Нужна помощь победить rqfp.kmo в RUNDLL

[alexbry]

Не могу избавиться от вируса, оторый уж встречался на форуме.
Проявляеся в виде окна "Ошибка RUNDLL. Отсутсвует rqfp.kmo"
Логи AVZ и Hijackthis:
Скачать virusinfo_syscure.zip с exfile.ru
Скачать hijackthis.log с exfile.ru

Зарнее благодарен.
Александр

[01pump]

alexbry,

Ссылки проверить не пробовали?

[alexbry]

Сообщение от 01pump

alexbry,

Ссылки проверить не пробовали?

Ссылки поправил. Теперь рботают.

[snifer67]

Пофиксить в HijackThis

F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe
O20 - AppInit_DLLs:  nzorbe.dll

ПК перезагрузите.

Выполните скрипт в avz

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\System32\nzorbe.dll','');
 DeleteFile('C:\WINDOWS\System32\nzorbe.dll');
 QuarantineFile('C:\WINDOWS\system','');
 QuarantineFile('C:\WINDOWS\System32\Drivers\sfc.SYS','');
if FileExists('C:\WINDOWS\System32\dllcache\sfcfiles.dll') then begin
  RenameFile('C:\WINDOWS\System32\sfcfiles.dll', 'C:\WINDOWS\System32\sfcfiles.bak');
  CopyFile('C:\WINDOWS\System32\dllcache\sfcfiles.dll', 'C:\WINDOWS\System32\sfcfiles.dll');
 end else
  AddToLog('Ошибка - не найден эталонный файл');
 DeleteFile('C:\WINDOWS\System32\Drivers\sfc.SYS');
 DeleteFile('C:\WINDOWS\system');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SYSTEM\CurrentControlSet\Services\Eventlog\System\ATService','EventMessageFile');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

ПК перезагрузится.

Выполнить скрипт в AVZ.

var
  qfolder: string;
  qname: string;
begin
  qname := GetAVZDirectory + '..\Quarantine\quarantine.zip';
  qfolder := ExtractFilePath(qname);
  if (not DirectoryExists(qfolder)) then CreateDirectory(qfolder);
  CreateQurantineArchive(qname);
  ExecuteFile('explorer.exe', qfolder, 1, 0, false);
end.

Вы увидите папку с архивом. Это - карантин.
Карантин отправьте на newvirus@tut.by
Сделайте новые логи.

[alexbry]

К сожалению, не получается полностью выплнить операции.
Пошагово:

Сообщение от snifer67

Пофиксить в HijackThis

F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe
O20 - AppInit_DLLs:  nzorbe.dll

ПК перезагрузите.

Выполните скрипт в avz

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\System32\nzorbe.dll','');
 DeleteFile('C:\WINDOWS\System32\nzorbe.dll');
 QuarantineFile('C:\WINDOWS\system','');
 QuarantineFile('C:\WINDOWS\System32\Drivers\sfc.SYS','');
if FileExists('C:\WINDOWS\System32\dllcache\sfcfiles.dll') then begin
  RenameFile('C:\WINDOWS\System32\sfcfiles.dll', 'C:\WINDOWS\System32\sfcfiles.bak');
  CopyFile('C:\WINDOWS\System32\dllcache\sfcfiles.dll', 'C:\WINDOWS\System32\sfcfiles.dll');
 end else
  AddToLog('Ошибка - не найден эталонный файл');
 DeleteFile('C:\WINDOWS\System32\Drivers\sfc.SYS');
 DeleteFile('C:\WINDOWS\system');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SYSTEM\CurrentControlSet\Services\Eventlog\System\ATService','EventMessageFile');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

ПК перезагрузится.

1. Fix в Hijackthis выполнен.

2. Скрипт avz выполняется. При перезагрузке ПК не может запустить Windows. Появляется сообщение:
'Подключение к системе невозможно, так как домен LENOVO-15006302 недоступен'
3. Пришлось с помощью F8 откатиться на последний успешный запуск WINDOWS. Сделал новые логи, которые находятся здесь:

Скачать virusinfo_syscure.zip с exfile.ru
Скачать hijackthis.log с exfile.ru

Что делать дальше?

[snifer67]

Выполните скрипт в avz

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\System32\nzorbe.dll','');
 DeleteFile('C:\WINDOWS\System32\nzorbe.dll');
 QuarantineFile('C:\WINDOWS\system','');
 QuarantineFile('C:\WINDOWS\System32\Drivers\sfc.SYS','');
if FileExists('C:\WINDOWS\System32\dllcache\sfcfiles.dll') then begin
  RenameFile('C:\WINDOWS\System32\sfcfiles.dll', 'C:\WINDOWS\System32\sfcfiles.bak');
  CopyFile('C:\WINDOWS\System32\dllcache\sfcfiles.dll', 'C:\WINDOWS\System32\sfcfiles.dll');
 end else
  AddToLog('Ошибка - не найден эталонный файл');
 DeleteFile('C:\WINDOWS\System32\Drivers\sfc.SYS');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
ExecuteRepair(13);
RebootWindows(true);
end.

ПК перезагрузится.

Выполнить скрипт в AVZ.

var
  qfolder: string;
  qname: string;
begin
  qname := GetAVZDirectory + '..\Quarantine\quarantine.zip';
  qfolder := ExtractFilePath(qname);
  if (not DirectoryExists(qfolder)) then CreateDirectory(qfolder);
  CreateQurantineArchive(qname);
  ExecuteFile('explorer.exe', qfolder, 1, 0, false);
end.

Вы увидите папку с архивом. Это - карантин.
Карантин отправьте на newvirus@tut.by
Сделайте новые логи.

[alexbry]

Карантин отправил, новые логи находятся здесь:

Скачать virusinfo_syscure.zip с exfile.ru
Скачать hijackthis.log с exfile.ru

[snifer67]

Скачайте ComboFix здесь, здесь, и сохраните на рабочий стол.

1.Внимание!Обязательно закройте все браузеры, временно выключите антивирус, firewall и другое защитное программное обеспечение. Не запускайте других программ во время работы Combofix. Combofix может отключить интернет через некоторое время после запуска, не переподключайте интернет пока Combofix не завершит работу. Если интернет не появился после окончания работы Combofix, перезагрузите компьютер. Во время работы Combofix не нажимайте кнопки мыши, это может стать причиной зависания Combofix.
2. Запустите combofix.exe, когда процесс завершится, запакуйте файл C:\ComboFix.txt и прикрепите к сообщению.
Прим: В случае, если ComboFix не запускается, переименуйте combofix.exe в combo-fix.exe

[alexbry]

Сообщение от snifer67

Скачайте ComboFix здесь, здесь, и сохраните на рабочий стол.

1.Внимание!Обязательно закройте все браузеры, временно выключите антивирус, firewall и другое защитное программное обеспечение. Не запускайте других программ во время работы Combofix. Combofix может отключить интернет через некоторое время после запуска, не переподключайте интернет пока Combofix не завершит работу. Если интернет не появился после окончания работы Combofix, перезагрузите компьютер. Во время работы Combofix не нажимайте кнопки мыши, это может стать причиной зависания Combofix.
2. Запустите combofix.exe, когда процесс завершится, запакуйте файл C:\ComboFix.txt и прикрепите к сообщению.
Прим: В случае, если ComboFix не запускается, переименуйте combofix.exe в combo-fix.exe

Не могу завершить ComboFix. Он запускается, открывает DOS окно - и все. Висит без движения. При этом процессор загружен на 50%. Сколько прмерно должен работать ComboFix&
Правда, мне не удалось полностью "обезвредить" Symantec Endpoint Protection. Я постарался остановить все его процессы через msconfig.
В процессе всех этих действий снова стало появляться сообщение с пресловутым rqfp.kmo, с котрого все и началось.

[snifer67]

Повторите стандартные логи.

[alexbry]

Сообщение от snifer67

Повторите стандартные логи.

Вот они:

Скачать virusinfo_syscure.zip с WebFile.RU
Скачать hijackthis.log с WebFile.RU

[winshelp]

alexbry, здравствуйте.
Смотрю логи и пишу скрипт.

[alexbry]

Сообщение от winshelp

alexbry, здравствуйте.
Смотрю логи и пишу скрипт.

Спасибо, жду.

[winshelp]

Отключите компьютер от Интернет/локалки.
Закройте/отключите на время выполнения скрипта всё защитное ПО !!!
Как выполнять скрипт и фиксить читаем здесь: http://pchelpforum.ru/f26/t24207/

Профиксите в HiJackThis:

F2 - REG:system.ini: Shell=Explorer.exe rundll32.exe rqfp.kmo vkkrh

Закройте/выгрузите все программы кроме AVZ.
AVZ, файл, выполнить скрипт - в открывшееся окно внимательно!!! вставить текст:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
ClearHostsFile;
DeleteFile('C:\WINDOWS\System32\Drivers\sfc.SYS');
DeleteFile('c:\c87362a63db3c5b979\wgasetup.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SYSTEM\CurrentControlSet\Services\Eventlog\Application\WgaSetup','EventMessageFile');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
ExecuteRepair(16);
ExecuteRepair(20);
ExecuteWizard('TSW', 2, 2, true);
ExecuteWizard('SCU', 2, 2, true);
RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.
Выполните в avz стандартный скрипт №2 и архив virusinfo_syscheck.zip
залейте на файлообменник http://exfile.ru - и ссылку на форум.

+ отпишитесь что с проблемой!

[alexbry]

Процедура выполнена, но не сразу.

Попытка 1. При выполнении скрипта avz система выпала в голубой экран, но продолжила перезагрузку самостоятельно. После перезагрузки зависла намертво.
Пришлось сделать PowerOff/PowerOn.

Попытка 2. Скрипты выполнены успешно. Лог скрипта No2 находится здесь:

Скачать virusinfo_syscheck.zip с WebFile.RU

rqfp.kmo пока никак не проявляется