Вирус Ekav

[01pump]

Eschestowa,

Пофиксите в hijackthis строку

 
F2 - REG:system.ini: UserInit=\\.\globalroot\systemroot\system32\userinit.exe

После чего перезагрузитесь и выполните ноый лог hijackthis

[Eschestowa]

Я очень медленный газ... прошу прощения, случились некоторые дела.
http://webfile.ru/4228641

[01pump]

Сообщение от Eschestowa

Я очень медленный газ... прошу прощения, случились некоторые дела.
http://webfile.ru/4228641

Ну как там самочуйствие компа?
Вы файлик успешно заменили?

[Eschestowa]

Файлик заменила. С компом вроде все в порядке, живой и светится.
Спасибо Вам, добрый человек.

[Southpaw]

И снова всем привет, очередной нетривиальный случай, все вылечил, тел вроде как нет, не могу в хайджеке последние записи убить, на пк две учетные записи, и при входе в каждую появляется системная ошибка о невозможности запуска объекта - тела вируса, причем под каждой учеткой ссылается на разное тело. Всяко прошу о помощи.

Логи по обеим учеткам в одном архиве тут http://exfile.ru/78322

[01pump]

Southpaw,

есть что удалять

скрипты пишем

по первой машине (сисчек №1) выполнить следующее

 
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteService('mptfftqe');
DeleteService('xco4ouqfd5');
DeleteService('winsecguard');
DeleteFile('C:\WINDOWS\Fonts\zpx2.exe');
DeleteFile('C:\Documents and Settings\Компьютер\Application Data\Microsoft\zoodiwud.exe');
DeleteFile('C:\WINDOWS\System32\Drivers\mptfftqe.sys');
DeleteFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1455\fresdg.exe,explorer.exe C:\Documents and Settings\Компьютер\axntsec.exe');
DeleteFile('C:\RECYCLER\S-1-5-21-1482476501-1644491937-682003330-1013\win32.exe');
DelCLSID('{28ABC5C0-4FCB-11CF-AAX5-81CX1C635612}');
ExecuteSysClean;
RebootWindows(true);
end.

почле перезагрузки комплект логов выполнить

[01pump]

Southpaw,

для второй машины

 
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteService('mptfftqe');
DeleteService('xco4ouqfd5');
DeleteService('winsecguard');
DeleteFile('C:\WINDOWS\Fonts\zpx2.exe');
DeleteFile('C:\Documents and Settings\Компьютер\Application Data\Microsoft\zoodiwud.exe');
DeleteFile('C:\WINDOWS\System32\Drivers\mptfftqe.sys');
DeleteFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1455\fresdg.exe,explorer.exe C:\Documents and Settings\Компьютер\axntsec.exe');
DeleteFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1455\fresdg.exe,explorer.exe C:\Documents and Settings\Марина\vnx.exe');
DeleteFile('C:\RECYCLER\S-1-5-21-1482476501-1644491937-682003330-1013\win32.exe');
DelCLSID('{28ABC5C0-4FCB-11CF-AAX5-81CX1C635612}');
ExecuteSysClean;
RebootWindows(true);
end.

[lira]

Всем привет! У меня такая же зараза. Проблема осложнена тем, что CD-привод не работает. Можно ли добыть где-то LiveCD - для флэшки?

[01pump]

lira,
Опишите проблему подробнее. У вас avz и hijackthis запускаются?

Попробую для флешки вам подготовить

Отсюда http://pchelpforum.ru/f26/t6442/#post69244 со второй ссылке скачайте LiveCD . Как скачаете её - распакуйте в любую папку. Там должен быть файл Boot.img
Этот файл в отдельную папку скопируйте. В эту же папочку извлеките файлы из этого архива http://exfile.ru/80826


После чего отформатируйте флешку этой утилиткой http://exfile.ru/80827 (не забудьте её распаковать!! ) Отформатируйте сначала флеху в FAT32 затем в NTFS .
После чего на флеху скопируйте файл Boot.img и те 4 файлика из архива.

Теперь вам остаётся только в БИОС выставить приоритет загрузки с флеш . И далее грузитесь с неё и выполняйте процедуру лечения.

[lira]

Спасибо за флешку. Вечером буду лечить. Больной комп дома, писать могу только с работы, поэтому извините за большие перерывы. Ситуация такова:
Красное окно: Internet Seciurity обнаружил вредоносное ПО… Далее длинный список, идет обратный отсчет времени и просьба послать СМС за 10 рублей…
Попыталась подобрать код разблокировки (+1, +2… к сообщению), как советовали где-то на форуме – безуспешно – в окошке с кодом появляется: Анализ 7, затем Анализ 6 и т.д., и по кругу.
AVZ не запускается.
Результат работы adsspy:
C:\Documents and Settings\1\Избранное\книги\Поиск книги по фамилии автора - Буква А - Страница 1.url : favicon (1406 bytes)
C:\Documents and Settings\1\Рабочий стол\планета\Planeta\Weburg!!!- Медиапортал.url : favicon (2478 bytes)
C:\Documents and Settings\1\Рабочий стол\планета\Planeta\Планета.url : favicon (2862 bytes)
….
C:\WINDOWS\svcpack.log : ng8NywONh9KvDpqjHuzB (130048 bytes)

На флешке, принесенной из дома, на рабочем компе Касперский убил вот это:
удалено: троянская программа Packed.Win32.Krap.w Файл: G:\RECYCLER\rvqmrkhmd.dll

[01pump]

lira,
Вам через adsss нужно удалить этот файл C:\WINDOWS\svcpack.log : ng8NywONh9KvDpqjHuzB
Если удасться его удалить то попробуйте загрузиться в обычном режиме , запустить avz и выполнить стандартный скрипт №3 прислать virusinfo_syscure.zip

PS Если удасться загрузиться с флешки то снова выполните лог adss и через флешку LiveCD удалите тот файл C:\WINDOWS\svcpack.log : ng8NywONh9KvDpqjHuzB

[lira]

virusinfo_syscure здесь:

http://slil.ru/28559493

[01pump]

lira,

Вижу что вам удалось И сразу что бросилось в глаза это наличие двух антивирусов в системе Один нужно правильно Деинсталлировать

Запустите снова avz: Файл-Выполнить скрипт- в открывшееся окно внимательно вставьте текст:

 
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\WINDOWS\svcpack.log:ng8NywONh9KvDpqjHuzB');
DeleteFile('C:\Program Files\plugin.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','plugin');
DeleteFile('C:\WINDOWS\System32\netprotocol.dll');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SYSTEM\CurrentControlSet\Services\Netprotocol\Parameters','ServiceDll');
DeleteFile('C:\WINDOWS\system32\sdra64.exe');
ExecuteSysClean;
ExecuteRepair(6);
ExecuteRepair(11);
ExecuteRepair(12);
ExecuteRepair(17);
RegKeyIntParamWrite('HKLM','SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer','NoDriveTypeAutoRun', 221); 
RebootWindows(true);
end.

затем нажмите "Запустить" ПРОИЗОЙДЕТ ПЕРЕЗАГРУЗКА!!!
После перезагрузки обновите avz:Файл-Обновление баз, затем выполните в avz стандартный скрипт №2 и пришлите архив virusinfo_syscheck.zip + лог утилитки hijackthis

[lira]

Логи здесь:
http://slil.ru/28564436
По ситуации: после лечения заработал CD-привод, но кратковременно.
При выключении компа некое "очень важное обновление windows" просило себя установить (получило отказ).

[01pump]

lira,

запустить hijackthis кнопкой "Do a system scan only" Откроется таблица, в которой отметьте следующую строчку:

O20 - AppInit_DLLs: C:\WINDOWS\svcpack.log:ng8NywONh9KvDpqjHuzB

и нажмите FIX checked

Перезагрузитесь.
После перезагрузки выполните в avz стандартный скрипт №2 и пришлите архив virusinfo_syscheck.zip и новый лог hijackthis

Скачайте этот файл http://exfile.ru/74372 и распакуйте его. Затем запустите. После выполнения перезагрузитесь (Если в папке с распакованной утилиткой появится файл drv.sys Этот файл поместите в архив и пришлите).

А по поводу обновления Windows .... информации мало
У вас режим "Автоматического обновления Windows" в каком режиме стоит? (Авто,Загружать, Уведомлять,Отключить)
В принципе любое обновление установить можно (даже Уведомление о проверке подлинности )