Какая то ошибка...

[monte-kristo]

Миха345, cкопируйте текст в блокнот и сохраните как cleanup.bat в папку, где находится gmer.exe

[Миха345]

http://zalil.ru/30107766 - лог AVZ

[monte-kristo]

Миха345, это лишь текстовая часть. Из нее видно:

3. Сканирование дисков
Прямое чтение C:\Documents and Settings\михаил.A9\Local Settings\Temp\~DF5BC1.tmp
Прямое чтение C:\Documents and Settings\михаил.A9\Local Settings\Temp\~DFFA4D.tmp
Прямое чтение C:\WINDOWS\system32\drivers\sptd.sys
Прямое чтение C:\WINDOWS\system32\okhzifjn.dll
Ошибка карантина файла, попытка прямого чтения (C:\WINDOWS\system32\okhzifjn.dll)
Карантин с использованием прямого чтения - ОК
Файл успешно помещен в карантин (C:\WINDOWS\system32\okhzifjn.dll)
>>>Для удаления файла C:\WINDOWS\system32\okhzifjn.dll необходима перезагрузка
C:\WINDOWS\system32\okhzifjn.dll >>>>> Net-Worm.Win32.Kido.ih ошибка удаления
Файл успешно помещен в карантин (C:\WINDOWS\Temp\NOD8E6.tmp)
C:\WINDOWS\Temp\NOD8E6.tmp >>>>> Net-Worm.Win32.Kido.ih успешно удален
Автоматическая чистка следов удаленных в ходе лечения программ
4. Проверка Winsock Layered Service Provider (SPI/LSP)
Настройки LSP проверены. Ошибок не обнаружено
5. Поиск перехватчиков событий клавиатуры/мыши/окон (Keylogger, троянские DLL)
6. Поиск открытых портов TCP/UDP, используемых вредоносными программами
Проверка отключена пользователем
7. Эвристичеcкая проверка системы
>>> Подозрение на маскировку ключа реестра службы\драйвера "dlkqkfo"
>>> Подозрение на маскировку ключа реестра службы\драйвера "ytjtnw"

что вирусы остались!
Вам необходимо:
-выполните в AVZ Стандартный скрипт 2 и пришлите архив virusinfo_syscheck.zip.
-повторите лог GMER и пришлите результат.

[Миха345]

http://zalil.ru/30124536 - скрипт AVZ №3
http://zalil.ru/30124542 - скрипт AVZ №2.
Скрипт GMER будет позже, слишком он долгий.

[monte-kristo]

Миха345, ну а что вы хотели! У вас здесь столько "добра"!

Отключите от интернета и локальной сети компьютер.

выполните следующее:

Отключите антивирус/фаервол, интернет;
spywareterminatorupdate.exe
TrojanRemover.exe
Также отключите.

AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".

Код:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 ClearQuarantine;
 QuarantineFile('C:\RECYCLER\S-1-5-21-0145292341-8273938145-410220762-7002\syscr.exe,C:\RECYCLER\S-1-5-21-2944386238-2357772207-496395796-6764\syscr.exe,C:\RECYCLER\S-1-5-21-6234745503-3532031280-831273624-7406\syscr.exe,C:\RECYCLER\S-1-5-21-0919700055-7171978199-337661265-0939\syscr.exe,C:\RECYCLER\S-1-5-21-0207274234-0139702707-249477976-0623\syscr.exe,C:\RECYCLER\S-1-5-21-6196192193-8237515386-085893137-0255\syscr.exe,explorer.exe,C:\Documents and Settings\михаил.A9\Application Data\ltzqai.exe','');
 QuarantineFile('C:\WINDOWS\system32\msvmiode.exe','');
 QuarantineFile('C:\WINDOWS\system32\11.exe','');
 QuarantineFile('C:\WINDOWS\system32\08.exe','');
 QuarantineFile('C:\WINDOWS\system32\07.exe','');
 QuarantineFile('C:\WINDOWS\system32\26.exe','');
 QuarantineFile('C:\WINDOWS\system32\27.exe','');
 QuarantineFile('C:\WINDOWS\system32\31.exe','');
 QuarantineFile('C:\WINDOWS\system32\37.exe','');
 QuarantineFile('C:\WINDOWS\system32\42.exe','');
 QuarantineFile('C:\WINDOWS\system32\48.exe','');
 QuarantineFile('C:\WINDOWS\system32\53.exe','');
 QuarantineFile('C:\WINDOWS\system32\71.exe','');
 QuarantineFile('C:\WINDOWS\system32\75.exe','');
 QuarantineFile('C:\WINDOWS\system32\76.exe','');
 QuarantineFile('C:\WINDOWS\system32\77.exe','');
 QuarantineFile('C:\RECYCLER\S-1-5-21-0145292341-8273938145-410220762-7002\syscr.exe','');
 QuarantineFile('C:\RECYCLER\S-1-5-21-2944386238-2357772207-496395796-6764\syscr.exe','');
 QuarantineFile('C:\RECYCLER\S-1-5-21-6234745503-3532031280-831273624-7406\syscr.exe','');
 QuarantineFile('C:\RECYCLER\S-1-5-21-0919700055-7171978199-337661265-0939\syscr.exe','');
 QuarantineFile('C:\RECYCLER\S-1-5-21-0207274234-0139702707-249477976-0623\syscr.exe','');
 QuarantineFile('C:\RECYCLER\S-1-5-21-6196192193-8237515386-085893137-0255\syscr.exe','');
 QuarantineFile('C:\RECYCLER\S-1-5-21-6196192193-8237515386-085893137-0255\explorer.exe','');
 QuarantineFile('C:\Documents and Settings\михаил.A9\Application Data\ltzqai.exe','');
 DeleteFile('C:\WINDOWS\system32\77.exe');
 DeleteFile('C:\WINDOWS\system32\76.exe');
 DeleteFile('C:\WINDOWS\system32\75.exe');
 DeleteFile('C:\WINDOWS\system32\71.exe');
 DeleteFile('C:\WINDOWS\system32\53.exe');
 DeleteFile('C:\WINDOWS\system32\48.exe');
 DeleteFile('C:\WINDOWS\system32\42.exe');
 DeleteFile('C:\WINDOWS\system32\37.exe');
 DeleteFile('C:\WINDOWS\system32\31.exe');
 DeleteFile('C:\WINDOWS\system32\27.exe');
 DeleteFile('C:\WINDOWS\system32\26.exe');
 DeleteFile('C:\WINDOWS\system32\07.exe');
 DeleteFile('C:\WINDOWS\system32\08.exe');
 DeleteFile('C:\WINDOWS\system32\11.exe');
 DeleteFile('C:\WINDOWS\system32\msvmiode.exe');
 DeleteFile('C:\RECYCLER\S-1-5-21-0145292341-8273938145-410220762-7002\syscr.exe,C:\RECYCLER\S-1-5-21-2944386238-2357772207-496395796-6764\syscr.exe,C:\RECYCLER\S-1-5-21-6234745503-3532031280-831273624-7406\syscr.exe,C:\RECYCLER\S-1-5-21-0919700055-7171978199-337661265-0939\syscr.exe,C:\RECYCLER\S-1-5-21-0207274234-0139702707-249477976-0623\syscr.exe,C:\RECYCLER\S-1-5-21-6196192193-8237515386-085893137-0255\syscr.exe,explorer.exe,C:\Documents and Settings\михаил.A9\Application Data\ltzqai.exe');
 DeleteFile('C:\RECYCLER\S-1-5-21-0145292341-8273938145-410220762-7002\syscr.exe');
 DeleteFile('C:\RECYCLER\S-1-5-21-2944386238-2357772207-496395796-6764\syscr.exe');
 DeleteFile('C:\RECYCLER\S-1-5-21-6234745503-3532031280-831273624-7406\syscr.exe');
 DeleteFile('C:\RECYCLER\S-1-5-21-0919700055-7171978199-337661265-0939\syscr.exe');
 DeleteFile('C:\RECYCLER\S-1-5-21-0207274234-0139702707-249477976-0623\syscr.exe');
 DeleteFile('C:\RECYCLER\S-1-5-21-6196192193-8237515386-085893137-0255\syscr.exe');
 DeleteFile('C:\RECYCLER\S-1-5-21-6196192193-8237515386-085893137-0255\explorer.exe');
 DeleteFile('C:\Documents and Settings\михаил.A9\Application Data\ltzqai.exe');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','MSODESNV7');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Winlogon','Taskman');
BC_ImportAll;
BC_Activate;
 ExecuteWizard('TSW',2,2,true);
 ExecuteWizard('SCU', 2, 2, true);
RebootWindows(true);
end.

ПК перезагрузится!

Очистите временные файлы с помощью возможностей самой Windows: Пуск->Программы->Стандартные->Служебные->Очистка диска и/или с помощью CCleaner или ATF Cleaner

[monte-kristo]

Файл C:\WINDOWS\system32\drivers\Haspnt.sys
Проверьте на вирус тотал http://pchelpforum.ru/f26/t24207/#post311665

Скачайте Malwarebytes' Anti-Malware или с зеркала, установите, обновите базы, выберите "Perform Full Scan", нажмите "Scan", после сканирования - Ok - Show Results (показать результаты) - Откройте лог и скопируйте в блокнот и прикрепите его к следующему посту.

Чем быстрее вы пришлете лог GMER тем лучше!

Все занимает приличное кол-во времени! Не удивляйтесь!

[Миха345]

Сообщение от monte-kristo

Файл C:\WINDOWS\system32\drivers\Haspnt.sys
Проверьте на вирус тотал http://pchelpforum.ru/f26/t24207/#post311665

http://www.virustotal.com/file-scan/...c8e-1292155045
Корзину обязательно было очищать? Я перед удалением, проверяю всегда ее и бывает восстанавливаю.

[monte-kristo]

Миха345, корзина была очищена вот этой командой ExecuteWizard('SCU', 2, 2, true); с помощью которой удалялись и остальные временные файлы. Извините раз уж вышло.

[Миха345]

Сообщение от monte-kristo

Миха345, корзина была очищена вот этой командой ExecuteWizard('SCU', 2, 2, true); с помощью которой удалялись и остальные временные файлы. Извините раз уж вышло.

Ладно, теперь уж не вернуть
Дело еще хуже если посмотреть на это - http://zalil.ru/30126486 - лог Malwarebytes' Anti-Malware.

---------- Добавлено в 22:03 ---------- Предыдущее сообщение было написано в 22:00 ----------

Да и еще, забыл сказать после скрипта в AVZ, Windows не запустилась, я запустил последнее рабочее сохранение системы.

[monte-kristo]

Миха345,

Да и еще, забыл сказать после скрипта в AVZ, Windows не запустилась, я запустил последнее рабочее сохранение системы.

Ничего легитимного не затрагивал. Надеюсь вы не включили восстановление системы.

Удалите все найденное в mbam. Если среди перечисленного(в логе) увидите знакомое(то что точно как вы считате не относится к зловредам) не трогайте.

От вас я жду:
-Лог AVZ.
-Лог Gmer.

[Миха345]

http://zalil.ru/30148963 - лог AVZ скрипт 3.
http://zalil.ru/30148966 - лог AVZ скрипт 2.
По поводу GMER, я произвел проверку и забыл что лог как в AVZ не сохраняется.... Тупо убил столько времени! Раздражает эта программа 4,5 часа на не убиваю!

---------- Добавлено в 22:25 ---------- Предыдущее сообщение было написано в 22:24 ----------

Короче я перезагрузился и где теперь GMER искать- беспонятия.

[monte-kristo]

Миха345, ну а что вы хотели! У вас здесь столько "добра"!

Отключите от интернета и локальной сети компьютер.

выполните следующее:

Отключите антивирус/фаервол, интернет;
spywareterminatorupdate.exe
TrojanRemover.exe
Также отключите.

Что это за дела?! Отключите Восстан. Систем.! И не включайте до окончания лечения!
Убедитесь, что восстановление системы отключено!!!


Сохраните приведённый ниже текст в файл cleanup.bat в ту же папку, где находится gmer.exe
Код:

gmer.exe -del service chbmjo
gmer.exe -del service dlkqkfo
gmer.exe -del service fjscjmm
gmer.exe -del service ytjtnw
gmer.exe -del file "C:\WINDOWS\system32\okhzifjn.dll"
gmer.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\chbmjo"
gmer.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\dlkqkfo"
gmer.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\fjscjmml"
gmer.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\ytjtnw"
gmer.exe -del reg "HKLM\SYSTEM\ControlSet004\Services\chbmjo"
gmer.exe -del reg "HKLM\SYSTEM\ControlSet004\Services\dlkqkfo"
gmer.exe -del reg "HKLM\SYSTEM\ControlSet004\Services\fjscjmml"
gmer.exe -del reg "HKLM\SYSTEM\ControlSet004\Services\ytjtnw"
gmer.exe -del reg "HKLM\SYSTEM\ControlSet002\Services\chbmjo"
gmer.exe -del reg "HKLM\SYSTEM\ControlSet002\Services\dlkqkfo"
gmer.exe -del reg "HKLM\SYSTEM\ControlSet002\Services\fjscjmml"
gmer.exe -del reg "HKLM\SYSTEM\ControlSet002\Services\ytjtnw"

И запустите сохранённый пакетный файл cleanup.bat.

После этого сразу выполняйте второй скрипт!

AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".

Код:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 ClearQuarantine;
 QuarantineFile('C:\RECYCLER\S-1-5-21-5828960817-7445755279-575621859-6962\csidrv.exe','');
 QuarantineFile('C:\RECYCLER\S-1-5-21-0145292341-8273938145-410220762-7002\syscr.exe','');
 QuarantineFile('C:\RECYCLER\S-1-5-21-2944386238-2357772207-496395796-6764\syscr.exe','');
 QuarantineFile('C:\RECYCLER\S-1-5-21-6234745503-3532031280-831273624-7406\syscr.exe','');
 QuarantineFile('C:\RECYCLER\S-1-5-21-0919700055-7171978199-337661265-0939\syscr.exe','');
 QuarantineFile('C:\RECYCLER\S-1-5-21-0207274234-0139702707-249477976-0623\syscr.exe','');
 QuarantineFile('C:\RECYCLER\S-1-5-21-6196192193-8237515386-085893137-0255\syscr.exe','');
 QuarantineFile('C:\RECYCLER\S-1-5-21-6196192193-8237515386-085893137-0255\explorer.exe','');
 QuarantineFile('C:\Documents and Settings\михаил.A9\Application Data\ltzqai.exe','');
 QuarantineFile('C:\WINDOWS\system32\68.exe','');
 QuarantineFile('C:\WINDOWS\system32\58.exe','');
 DeleteFile('C:\WINDOWS\system32\58.exe');
 DeleteFile('C:\WINDOWS\system32\68.exe');
 DeleteFile('C:\RECYCLER\S-1-5-21-5828960817-7445755279-575621859-6962\csidrv.exe');
 DeleteFile('C:\RECYCLER\S-1-5-21-0145292341-8273938145-410220762-7002\syscr.exe,C:\RECYCLER\S-1-5-21-2944386238-2357772207-496395796-6764\syscr.exe,C:\RECYCLER\S-1-5-21-6234745503-3532031280-831273624-7406\syscr.exe,C:\RECYCLER\S-1-5-21-0919700055-7171978199-337661265-0939\syscr.exe,C:\RECYCLER\S-1-5-21-0207274234-0139702707-249477976-0623\syscr.exe,C:\RECYCLER\S-1-5-21-6196192193-8237515386-085893137-0255\syscr.exe,explorer.exe,C:\Documents and Settings\михаил.A9\Application Data\ltzqai.exe');
 DeleteFile('C:\RECYCLER\S-1-5-21-0145292341-8273938145-410220762-7002\syscr.exe');
 DeleteFile('C:\RECYCLER\S-1-5-21-2944386238-2357772207-496395796-6764\syscr.exe');
 DeleteFile('C:\RECYCLER\S-1-5-21-6234745503-3532031280-831273624-7406\syscr.exe');
 DeleteFile('C:\RECYCLER\S-1-5-21-0919700055-7171978199-337661265-0939\syscr.exe');
 DeleteFile('C:\RECYCLER\S-1-5-21-0207274234-0139702707-249477976-0623\syscr.exe');
 DeleteFile('C:\RECYCLER\S-1-5-21-6196192193-8237515386-085893137-0255\syscr.exe');
 DeleteFile('C:\RECYCLER\S-1-5-21-6196192193-8237515386-085893137-0255\explorer.exe');
 DeleteFile('C:\Documents and Settings\михаил.A9\Application Data\ltzqai.exe');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Winlogon','Taskman');
 RegKeyParamDel('HKEY_CURRENT_USER', 'Software\Microsoft\Windows NT\CurrentVersion\Winlogon', 'Shell');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

ПК перезагрузится!

Попытайтесь:
Установить патчи, закрывающие уязвимости MS08-067, MS08-068, MS09-001 (на данных страницах вам необходимо выбрать операционную систему, которая установлена на зараженном компьютере, скачать нужный патч и установить его).
http://www.microsoft.com/rus/technet.../MS08-067.mspx
http://www.microsoft.com/rus/technet.../MS08-068.mspx
http://www.microsoft.com/rus/technet.../MS09-001.mspx

Опишите результаты!

[Миха345]

Сообщение от monte-kristo

Что это за дела?! Отключите Восстан. Систем.! И не включайте до окончания лечения!
Убедитесь, что восстановление системы отключено!!!

Я без понятия где это делается!
Вчера скачал программу Handy Recovery 4.0 чтобы восстановить Корзину. Нашел папку RECYCLER, как теперь восстановить то?

[monte-kristo]

Миха345, пойдем по порядку:
Пуск > Пpогpаммы > Стандаpтные > Пpоводник Windows. (Start > Programs > Accessories > Windows Explorer)
Кликнуть пpавой кнопкой мыши на "Мой компьютеp" (My Computer). Выбpать "Свойства" (Properties).
Вкладка "Восстановление системы" (System Restore). Поставить птичку на "Запpетить восстановление системных файлов на всех дисках" (Turn off System Restore on all drives)
Hажать "Пpименить" (Apply). Появится сообщение, пpедупpеждающее об удалении всех точек восстановления. Подтвеpдить, нажав "ОК".

После повторите выше приведенные скрипты.

Патчи вы установили?

Так я и не понял! Вы кидо киллером проверяли ПК?

Вчера скачал программу Handy Recovery 4.0 чтобы восстановить Корзину. Нашел папку RECYCLER, как теперь восстановить то?

У вас осталось что-то важное в корзине?
Пока ее вообще лучше не трогать!

Внимание! Ответьте на все вопросы последовательно!!!

После чего пришлите один лог AVZ:
выполните в AVZ Стандартный скрипт 2 и пришлите архив virusinfo_syscheck.zip.

[Миха345]

Сообщение от monte-kristo

И запустите сохранённый пакетный файл cleanup.bat.

Это вроде выполнил. Создал файл в блокноте в него поместил текст, затем вставил в файл cleanup.bat, вроде что-то запустилось на секунду-две потом исчезло с экрана.

Сообщение от monte-kristo

После этого сразу выполняйте второй скрипт!

Вылезла ошибка -