88-857C-81B539F96DDE} = 10.10.0.3

DPF: {463ED66E-431B-11D2-ADB0-0080C83DA4EB} - hxxps://w3s.webmoney.ru/WMAcceptor.dll

.

 

**************************************************************************

 

catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net

Rootkit scan 2009-06-05 14:07

Windows 5.1.2600 Service Pack 2 NTFS

 

scanning hidden processes ...

 

scanning hidden autostart entries ...

 

scanning hidden files ...

 

scan completed successfully

hidden files: 0

 

**************************************************************************

.

--------------------- DLLs Loaded Under Running Processes ---------------------

 

- - - - - - - > 'explorer.exe'(3384)

c:\windows\system32\Audiodev.dll

c:\windows\system32\WMVCore.DLL

c:\windows\system32\WMASF.DLL

c:\windows\system32\msi.dll

.

Completion time: 2009-06-05 14:08

ComboFix-quarantined-files.txt 2009-06-05 08:08

ComboFix2.txt 2009-06-04 20:52

 

Pre-Run: 13 855 346 688 байт свободно

Post-Run: 13 844 238 336 байт свободно

 

201 --- E O F --- 2009-06-04 21:54

 

И еще ответ на мыло

 

ARPPRODUCTICON.exe_, lzma.dll, winlogon.exe_

 

No malicious code were found in these files.

 

Please quote all when answering.

The answer is relevant to the latest bases from update sources.

hijackthis.log

Изменено 5 июня, 2009 пользователем zkalinina

[Alexey_I]

Вы скрипт сохранили как CFScript.txt.txt, в рекомендации CFScript.txt

Ок, пойдем другим путем.

Запакуйте пожалуйста папку C:\Qoobox\Quarantine\ с паролем virus и пришлите мне на user15802[at]mail.ru

Деинсталлируйте ComboFix: нажмите пуск – выполнить - Combofix /u

Скачайте OTCleanIt, запустите, нажмите CleanUp!

 

Скачайте OTMoveIt3 by OldTimer и сохраните на рабочий стол.

Запустите OTMoveIt3 (в ОС Windows Vista необходимо запускать через правую кн. мыши от имени администратора)

временно выключите антивирус, firewall и другое защитное программное обеспечение. Выделите и скопируйте текст ниже (Ctrl+C)

:Processes
explorer.exe

:Services
gqucnfgm

:Commands
[purity]
[emptytemp]
[start explorer]
[Reboot]

В OTMoveIt3 под панелью "Paste Instructions for Items to be Moved" (под желтой панелью) вставьте скопированный текст и нажмите кнопку "MoveIt!". Выделите (Ctfl+A) и скопируйте (Ctrl+C) текст из окна под панелью "Results" (правая зеленая панель) в следующее сообщение.

Прим: Если файлы и папки не могут быть перемещены немедленно и появиться запись <deleted on reboot>, потребуется перезагрузка. После перезагрузки откройте папку "C:\_OTMoveIt\MovedFiles", найдите последний .log файл (лог в формате mmddyyyy_hhmmss.log), откройте и скопируйте текст из него в следующее сообщение.

 

Скачайте IceSword

Запустите, выберите в меню File, появится аналог проводника, найдите в нем указанные файл

C:\WINDOWS\System32\Drivers\sptd.sys

нажмите правой кнопкой мыши и скопируйте в какую-нибудь папку, выбрав Copy to...,

Скопированные файл запакуйте и отправьте в вирлаб (можете проверить предварительно на VT)

 

Скачайте OTListIt2, сохраните на рабочий стол и запустите, выберите: Scan All Users, Minimal Output, File Age: 30 Days, поставьте галочку LOP Check, Purity Check и в Extra Registry - Use Safe list.

Под строчкой Custom Scan вставьте

netsvcs

drivers32

Нажмите Run Scan, когда закончится процесс сканирования, откроются два файла OTListIt.Txt и Extras.txt , скопируйте (Ctrl+A, Ctrl+C) текст из этих файлов и вставьте (Ctrl+V) в следующее сообщение, если текст не уместится в одном сообщении, продолжите его в следующем или запакуйте полученные логи C:\OTListIt.Txt и C:\Extras.txt и прикрепите к сообщению.

Изменено 5 июня, 2009 пользователем Alexey_I

[zkalinina]

Здравствуйте!

Файл отправила, все сделала

06052009_151901.log

Extras.rar

OTListIt.rar

[Alexey_I]

tdIlns.sys - Trojan-PWS.Bancos.PWN по PCTools/Sunbelt и Rootkit/Agent.LNB по Panda, ушел в вирлаб ЛК.

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile

"EnableFirewall" = 0

Рекомендую включить брандмауэр windows

 

Запустите OTListIt2.exe

Под панелью Custom Scans/Fixes встваьте скрипт

 

:OTLI
PRC - C:\WINDOWS\explorer.exe (Microsoft Corporation)
PRC - C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 2009\avp.exe (Kaspersky Lab)
NetSvcs: fzyufadb - 

:Services
fzyufadb

:Reg
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List]
"9463:TCP"=-

:Files

:Commands
[purity]
[emptytemp]
[start explorer]
[Reboot]

 

Нажмите Run Fix

 

Компьютер перезагрузится, после перезагрузги в блокноте откроется новый лог OTListIt, выложите его в следующее сообщение.

 

Скачайте gmer со случайным именем файла(рекомендуется) здесь, либо gmer.zip здесь или здесь, закройте все остальные программы и отключите антивирусное ПО (включите брандмауэр windows или отключите компьютер от локальной сети), запустите программу (в ОС Windows Vista необходимо запускать через правую кн. мыши от имени администратора). После автоматической экспресс-проверки, отметьте галочкой системный диск и нажмите на кнопку "Scan". После окончания проверки сохраните его лог (нажмите на кнопку Save) и вложите в сообщение.

Внимание! Если при запуске gmer выйдет окно предупреждающее об обнаружении ROOTKIT activity, нажмите No и в правой панели уберите значки напротив следующих пунктов

• Sections

• IAT/EAT

• Show all

Изменено 5 июня, 2009 пользователем Alexey_I

[zkalinina]

ААА!Во время выполнения задания в OTListIt2.exe комп глюконул((( Теперь я не могу его нормально загрузить, он ужастно тормозит, не выполняет действия, ничего не открывает,зависает пуск и тд. Я только могу лазить по папкам. Даже не могу выполнить восстановление системы((( До этого вставляла флешку, на которой Каспер обнаружил Kido. (он его вроде удалил). Что посоветуете?

[akoK]

лог ComboFix сможете подготовить?

[zkalinina]

Нет((( Комбо я уже удалила по совету Alexei I . Да он бы и не запустился... Я сейчас с другого комп-ра пишу.

[akoK]

хм.

 

Сможете "накатить" систему в режиме востановления?

 

Скачайте DDS или с зеркала и сохраните на рабочий стол, отключите антивирус и запустите dds.scr, когда сканирование закончится, запакуйте файлы из файлов DDS.txt и Attach.txt и вложите в сообщение

 

Скачайте RSIT или отсюда. Запустите, выберите проверку файлов за последние три месяца и нажмите продолжить. Должны открыться два отчета log.txt и info.txt. Прикрепите их к следующему сообщению. Если вы их закрыли, то логи по умолчанию сохраняются в одноименной папке (RSIT) в корне системного диска.

 

Подготовьте, что получится.