Подозрение на вирус.

[diversant]

Позавчера стала выскакивать окошко



Время до перезагрузки 1 мин. Я через трей поменял время на меньшее и вот сча два часа практически можно работать.

Здесь - virusinfo_syscure.zip http://exfile.ru/35386
Здесь -hijackthis http://exfile.ru/35390
Помогите плиз, второй день бьюсь

[01pump]

diversant, есть такое дело. Будем лечить

Запускаем hijackthis кнопкой "сканирование без логфайла". Откроется перечень. В нем находим следующие строчки

 
R3 - URLSearchHook: (no name) - {3FC0460E-A9D3-40C2-878B-CFA16C6E1262} - (no file)
R3 - URLSearchHook: (no name) - - (no file)

Отмечаем их и жмем FIX checked
Затем в avz: Файл-выполнить скрипт- в открывшееся окно вставляем текст:

 
 begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 DeleteFile('C:\WINDOWS\system32\msvcrt57.dll');
 DeleteFile('C:\Program Files\Microsoft Common\svchost.exe');
 DeleteFile('F:\autorun.inf');
 DeleteFile('F:\autorun.exe');
 ClearIECache;
 ExecuteRepair(6);
 ExecuteRepair(8);
 ExecuteRepair(9);
 ExecuteRepair(16);
ExecuteSysClean;
RebootWindows(true);
end.

Нажимаем "Запустить" ПРОИЗОЙДЕТ ПЕРЕЗАГРУЗКА!!!
После перезагрузки выполняем в avz стандартный скрипт №2 и присылаем архив virusinfo_syscheck

[diversant]

Уже начал чистку:
Обратился на форум касперского - если интересно вот ветка (http://forum.kaspersky.com/index.php...=0#entry943275), может подскажете что-то = а что за вирус то ?

[01pump]

diversant, тебе там тоже что и я ответят Выполни мою писанину
Что за вирус сказать не могу, я не вируслаб

[diversant]

Так я уже выполнил подобный скрипт в AVZ и hijackthis, который там посоветовали (ну да они очень похожи).

Окошко перестало открываться, но при загрузке грузит систему.

[01pump]

diversant, Ну так зачем плодить темы в просторах инета. Раз уж там пролечили, доделывайте там же.
Кстати последние ссылки только для пользователей форума касперского, удалите их отсюда. Все равно не сможем просмотреть

[diversant]

Спасибо за помощь ! ссылко удалил.

[Exterrior]

Имя: Tracking Cookie
Тип: Cookie

Описание:
A small piece of information that a web site stores on your computer to be used to track your browsing as you visit other sites.

Файлы:
C:\Documents and Settings\Admin\Cookies\admin@atwola[1].txt

Кто подскажет что это такое ,мой фвйрвол каждый раз при новой прерзагрузке и проверке системмы находит вот это -убивает-перезагружает и снова находит.

[01pump]

Exterrior, Это ты сканируешь файером? Забудь про эту функцию и пользуйся для проверки только нормальным антивирем а не программой которая предназначена для другого.
ЗЫ Это просто куки и временные файлы интернета он находит. Ничего в них существенного нет-это следы от посещения сайтов.

[Exterrior]

Есть такой вопрос-вирус это же вредоносная программа!Как и любая программа она где то прописана,и немного усилий и можно вычислить её вручную,если я не прав скажите очень инетересно! Так вот -вычислить вирус как я понял можно из автозагрузки(вирус вообще может загрузится быстрее антивиря )и там отключить его запуск-вот и вопрос поможет ли это ,то есть сам вирус останется (да и ладно но не будет работать).Сперва открываем раздел HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\Curr entVersion. Находим там подразделы Run, RunOnce, RunOnceEx, RunServices, RunServicesOnce. В этих разделах есть строковые ключи (некоторые разделы пустые), отвечающие за запуск программ. Название ключа может быть произвольным, а в качестве значения у них указывается запускаемая программа, если надо - то с параметрами. Смотрим на разделы, в названии которых присутствует "Once". Это разделы, в которых прописываются программы, запуск которых надо произвести всего один раз. Например, при установке новых программ некоторые из них прописывают туда ключи, указывающие на какие-нибудь настроечные модули, которые запускаются сразу после перезагрузки компьютера. Такие ключи после своего запуска автоматически удаляются.

Внимательно проверьте, что за программы у вас запускаются. Сразу после установки Windows в разделе Run присутствуют ключи с названиями internat.exe, LoadPowerProfile, ScanRegistry, SystemTray, TaskMonitor. В разделе RunServices - ключ LoadPowerProfile. Другие разделы пустые. Остальные ключи, которые могут присутствовать у вас в реестре, были добавлены другими установленными программами. Подумайте, все ли они нужны вам при загрузке и лишнее просто удалите. Это позволит значительно ускорить загрузку Windows.

Но это не единственный раздел, откуда запускаются программы. Перейдем к другой ветви, а именно к HKEY_CURRENT_USER и откроем там раздел SOFTWARE\Microsoft\Windows\CurrentVersion. Там есть только два подраздела, отвечающие за автозагрузку: Run и Runonce. Изначально они пустые, так что все записи там сделаны другими программами.Так я понял что отсюда можно прибить любой вирус илинет ?

[01pump]

Exterrior, Нет... В автозагрузке можно увидеть явные вещи (не скрытые). А еще есть гадость, которая называется Rootkit. Её глазами не увидете и руками не прибьете

[Exterrior]

Хорошо ,но где тогда прописан этот руктит,он же есть в системе ,значит и найти его тоже можно?Да и мой первый вопрос-троян то я увижу и если ключ убью то он не будет запускаться или как ?

[01pump]

В редакторе реестра в ветках Run можно увидеть не маскирующихся троянчиков (даже ту самую "Активацию" по смс). Скрытых надо ловить спецутилитками.
Вирусописатели головой хорошо думают прежде чем выпустить что нибудь новенькое. И прячут далеко далеко... А то что из реестра руками удалить можно-это для детей и блондинок.

[Iljeben]

Exterrior, зачем лишние телодвижения, если есть антивири? Врядь ли кто нить, знает все ключи реестра (их наверное тысячи) так хорошо, чтоб наверняка знать где вирь сидит, а где безобидная какая нить настройка. И по моему (поправьте если не так), вирусня не объязательно прописывается в автозагрузке.

[raffden]

Сообщение от Exterrior

Есть такой вопрос-вирус это же вредоносная программа!Как и любая программа она где то прописана,и немного усилий и можно вычислить её вручную,если я не прав скажите очень инетересно! Так вот -вычислить вирус как я понял можно из автозагрузки(вирус вообще может загрузится быстрее антивиря )и там отключить его запуск-вот и вопрос поможет ли это ,то есть сам вирус останется (да и ладно но не будет работать).Сперва открываем раздел HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\Curr entVersion. Находим там подразделы Run, RunOnce, RunOnceEx, RunServices, RunServicesOnce. В этих разделах есть строковые ключи (некоторые разделы пустые), отвечающие за запуск программ. Название ключа может быть произвольным, а в качестве значения у них указывается запускаемая программа, если надо - то с параметрами. Смотрим на разделы, в названии которых присутствует "Once". Это разделы, в которых прописываются программы, запуск которых надо произвести всего один раз. Например, при установке новых программ некоторые из них прописывают туда ключи, указывающие на какие-нибудь настроечные модули, которые запускаются сразу после перезагрузки компьютера. Такие ключи после своего запуска автоматически удаляются.

программа может работать в резидентном режиме, то есть на уровне ядра, как её вычислить? только с помощью антивиря. или зная полность реестр (что думаю мало реально). Насчёт блокировки работы вируса, тоже фигня, большая часть вредоностных прграмм на сегодняшний день, являются не чистыми вирями, а интернет червями. и пока не будет закрыта дырка в безопасности компа, то вирус будет появляться каждый раз.
По поводу, собственно первого вопроса, а сервис пак на винде какой стоит? Если первый то был такой вирус ловсан, он как раз такую фишку выкидывал, на сегодня я чтот похожих вирей не помню.