Вирус "Internet security"

[romul781]

Grizzly000, 1.Запустите HijackThis 2. Нажмите кнопку "Do a system scan only" 3.В открывшемся логе сканирования поставить галочки напротив указанных строк

R3 - URLSearchHook: (no name) -  - (no file)

и нажать кнопку "Fix сhecked".

Запустите снова avz: Файл-Выполнить скрипт- в открывшееся окно внимательно вставьте текст:

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(true);
 TerminateProcessByName('\Device\HarddiskVolume1\WINDOWS\system32\wuauclt.exe');
 DeleteFile('\Device\HarddiskVolume1\WINDOWS\system32\wuauclt.exe');
 BC_ImportALL;
 ExecuteSysClean;
 BC_Activate;
 RebootWindows(true);
end.

затем нажмите "Запустить" ПРОИЗОЙДЕТ ПЕРЕЗАГРУЗКА!!! После перезагрузки выполните в avz стандартный скрипт №2 и пришлите архив virusinfo_syscheck.zip

[Grizzly000]

Спасибо откликнувшимся. Комп уже отдал пользователям, вроде полечился. Дальше будет видно.
Хотелось бы узнать каким образом вы вычисляете какие строки в хайджеке удалять и по какому принципу пишутся скрипты для AVZ?

[romul781]

Сообщение от Grizzly000

Хотелось бы узнать каким образом вы вычисляете какие строки в хайджеке удалять

Grizzly000, www.virusnet.info
www.virusinfo.info
на этих сайтах есть программы обучения всех желающих.

[01pump]

Staric,

http://pchelpforum.ru/f26/t6442/#post37758

[Grizzly000]

Борьба с вирусами продолжается!!!
Уже другой комп принесли с таким же вирусом что и выше писал. Пароль не подбирал, потомучто доя меня пытались вылечить комп и вручную убили файл похожий на rundll32.exe и табличка с паролем перестала появляться, но avz4 и другие антивирусы не запускались, вернее при попытке зайти в папку с антивирусами падал эксплорер, а при запуске avz4 комп тупо выключался. Помог загрузочный диск из темы "РЕШЕНИЕ ПРОБЛЕМ С ВИРУСАМИ И ИХ ПОСЛЕДСТВИЯМИ" с уже устновленным nod32 и базами за 17.01.10
Дальше уже система загрузилась и AVZ4 нормально загрузилась, ниже привожу нужные логи для анализа
virusinfo_syscure.zip - http://exfile.ru/79224
HijackThis.log - http://exfile.ru/79244

[01pump]

Grizzly000,

Вы лучше сразу назовите файл которы "очень" похож на rundll32.exe чтоб нам тут не париться ....

Выполнить это

 
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('F:\autorun.inf');
DeleteFile('C:\WINDOWS\Embmake.INI:XVweqLeD');
ExecuteSysClean;
ExecuteRepair(6);
ExecuteRepair(12)
RebootWindows(true);
end.

После перезагрузки скачайте утилитку http://exfile.ru/74254 Распакуйте. Запустить программу .После автоматической экспресс-проверки нажать "Scan". После окончания проверки сохранить его лог (нажать на кнопку Save) и через файлообменник выложите сюда.

[Eschestowa]

Добрый день.
Помогите пожалуйста избавиться от вируса Internet security. Логи удалось сделать только с Live CD
http://webfile.ru/4254985
http://webfile.ru/4254986

[Гризлик]

Eschestowa, Вы AVZ запускали с удаленным реестром?

[01pump]

Eschestowa,

скачайте эту http://exfile.ru/80159 утилитку и распакуйте её либо на флешку либо на больной комп. Затем загрузитесь с LiveCD и откройте эту скачанную утилитку.
В меню "Scan only this folder" выберите папку Windiws больной системы и далее "Scan the system for alternate data streams" По окончании сканирования в окне найденных обьектов кликните правой кнопкой мышки "Save scan results to disk" и затем пришлите этот отчет.

[Eschestowa]

Сделано
adsspy.txt - http://webfile.ru/4255379

[petek]

Всем здравствуйте! Такая же проблема Смог загрузиться только в безопасном режиме. Вот логи: http://exfile.ru/80710
http://exfile.ru/80711 Заранее спасибо!

---------- Добавлено в 10:08 ---------- Предыдущее сообщение было написано в 08:40 ----------

Под проблемой я имею в виду этот же вирус "Internet Security", в обычном режиме загрузиться могу, но эта зараза не даёт даже выйти ни на Ваш сайт, ни на сайт одного из антивирусов... И avz естественно не даёт запускать, жду Ваших указаний

[01pump]

Eschestowa,

Загружаетесь снова с LiveCD , снова запускаете утилитку adss и после очередного такого же скана
отмечаете в окне найденные файлы
F:\WINDOWS\Cursors\help_l.cur : Y5D
F:\WINDOWS\system32\appwiz.cpl : Y5D
и удаляете их.
Затем перезагружаетесь в обычную винду и выполняете в avz стандартный скрипт №3 присылаете архив virusinfo_syscure.zip и еще лог утилитки Hijackthis

[01pump]

petek,
Пофикстите в hijackthis эту строчку

 
F3 - REG:win.ini: load=C:\DOCUME~1\SESA12~1\LOCALS~1\Temp\tbx.bat

После чего перезагрузитесь и попробуйте выполнить новый комплект логов в обычном режиме (не БР)

[petek]

01pump,
Вот логи: http://exfile.ru/80727 , http://exfile.ru/80728
Но проблема в том, что я не являюсь администратором на компьютере, я не могу отключить Symantec. И во время выполнения скрипта Symantec нашёл несколько вирусов в папке: C:\Documents and Settings\SESA123169\Local Settings\Temp

[01pump]

petek,
Без права Администратора все логи бесполезны.

Или узнавайте пароль Администратора или обращайтесь к вашему сисадмину за лечением.