zkalinina 0 Опубликовано 2 июня, 2009 Share Опубликовано 2 июня, 2009 (изменено) У меня стоит KAV 2009, обновляется ежедневно, но при этом я заметила, что комп ведет себя странно - появляются неизвестные файлы, документы, которыми недавно пользовалась-не открываются(пишет документ поврежден) и т.д. Начало само по себе включаться восстановление системы при запуске ПК. Я подозреваю, что поймала вирус при скачивании одной программы из инета. Каспер при запуске полной проверки ничего опасного не нашел (проверяла несколько раз). Очень прошу вас помочь! И еще http://www.getsysteminfo.com/read.php?file...7bd8cf61c211165 virusinfo_syscheck.zip virusinfo_syscure.zip hijackthis.log GetSystemInfo_ПК_Пользователь_2009_06_03_02_48_40.zip Изменено 2 июня, 2009 пользователем zkalinina Ссылка на сообщение Поделиться на другие сайты
Falcon 169 Опубликовано 3 июня, 2009 Share Опубликовано 3 июня, 2009 Здравствуйте! Пофиксите в HjT: R3 - URLSearchHook: (no name) - - (no file) Выполните в AVZ: begin SetAVZPMStatus(true); RebootWindows(true); end. После перезагрузки сделайте новые логи AVZ. Скачайте Gmer. Запустите программу. После автоматической экспресс-проверки, отметьте галочкой все жесткие диски и нажмите на кнопку "Scan". После окончания проверки сохраните его лог (нажмите на кнопку Save) под каким хотите именем, например Gmer.log и прикрепите лог сюда. Ссылка на сообщение Поделиться на другие сайты
Alexey_I 5 Опубликовано 3 июня, 2009 Share Опубликовано 3 июня, 2009 (изменено) Здравствуйте. C:\WINDOWS\System32\Drivers\sptd.sys - проверьте на http://www.virustotal.com/ или http://virscan.org, результаты проверки выложите в сообщение или дайте на них ссылку. Очистите временные файлы, скачайте ATF Cleaner, запустите, поставьте галочку напротив Select All и нажмите Empty Selected. - если вы используете Firefox, нажмите Firefox - Select All - Empty Selected - нажмите No, если вы хотите оставить ваши сохраненные пароли - если вы используете Opera, нажмите Opera - Select All - Empty Selected - нажмите No, если вы хотите оставить ваши сохраненные пароли Скачайте Malwarebytes' Anti-Malware здесь, здесь, здесь или здесь. Установите, обновите базы, выберите Perform Full Scan (Провести полную проверку), нажмите Scan (Проверить), после сканирования выберите Ок и далее Show Results (Показать результаты), нажмите "Remove Selected" (удалить выделенные, внимание - проверьте то, что удаляете). После удаления откройте лог и скопируйте в сообщение. Логи сканирования можно посмотреть во вкладке Logs (Отчеты), выбрав отчет и нажав кнопку Open (Открыть). Базы МВАМ можно обновить отдельно - downloading the update MBAM Скачайте ComboFix здесь, здесь или здесь и сохраните на рабочий стол. Установите Recovery Console по инструкции (на англ.яз) - how-to-use-combofix и здесь - скачайте установочный файл для своей ОС (например Windows XP с пакетом обновления 2 (SP2) - для Windows XP SP3 использовать этот же файл) на рабочий стол, закройте все остальные приложения и мышкой перенесите установочный файл на иконку ComboFix и установите Microsoft Recovery Console. Доп. см. Установочные диски для установки с гибкого диска. После установки консоли восстановления программа предложит запустить сканирование, подтвердите, нажав Yes. Когда процесс сканирования завершится, скопируйте (Ctrl+A, Ctrl+C) текст из C:\ComboFix.txt и вставьте (Ctrl+V) в следующее сообщение если текст не уместится в одном сообщении, продолжите его в следующем или запакуйте файл C:\ComboFix.txt и прикрепите к сообщению. Внимание! Перед запуском сканирования обязательно закройте все браузеры, временно выключите антивирус, firewall и другое защитное программное обеспечение. Не запускайте других программ во время работы Combofix и не нажимайте кнопки мыши. Combofix может отключить интернет через некоторое время после запуска, не переподключайте интернет пока Combofix не завершит работу. Если интернет не появился после окончания работы Combofix, перезагрузите компьютер. Как использовать ComboFix - how-to-use-combofix (на англ.яз.) Изменено 3 июня, 2009 пользователем Alexey_I Ссылка на сообщение Поделиться на другие сайты
zkalinina 0 Опубликовано 3 июня, 2009 Автор Share Опубликовано 3 июня, 2009 Здравствуйте! Все сделала, вот virusinfo_syscure.zip virusinfo_syscheck.zip отчет.log Ссылка на сообщение Поделиться на другие сайты
akoK 138 Опубликовано 3 июня, 2009 Share Опубликовано 3 июня, 2009 (изменено) zkalinina, приветствую. Подготовьте, пожалуйста, логи, которые рекомендует Alexey_I. Очистите временные файлы через Пуск-Программы-Стандартные-Служебные-Очистка диска или с помощью ATF Cleaner - скачайте ATF Cleaner, запустите, поставьте галочку напротив Select All и нажмите Empty Selected. - если вы используете Firefox, нажмите Firefox - Select All - Empty Selected - нажмите No, если вы хотите оставить ваши сохраненные пароли - если вы используете Opera, нажмите Opera - Select All - Empty Selected - нажмите No, если вы хотите оставить ваши сохраненные пароли Изменено 3 июня, 2009 пользователем akoK Ссылка на сообщение Поделиться на другие сайты
zkalinina 0 Опубликовано 4 июня, 2009 Автор Share Опубликовано 4 июня, 2009 Здравствуйте! Пробовала выполнить C:\WINDOWS\System32\Drivers\sptd.sys - проверьте на http://www.virustotal.com/ или http://virscan.org, -не запускается проверка на этих сайтах имменно этого файла. Файлы временные очистила. Дальше: Malwarebytes' Anti-Malware 1.37 Версия базы данных: 2224 Windows 5.1.2600 Service Pack 2 05.06.2009 2:12:55 mbam-log-2009-06-05 (02-12-55).txt Тип проверки: Полная (C:\|D:\|) Проверено объектов: 172648 Прошло времени: 15 minute(s), 33 second(s) Заражено процессов в памяти: 0 Заражено модулей в памяти: 0 Заражено ключей реестра: 2 Заражено значений реестра: 0 Заражено параметров реестра: 0 Заражено папок: 0 Заражено файлов: 1 Заражено процессов в памяти: (Вредоносные программы не обнаружены) Заражено модулей в памяти: (Вредоносные программы не обнаружены) Заражено ключей реестра: HKEY_CLASSES_ROOT\urlsearchhook.toolbarurlsearchhook (Trojan.BHO) -> Quarantined and deleted successfully. HKEY_CLASSES_ROOT\urlsearchhook.toolbarurlsearchhook.1 (Trojan.BHO) -> Quarantined and deleted successfully. Заражено значений реестра: (Вредоносные программы не обнаружены) Заражено параметров реестра: (Вредоносные программы не обнаружены) Заражено папок: (Вредоносные программы не обнаружены) Заражено файлов: c:\program files\WinRAR\patch.exe (Trojan.Downloader) -> Quarantined and deleted successfully. Что скажите? ComboFix.rar Ссылка на сообщение Поделиться на другие сайты
Alexey_I 5 Опубликовано 5 июня, 2009 Share Опубликовано 5 июня, 2009 (изменено) C:\WINDOWS\System32\Drivers\sptd.sys c:\windows\system32\winlogon.exe c:\documents and settings\Пользователь\Application Data\Microsoft\Installer\{E3E71D07-CD27-46CB-8448-16D4FB29AA13}\ARPPRODUCTICON.exe c:\documents and settings\Пользователь\Application Data\Sun\Java\jre1.6.0_13\lzma.dll Запакуйте с паролем infected и отправьте в вирлаб на newvirus@kaspersky.com, пароль укажите в письме, когда придет ответ, сообщите. winlogon.exe рекомендую заменить на оригинальный с лиц. дистрибутива или установите WindowsXP SP3 и все последующие обновления - http://windowsupdate.microsoft.com Скопируйте текст ниже в блокнот и сохраните как файл с названием CFScript.txt на рабочий стол. временно выключите антивирус, firewall и другое защитное программное обеспечение File:: c:\windows\system32\drivers\tdIlns.sys Driver:: gqucnfgm После сохранения переместите CFScript.txt на пиктограмму ComboFix.exe Когда сохранится новый отчет ComboFix, скопируйте (Ctrl+A, Ctrl+C) текст из C:\ComboFix.txt и вставьте (Ctrl+V) в следующее сообщение если текст не уместится в одном сообщении, продолжите его в следующем или запакуйте файл C:\ComboFix.txt и прикрепите к сообщению. Сделайте новый лог Hijackthis. Изменено 5 июня, 2009 пользователем Alexey_I Ссылка на сообщение Поделиться на другие сайты
zkalinina 0 Опубликовано 5 июня, 2009 Автор Share Опубликовано 5 июня, 2009 (изменено) Здравствуйте! Файлы отправила, только C:\WINDOWS\System32\Drivers\sptd.sys не удалось добавить в архив-пишет приложение используется. Что с ним делать? ComboFix 09-06-04.01 - Пользователь 05.06.2009 14:06.2 - NTFSx86 Microsoft Windows XP Professional 5.1.2600.2.1251.7.1049.18.3582.3164 [GMT 6:00] Running from: c:\documents and settings\Пользователь\Мои документы\Лечим комп\ComboFix.exe Command switches used :: c:\documents and settings\Пользователь\Рабочий стол\CFScript.txt.txt AV: Антивирус Касперского *On-access scanning disabled* (Updated) {2C4D4BC6-0793-4956-A9F9-E252435469C0} AV: Doctor Web Anti-Virus *On-access scanning disabled* (Updated) {3454C8F1-ECBC-4180-A6F4-04632FBA762B} FW: Outpost Firewall Pro *disabled* {8A20CA2A-9E02-4A64-923B-0A38208EB7FD} . ((((((((((((((((((((((((( Files Created from 2009-05-05 to 2009-06-05 ))))))))))))))))))))))))))))))) . 2009-06-05 07:27 . 2009-06-05 07:27 -------- d-----w- C:\Passware 2009-06-04 21:54 . 2009-06-04 22:01 -------- d--h--w- c:\windows\$hf_mig$ 2009-06-03 18:25 . 2009-06-03 18:25 -------- d-----w- c:\documents and settings\Пользователь\Application Data\Malwarebytes 2009-06-03 18:25 . 2009-05-26 07:20 40160 ----a-w- c:\windows\system32\drivers\mbamswissarmy.sys 2009-06-03 18:25 . 2009-06-03 18:25 -------- d-----w- c:\documents and settings\All Users\Application Data\Malwarebytes 2009-06-03 18:24 . 2009-06-03 18:25 -------- d-----w- c:\program files\Malwarebytes' Anti-Malware 2009-06-03 18:24 . 2009-05-26 07:19 19096 ----a-w- c:\windows\system32\drivers\mbam.sys 2009-06-03 07:21 . 2009-06-03 07:21 11264 ----a-w- c:\windows\system32\drivers\uzg4njgy.sys 2009-06-02 21:14 . 2009-04-06 05:37 704384 ----a-w- c:\windows\system32\drivers\SandBox.sys 2009-06-02 21:13 . 2009-02-10 10:15 257432 ----a-w- c:\windows\system32\drivers\afwcore.sys 2009-06-02 21:12 . 2009-02-18 11:30 31128 ----a-w- c:\windows\system32\drivers\afw.sys 2009-06-02 21:12 . 2009-06-04 22:05 -------- d-----w- c:\windows\system32\Filt 2009-06-02 21:12 . 2009-06-02 21:12 -------- d-----w- c:\program files\Agnitum 2009-06-02 21:12 . 2009-06-02 21:12 -------- d-----w- c:\documents and settings\All Users\Application Data\Agnitum 2009-06-02 18:53 . 2009-06-02 18:53 -------- d-----w- C:\1 2009-05-31 23:20 . 2009-05-31 23:20 -------- d-----w- c:\program files\Java 2009-05-31 23:11 . 2009-05-31 23:20 410984 ----a-w- c:\windows\system32\deploytk.dll 2009-05-31 23:10 . 2009-05-31 23:20 152576 ----a-w- c:\documents and settings\Пользователь\Application Data\Sun\Java\jre1.6.0_13\lzma.dll 2009-05-31 17:42 . 2009-05-31 17:42 -------- d-----w- c:\program files\WebMoney Agent 2009-05-31 17:41 . 2009-05-31 17:42 -------- d-----w- c:\program files\webmoney 2009-05-25 21:10 . 2009-05-25 21:10 10134 ----a-r- c:\documents and settings\Пользователь\Application Data\Microsoft\Installer\{E3E71D07-CD27-46CB-8448-16D4FB29AA13}\ARPPRODUCTICON.exe 2009-05-25 21:10 . 2009-05-25 21:10 -------- d-----w- c:\program files\Microsoft WSE 2009-05-25 21:02 . 2009-05-25 21:02 -------- d-----w- c:\program files\Electronic Arts 2009-05-25 21:02 . 2009-05-25 21:02 -------- d--h--w- c:\program files\InstallShield Installation Information 2009-05-24 21:02 . 2009-05-24 21:02 -------- d-----w- c:\program files\EA GAMES 2009-05-24 18:32 . 2009-05-24 18:32 -------- d-----w- c:\program files\DAEMON Tools Toolbar 2009-05-24 18:31 . 2009-05-24 18:32 -------- d-----w- c:\program files\DAEMON Tools Lite 2009-05-24 18:12 . 2009-05-24 18:12 -------- d-----w- c:\program files\uTorrent 2009-05-24 18:12 . 2009-06-01 22:44 -------- d-----w- c:\documents and settings\Пользователь\Application Data\uTorrent 2009-05-23 17:28 . 2009-05-23 17:29 -------- d-----w- c:\program files\GTA_Ultimate 2009-05-22 19:14 . 2009-05-22 19:14 44808 ----a-w- c:\documents and settings\All Users\Application Data\Kaspersky Lab\AVP8\Data\Updater\Temporary Files\temporaryFolder\AutoPatches\kav8exec\8.0.0.454\fssync.dll 2009-05-22 19:14 . 2009-05-22 19:14 33808 ----a-w- c:\documents and settings\All Users\Application Data\Kaspersky Lab\AVP8\Data\Updater\Temporary Files\temporaryFolder\AutoPatches\kav8exec\8.0.0.454\klbg.sys 2009-05-22 19:14 . 2009-05-22 19:14 213520 ----a-w- c:\documents and settings\All Users\Application Data\Kaspersky Lab\AVP8\Data\Updater\Temporary Files\temporaryFolder\AutoPatches\kav8exec\8.0.0.454\XP\klif.sys 2009-05-22 19:14 . 2009-05-22 19:14 206088 ----a-w- c:\documents and settings\All Users\Application Data\Kaspersky Lab\AVP8\Data\Updater\Temporary Files\temporaryFolder\AutoPatches\kav8exec\8.0.0.454\avp.exe 2009-05-22 18:45 . 2009-05-22 19:14 94643 ----a-w- c:\windows\system32\drivers\klick.dat 2009-05-22 18:45 . 2009-05-22 19:14 105395 ----a-w- c:\windows\system32\drivers\klin.dat 2009-05-22 18:44 . 2009-06-04 23:03 360480 --sha-w- c:\windows\system32\drivers\fidbox2.dat 2009-05-22 18:44 . 2009-06-04 23:03 3153952 --sha-w- c:\windows\system32\drivers\fidbox.dat 2009-05-22 18:44 . 2009-06-05 06:51 -------- d-----w- c:\documents and settings\All Users\Application Data\Kaspersky Lab 2009-05-14 17:31 . 2009-05-14 17:31 -------- d-----w- c:\documents and settings\All Users\Application Data\nView_Profiles 2009-05-09 11:12 . 2009-05-09 11:22 -------- d-----w- c:\program files\Crysis 2009-05-07 17:57 . 2009-05-07 17:58 -------- d-----w- c:\program files\Grand Theft Auto IV 2009-05-07 17:08 . 2009-05-07 17:08 -------- d-----w- c:\program files\Rockstar Games 2009-05-07 09:17 . 2009-05-07 09:17 -------- d-----w- c:\program files\Common Files\DirectX 2009-05-06 18:57 . 2009-05-07 17:43 -------- d-----w- C:\totalcmd 2009-05-06 18:57 . 2008-08-08 01:04 545 ----a-w- c:\windows\UC.PIF 2009-05-06 18:57 . 2008-08-08 01:04 545 ----a-w- c:\windows\RAR.PIF 2009-05-06 18:57 . 2008-08-08 01:04 545 ----a-w- c:\windows\PKZIP.PIF 2009-05-06 18:57 . 2008-08-08 01:04 545 ----a-w- c:\windows\PKUNZIP.PIF 2009-05-06 18:57 . 2008-08-08 01:04 545 ----a-w- c:\windows\NOCLOSE.PIF 2009-05-06 18:57 . 2008-08-08 01:04 545 ----a-w- c:\windows\LHA.PIF 2009-05-06 18:57 . 2008-08-08 01:04 545 ----a-w- c:\windows\ARJ.PIF . (((((((((((((((((((((((((((((((((((((((( Find3M Report )))))))))))))))))))))))))))))))))))))))))))))))))))) . 2009-06-04 23:03 . 2009-05-22 18:44 3360 --sha-w- c:\windows\system32\drivers\fidbox2.idx 2009-06-04 23:03 . 2009-05-22 18:44 26768 --sha-w- c:\windows\system32\drivers\fidbox.idx 2009-05-31 18:18 . 2008-12-24 06:02 -------- d---a-w- c:\documents and settings\All Users\Application Data\TEMP 2009-05-31 18:14 . 2008-03-03 07:03 -------- d-----w- c:\documents and settings\Пользователь\Application Data\WebMoney 2009-05-31 17:42 . 2008-03-03 06:45 -------- d-----w- c:\program files\WebMoney Advisor 2009-05-25 21:09 . 2001-10-20 11:00 70134 ----a-w- c:\windows\system32\perfc019.dat 2009-05-25 21:09 . 2001-10-20 11:00 432488 ----a-w- c:\windows\system32\perfh019.dat 2009-05-24 18:33 . 2008-12-19 04:40 -------- d-----w- c:\documents and settings\Пользователь\Application Data\DAEMON Tools Lite 2009-05-24 18:29 . 2008-12-19 04:40 721904 ----a-w- c:\windows\system32\drivers\sptd.sys 2009-05-22 19:14 . 2008-01-29 12:29 33808 ----a-w- c:\windows\system32\drivers\klbg.sys 2009-05-22 17:34 . 2008-12-22 02:28 -------- d-----w- c:\program files\Kaspersky Lab 2009-05-07 09:01 . 2008-12-22 05:32 -------- d-----w- c:\program files\Игры . ------- Sigcheck ------- [-] 2004-09-17 11:16 503808 A975A70FCEFE2A224412214320C89DED c:\windows\system32\winlogon.exe . ((((((((((((((((((((((((((((( SnapShot@2009-06-04_20.51.38 ))))))))))))))))))))))))))))))))))))))))) . + 2009-06-05 06:51 . 2009-06-05 06:51 16384 c:\windows\Temp\Perflib_Perfdata_f4.dat + 2008-10-16 08:09 . 2008-10-16 08:09 43544 c:\windows\system32\wups2.dll + 2008-12-19 03:35 . 2008-10-16 08:08 34328 c:\windows\system32\wups.dll + 2008-12-19 03:35 . 2008-10-16 08:09 51224 c:\windows\system32\wuauclt.exe - 2008-12-19 03:52 . 2004-11-18 05:42 22752 c:\windows\system32\spupdsvc.exe + 2008-12-19 03:52 . 2005-02-25 03:36 22752 c:\windows\system32\spupdsvc.exe + 2009-01-21 13:40 . 2005-02-25 03:36 14560 c:\windows\system32\spmsg.dll + 2009-06-04 21:45 . 2008-10-16 08:08 34328 c:\windows\system32\SoftwareDistribution\Setup\ServiceStartup\wups.dll\7.2.6001.788\wups.dll + 2008-12-19 03:35 . 2008-10-16 08:08 34328 c:\windows\system32\dllcache\wups.dll + 2008-12-19 03:35 . 2008-10-16 08:09 51224 c:\windows\system32\dllcache\wuauclt.exe + 2004-08-17 11:04 . 2008-10-16 08:09 92696 c:\windows\system32\dllcache\cdm.dll + 2004-08-17 11:04 . 2008-10-16 08:09 92696 c:\windows\system32\cdm.dll + 2008-12-19 03:35 . 2008-10-16 08:13 202776 c:\windows\system32\wuweb.dll + 2008-12-19 03:35 . 2008-10-16 08:12 323608 c:\windows\system32\wucltui.dll + 2008-12-19 03:35 . 2008-10-16 08:12 561688 c:\windows\system32\wuapi.dll + 2008-12-19 03:35 . 2008-10-16 08:13 202776 c:\windows\system32\dllcache\wuweb.dll + 2008-12-19 03:35 . 2008-10-16 08:12 323608 c:\windows\system32\dllcache\wucltui.dll + 2008-12-19 03:35 . 2008-10-16 08:12 561688 c:\windows\system32\dllcache\wuapi.dll + 2008-12-19 03:35 . 2008-10-16 08:13 1809944 c:\windows\system32\wuaueng.dll + 2008-12-19 03:35 . 2008-10-16 08:13 1809944 c:\windows\system32\dllcache\wuaueng.dll . ((((((((((((((((((((((((((((((((((((( Reg Loading Points )))))))))))))))))))))))))))))))))))))))))))))))))) . . *Note* empty entries & legit default entries are not shown REGEDIT4 [HKEY_LOCAL_MACHINE\~\Browser Helper Objects\{B4806C1A-FE8A-4008-9DA3-8CEDB6E82C10}] 2008-09-05 12:42 2409472 ----a-w- c:\program files\WebMoney Advisor\wmadvisor.dll [HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] "CTFMON.EXE"="c:\windows\system32\ctfmon.exe" [2004-08-17 15360] "DAEMON Tools Lite"="c:\program files\DAEMON Tools Lite\daemon.exe" [2009-04-23 691656] [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] "JMB36X IDE Setup"="c:\windows\RaidTool\xInsIDE.exe" [2007-03-20 36864] "36X Raid Configurer"="c:\windows\system32\xRaidSetup.exe" [2007-08-29 1966080] "NvCplDaemon"="c:\windows\system32\NvCpl.dll" [2008-06-25 13529088] "NvMediaCenter"="c:\windows\system32\NvMcTray.dll" [2008-06-25 86016] "WireLessMouse"="c:\program files\Office Mouse Driver\StartAutorun.exe" [2005-11-30 94208] "WheelMouse"="c:\program files\A4Tech\Mouse\Amoumain.exe" [2007-02-10 241664] "PCSuiteTrayApplication"="c:\program files\Nokia\Nokia PC Suite 6\LaunchApplication.exe" [2007-06-18 271360] "TkBellExe"="c:\program files\Common Files\Real\Update_OB\realsched.exe" [2009-02-01 185896] "Adobe Reader Speed Launcher"="c:\program files\Adobe\Reader 9.0\Reader\Reader_sl.exe" [2009-02-27 35696] "AVP"="c:\program files\Kaspersky Lab\Kaspersky Anti-Virus 2009\avp.exe" [2009-05-22 206088] "wmagent.exe"="c:\program files\WebMoney Agent\wmagent.exe" [2008-10-01 209376] "SunJavaUpdateSched"="c:\program files\Java\jre6\bin\jusched.exe" [2009-05-31 148888] "OutpostMonitor"="c:\progra~1\Agnitum\OUTPOS~1\op_mon.exe" [2009-04-15 1229640] "OutpostFeedBack"="c:\program files\Agnitum\Outpost Firewall Pro\feedback.exe" [2009-04-14 433480] "RTHDCPL"="RTHDCPL.EXE" - c:\windows\RTHDCPL.exe [2008-02-13 16857600] "nwiz"="nwiz.exe" - c:\windows\system32\nwiz.exe [2008-06-25 1630208] [HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run] "CTFMON.EXE"="c:\windows\system32\CTFMON.EXE" [2004-08-17 15360] "Nokia.PCSync"="c:\program files\Nokia\Nokia PC Suite 6\PcSync2.exe" [2007-06-19 1241088] [HKEY_LOCAL_MACHINE\software\microsoft\security center\Monitoring\KasperskyAntiVirus] "DisableMonitoring"=dword:00000001 [HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile] "EnableFirewall"= 0 (0x0) [HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List] "%windir%\\system32\\sessmgr.exe"= "c:\\Program Files\\uTorrent\\uTorrent.exe"= [HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\GloballyOpenPorts\List] "51000:TCP"= 51000:TCP:utorrent port1 "51000:UDP"= 51000:UDP:utorrent port2 R0 klbg;Kaspersky Lab Boot Guard Driver;c:\windows\system32\drivers\klbg.sys [29.01.2008 18:29 33808] R0 pe3ajy2b;Helldorado Environment Driver (pe3ajy2b);c:\windows\system32\drivers\pe3ajy2b.sys [07.08.2007 18:34 65144] R0 pe3alcnb;KDS-PvO Environment Driver (pe3alcnb);c:\windows\system32\drivers\pe3alcnb.sys [20.08.2007 19:08 64624] R0 pf2ajy2b;Helldorado File System Driver (pf2ajy2b);c:\windows\system32\drivers\pf2ajy2b.sys [07.08.2007 18:34 83576] R0 ps6ajy2b;Helldorado Synchronization Driver (ps6ajy2b);c:\windows\system32\drivers\ps6ajy2b.sys [07.08.2007 18:33 68736] R0 ps7alcnb;KDS-PvO Synchronization Driver (ps7alcnb);c:\windows\system32\drivers\ps7alcnb.sys [20.08.2007 19:08 68216] R1 SandBox;SandBox;c:\windows\system32\drivers\SandBox.sys [03.06.2009 3:14 704384] R1 uzg4njgy;AVZ-RK Kernel Driver;c:\windows\system32\drivers\uzg4njgy.sys [03.06.2009 13:21 11264] R3 afw;Agnitum firewall driver;c:\windows\system32\drivers\afw.sys [03.06.2009 3:12 31128] R3 afwcore;afwcore;c:\windows\system32\drivers\afwcore.sys [03.06.2009 3:13 257432] R3 klim5;Kaspersky Anti-Virus NDIS Filter;c:\windows\system32\drivers\klim5.sys [30.04.2008 18:06 24592] S0 gqucnfgm;gqucnfgm;c:\windows\system32\drivers\tdIlns.sys --> c:\windows\system32\drivers\tdIlns.sys [?] S2 acssrv;Agnitum Client Security Service;c:\progra~1\Agnitum\OUTPOS~1\acs.exe [03.06.2009 3:12 1267528] S2 pr2ajy2b;Helldorado Drivers Auto Removal (pr2ajy2b);c:\windows\system32\pr2ajy2b.exe svc --> c:\windows\system32\pr2ajy2b.exe svc [?] S2 pr2alcnb;KDS-PvO Drivers Auto Removal (pr2alcnb);c:\windows\system32\pr2alcnb.exe svc --> c:\windows\system32\pr2alcnb.exe svc [?] S3 ASWFilt;ASWFilt;c:\windows\system32\Filt\ASWFilt.dll [03.06.2009 3:14 33888] S3 GEST Service;GEST Service for program management.;c:\program files\GIGABYTE\GEST\GSvr.exe [19.12.2008 9:50 47624] . . ------- Supplementary Scan ------- . uStart Page = hxxp://www.daemon-search.com/startpage uInternet Connection Wizard,ShellNext = iexplore uSearchURL,(Default) = hxxp://www.google.com/keyword/%s IE: &Google Search - c:\program files\Google\GoogleToolbar1.dll/cmsearch.html IE: &Экспорт в Microsoft Excel - c:\progra~1\MICROS~2\OFFICE11\EXCEL.EXE/3000 IE: Backward Links - c:\program files\Google\GoogleToolbar1.dll/cmbacklinks.html IE: Cached Snapshot of Page - c:\program files\Google\GoogleToolbar1.dll/cmcache.html IE: Similar Pages - c:\program files\Google\GoogleToolbar1.dll/cmsimilar.html IE: Translate into English - c:\program files\Google\GoogleToolbar1.dll/cmtrans.html IE: {{3AFFD7F7-FD3D-4C9D-8F83-03296A1A8840} - {3AFFD7F7-FD3D-4C9D-8F83-03296A1A8840} - c:\program files\WebMoney Advisor\wmadvisor.dll TCP: {820D98C1-8B9E-4D88-857C-81B539F96DDE} = 10.10.0.3 DPF: {463ED66E-431B-11D2-ADB0-0080C83DA4EB} - hxxps://w3s.webmoney.ru/WMAcceptor.dll . ************************************************************************** catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net Rootkit scan 2009-06-05 14:07 Windows 5.1.2600 Service Pack 2 NTFS scanning hidden processes ... scanning hidden autostart entries ... scanning hidden files ... scan completed successfully hidden files: 0 ************************************************************************** . --------------------- DLLs Loaded Under Running Processes --------------------- - - - - - - - > 'explorer.exe'(3384) c:\windows\system32\Audiodev.dll c:\windows\system32\WMVCore.DLL c:\windows\system32\WMASF.DLL c:\windows\system32\msi.dll . Completion time: 2009-06-05 14:08 ComboFix-quarantined-files.txt 2009-06-05 08:08 ComboFix2.txt 2009-06-04 20:52 Pre-Run: 13 855 346 688 байт свободно Post-Run: 13 844 238 336 байт свободно 201 --- E O F --- 2009-06-04 21:54 И еще ответ на мыло ARPPRODUCTICON.exe_, lzma.dll, winlogon.exe_ No malicious code were found in these files. Please quote all when answering. The answer is relevant to the latest bases from update sources. hijackthis.log Изменено 5 июня, 2009 пользователем zkalinina Ссылка на сообщение Поделиться на другие сайты
Alexey_I 5 Опубликовано 5 июня, 2009 Share Опубликовано 5 июня, 2009 (изменено) Вы скрипт сохранили как CFScript.txt.txt, в рекомендации CFScript.txt Ок, пойдем другим путем. Запакуйте пожалуйста папку C:\Qoobox\Quarantine\ с паролем virus и пришлите мне на user15802[at]mail.ru Деинсталлируйте ComboFix: нажмите пуск – выполнить - Combofix /u Скачайте OTCleanIt, запустите, нажмите CleanUp! Скачайте OTMoveIt3 by OldTimer и сохраните на рабочий стол. Запустите OTMoveIt3 (в ОС Windows Vista необходимо запускать через правую кн. мыши от имени администратора) временно выключите антивирус, firewall и другое защитное программное обеспечение. Выделите и скопируйте текст ниже (Ctrl+C) :Processes explorer.exe :Services gqucnfgm :Commands [purity] [emptytemp] [start explorer] [Reboot] В OTMoveIt3 под панелью "Paste Instructions for Items to be Moved" (под желтой панелью) вставьте скопированный текст и нажмите кнопку "MoveIt!". Выделите (Ctfl+A) и скопируйте (Ctrl+C) текст из окна под панелью "Results" (правая зеленая панель) в следующее сообщение. Прим: Если файлы и папки не могут быть перемещены немедленно и появиться запись <deleted on reboot>, потребуется перезагрузка. После перезагрузки откройте папку "C:\_OTMoveIt\MovedFiles", найдите последний .log файл (лог в формате mmddyyyy_hhmmss.log), откройте и скопируйте текст из него в следующее сообщение. Скачайте IceSword Запустите, выберите в меню File, появится аналог проводника, найдите в нем указанные файл C:\WINDOWS\System32\Drivers\sptd.sys нажмите правой кнопкой мыши и скопируйте в какую-нибудь папку, выбрав Copy to..., Скопированные файл запакуйте и отправьте в вирлаб (можете проверить предварительно на VT) Скачайте OTListIt2, сохраните на рабочий стол и запустите, выберите: Scan All Users, Minimal Output, File Age: 30 Days, поставьте галочку LOP Check, Purity Check и в Extra Registry - Use Safe list. Под строчкой Custom Scan вставьте netsvcs drivers32 Нажмите Run Scan, когда закончится процесс сканирования, откроются два файла OTListIt.Txt и Extras.txt , скопируйте (Ctrl+A, Ctrl+C) текст из этих файлов и вставьте (Ctrl+V) в следующее сообщение, если текст не уместится в одном сообщении, продолжите его в следующем или запакуйте полученные логи C:\OTListIt.Txt и C:\Extras.txt и прикрепите к сообщению. Изменено 5 июня, 2009 пользователем Alexey_I Ссылка на сообщение Поделиться на другие сайты
zkalinina 0 Опубликовано 5 июня, 2009 Автор Share Опубликовано 5 июня, 2009 Здравствуйте! Файл отправила, все сделала 06052009_151901.log Extras.rar OTListIt.rar Ссылка на сообщение Поделиться на другие сайты
Alexey_I 5 Опубликовано 5 июня, 2009 Share Опубликовано 5 июня, 2009 (изменено) tdIlns.sys - Trojan-PWS.Bancos.PWN по PCTools/Sunbelt и Rootkit/Agent.LNB по Panda, ушел в вирлаб ЛК. HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile"EnableFirewall" = 0 Рекомендую включить брандмауэр windows Запустите OTListIt2.exe Под панелью Custom Scans/Fixes встваьте скрипт :OTLI PRC - C:\WINDOWS\explorer.exe (Microsoft Corporation) PRC - C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 2009\avp.exe (Kaspersky Lab) NetSvcs: fzyufadb - :Services fzyufadb :Reg [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] "9463:TCP"=- :Files :Commands [purity] [emptytemp] [start explorer] [Reboot] Нажмите Run Fix Компьютер перезагрузится, после перезагрузги в блокноте откроется новый лог OTListIt, выложите его в следующее сообщение. Скачайте gmer со случайным именем файла(рекомендуется) здесь, либо gmer.zip здесь или здесь, закройте все остальные программы и отключите антивирусное ПО (включите брандмауэр windows или отключите компьютер от локальной сети), запустите программу (в ОС Windows Vista необходимо запускать через правую кн. мыши от имени администратора). После автоматической экспресс-проверки, отметьте галочкой системный диск и нажмите на кнопку "Scan". После окончания проверки сохраните его лог (нажмите на кнопку Save) и вложите в сообщение. Внимание! Если при запуске gmer выйдет окно предупреждающее об обнаружении ROOTKIT activity, нажмите No и в правой панели уберите значки напротив следующих пунктов • Sections • IAT/EAT • Show all Изменено 5 июня, 2009 пользователем Alexey_I Ссылка на сообщение Поделиться на другие сайты
zkalinina 0 Опубликовано 5 июня, 2009 Автор Share Опубликовано 5 июня, 2009 ААА!Во время выполнения задания в OTListIt2.exe комп глюконул((( Теперь я не могу его нормально загрузить, он ужастно тормозит, не выполняет действия, ничего не открывает,зависает пуск и тд. Я только могу лазить по папкам. Даже не могу выполнить восстановление системы((( До этого вставляла флешку, на которой Каспер обнаружил Kido. (он его вроде удалил). Что посоветуете? Ссылка на сообщение Поделиться на другие сайты
akoK 138 Опубликовано 5 июня, 2009 Share Опубликовано 5 июня, 2009 лог ComboFix сможете подготовить? Ссылка на сообщение Поделиться на другие сайты
zkalinina 0 Опубликовано 5 июня, 2009 Автор Share Опубликовано 5 июня, 2009 Нет((( Комбо я уже удалила по совету Alexei I . Да он бы и не запустился... Я сейчас с другого комп-ра пишу. Ссылка на сообщение Поделиться на другие сайты
akoK 138 Опубликовано 7 июня, 2009 Share Опубликовано 7 июня, 2009 хм. Сможете "накатить" систему в режиме востановления? Скачайте DDS или с зеркала и сохраните на рабочий стол, отключите антивирус и запустите dds.scr, когда сканирование закончится, запакуйте файлы из файлов DDS.txt и Attach.txt и вложите в сообщение Скачайте RSIT или отсюда. Запустите, выберите проверку файлов за последние три месяца и нажмите продолжить. Должны открыться два отчета log.txt и info.txt. Прикрепите их к следующему сообщению. Если вы их закрыли, то логи по умолчанию сохраняются в одноименной папке (RSIT) в корне системного диска. Подготовьте, что получится. Ссылка на сообщение Поделиться на другие сайты
Рекомендуемые сообщения