Компьютерный форум OSzone.net  

Компьютерный форум OSzone.net (http://forum.oszone.net/index.php)
-   Лечение систем от вредоносных программ (http://forum.oszone.net/forumdisplay.php?f=87)
-   -   [решено] Меня терзают смутные сомнения..... (http://forum.oszone.net/showthread.php?t=107104)

Влачер 16-05-2008 10:45 804094
Меня терзают смутные сомнения.....
 
Здравствуйте, уважаемые гуру.Прежде всего хочу поблагодарить за прошлую помощь.И вот опять сомнения гложут.Недели с 3 назад заметил, что из вордовского документа нельзя перейти по гиперссылке.Причём по любой.Пишет типа что адрес найти не возможно.А если скопировать в браузер, то перейти можно.Потом стал подглючивать PowerDVD 6 Deluxe.То открывает фильмы, то вылетает с ошибкой.В тоже время неро нормально это же запускает.Может сама прога блудит.И вот глючить сильно стал Downloadmaster.ранее не замечен в глюках был.А именно: при попытке посмотреть степень закачки при открытом окне другой-зависает напрочь.Потом ошибка.И вылет.Далее обнаружил большую разницу между фактичеким размером файла и объёмом скачаной инфы.(работал только он-одна закачка).Например, файл 70 метров, было загружен метров 30-35.А в состоянии соединения показывает что скачано аж 50-60 метров.Потом ночью сегодня начали при работе качалки вылетать сообщения, что не хватает памяти.И сама панель проги начала двоиться, т.е.новая панель образовалась на фоне старой.Повозишь по ней курсором- и значки старой понели проступают через новую. Правда сама закачка не прекращается.Но текущее состояние кратковременно зависает.Логи вот.
Кьюрит ничего не показал.НОД молчит
Ещё сейчас заметил на знакомом сайте, что не получается перейти на страницу(2 раз за утро).Вот что выдаёт:

mySQL query error: SELECT f.id as forum_id, f.parent_id, f.subwrap, f.sub_can_post, f.name as forum_name, f.position, f.redirect_on, f.read_perms, c.id as cat_id, c.name
FROM ibf_forums f
LEFT JOIN ibf_categories c ON (c.id=f.category)
WHERE c.state IN (1,2)
ORDER BY c.position, f.position

mySQL error: Got error 28 from storage engine
mySQL error code:
Date: Friday 16th 2008f May 2008 10:01:42 AM

ТроПа 16-05-2008 11:10 804108
Spybot - Search & Destroy и Trojan Remover отключали при создании логов?

Pili 16-05-2008 12:30 804162
Явных зловредов не вижу, найдите и проверьте на virustotal.com файлы
Цитата:
c:\program files\office keyboard driver\cldapp.exe
C:\Documents and Settings\Елена\Application Data\Mail.Ru\Agent\magent.exe
C:\Program Files\Soft4Ever\looknstop\Keygen for LNS 2.06\keygen.exe
FXDrv32.sys
Последний можете поискать через AVZ, подозрительные файлы, в которых нашлось что-то можете отправить на newvirus@kaspersy.com в архиве с паролем virus
Сделайте ещё доп. лог- скачайте и запустите GetSystemInfo (GSI), укажите с помощью обзора папку для сохранения протокола в текстовом формате, заархивируйте полученный файл протокола в архив и прикрепите к сообщению.
Проблемы м.б. из за установленного защитного софта, попробуйте деинсталлировать Look 'n' Stop , Trojan Remover, Ad Muncher и проверить осталась ли проблема, если не поможет, деинсталлируйте Spybot-S&D и NOD (для проверки, потом можете заново поставить)
файл hosts также очень большой - защищает от посещения нежелательных сайтов, но из за этого могут быть тормоза, можно очистить скриптом
Код:
begin
 ClearHostsFile;
end.

Влачер 16-05-2008 19:14 804487
2wise-wistful
Spybot отключал.TRemover сканирует только при запуске системы.Если проверяю, то вручную.Сейчас вспомнил, что ТР оказался обновляться, хотя до последнего времени никаких проблем не было.И у spybot выскакивало сообщение о повреждении Теа timera.

2Pili
FXDrv32.sys я не нашёл.По кейгену отчёт вложен.Хотя фаер стоит с марта и никаких проблем не было. Кстати ТР как помошник что из себя представляет? может НОД и ТР снести, а поставить Авиру 8?
Сейчас когда включил комп, при загрузке при выборе пользователя выскочило сообщение об ошибке в реестре и её исправлении.Вышел на рабочий стол-со значками кавардак, всё перепуталось.Панелька быстрого доступа отключилась.И Spybot очнулся, заговорил об изменениях в реестре.Например заставка скринсейвера называется качели, а он говорит-новое значение-logon.я не дал.потом ещё сообщения пошли.тогда я просто перегрузился.восстановление отключено.

В диспетчере задач 7 svchost висит.Так и должно Быть?

Pili 16-05-2008 21:59 804587
Влачер, keygen можете удалить, к краху системы это не приведет, а вот использовать такие программы не рекомендуется...
выполните скрипт
Код:
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('FXDrv32.sys','');
 QuarantineFile('C:\WINDOWS\system32\DRIVERS\FXDrv32.sys','');
 QuarantineFile('C:\WINDOWS\system32\drivers\Oreans.sys','');
 QuarantineFile('c:\windows\system32\drivers\secdrv.sys','');
BC_ImportQuarantineList;
BC_QrSvc('FXDrv32');
BC_Activate;
RebootWindows(true);
end.
Компьютер перезагрузится. После перезагрузки выполнить ещё скрипт
Код:
begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.
Файл quarantine.zip выслать на user15802[at]mail.ru, в теле письма указать ссылку на тему, или выложить файл на ifolder.ru или другой файлообменник и дать ссылку на него в ПМ (личку).

Защитный софт деинсталлировали (Spybot tea timer и ad muncher тоже) и проблема не решилась?
Look 'n' Stop, Spybot Search & Destroy и NOD32 считаются потенциально не совместимыми.

Влачер 16-05-2008 23:09 804628
Всё почикал, кроме НОДа.Скрипты выполнил,Карантин в пути :yes:
Но меня смущает то, что до последних событий всё это пахало.Мюнчер трафик экономил(у меня дороговато), бот предостерегал, фаер тихонько кирпичики ставил.А нОДик троянчики плохо ловит, я б сказал очень :( Просто было время, когда у меня стояли Каспер5 и НОД.Каспер каку щёлкал, а НОД стоял в углу.ТОка что систему не так грузит.Чем же его подстраховать?А фаер какой к нему? А winpatrol вместо бота?А авира такие нестыковки тоже испытывает?
Ремувер полезная вещь или тока куки удалять?

Влачер 18-05-2008 00:46 805223
И НОД грохнул.Поставил Авиру 8.Она сразу нашла троян.агент в Sistem Volume Information.Пока не смог полностью просканировать ей, может завтра.

Severny 18-05-2008 01:17 805235
Цитата:
Цитата Влачер
Она сразу нашла троян.агент в Sistem Volume Information »
Вообще-то в правилах написано отключить Восстановление системы на время лечения.

Цитата:
Цитата Влачер
Чем же его подстраховать? »
Более одного антивируса не рекомендуется ставить, а для подстраховки CureIt отличный сканер.
Цитата:
Цитата Влачер
ТОка что систему не так грузит. »
Версии Касперского начиная с шестой нагрузки на систему почти не создают после полного сканирования всех разделов.

Влачер 18-05-2008 04:06 805266
До скриптов я отключал восстановление, но галочка отключить почемуто исчезла. :sorry: И авира у меня одна. :unsure: Нода нет.Кьюрит ничего не увидел. :o

Влачер 18-05-2008 10:45 805353
Ещё раз спрошу:В диспетчере задач 7 svchost висит.Так и должно Быть?
Авирой прошёлся- после удаления трояна вроде пока без глюков.
Но гиперссылки с ворда по прежнему не работают.ТОлько теперь появляется сообщение ворда"не удаётся загрузить нужные данные".Хотя при наведении курсором адрес ссылки виден. :sorry: :(

Pili 18-05-2008 12:01 805392
Цитата:
Цитата Влачер
В диспетчере задач 7 svchost висит »
по логам все svchost легальные и находятся в правильной папке
Файлы в карантине чистые (кроме keygen на него м.б. фолс), secdrv.sys в карантин не захотел, поищите его вручную и пришлите (можете одновременно отправить на newvirus@kaspersky.com и проверить на virustotal), результат сообщите.
Цитата:
Цитата Влачер
Авирой прошёлся- после удаления трояна вроде пока без глюков. »
это не из-за того что удалили трояна (по вашим словам он был в папке восстановления), а скорее всего от того что оставили один антивирус и теперь нет конфликтов.
Цитата:
Цитата Влачер
Но гиперссылки с ворда по прежнему не работают »
удалите и установите msoffice заново, посде деинсталяции можно пофиксить (если останется)
Код:
O2 - BHO: Groove GFS Browser Helper - {72853161-30C5-4D22-B7F9-0BBC1D38A37E} - C:\PROGRA~1\MICROS~2\Office12\GRA8E1~1.DLL
O18 - Protocol: grooveLocalGWS - {88FED34C-F0CA-4636-A375-3CB6248B04CD} - C:\PROGRA~1\MICROS~2\Office12\GR99D3~1.DLL
O18 - Protocol: ms-help - {314111C7-A502-11D2-BBCA-00C04F8EC294} - C:\Program Files\Common Files\Microsoft Shared\Help\hxds.dll
O18 - Filter hijack: text/xml - {807563E5-5146-11D5-A672-00B0D022E945} - C:\PROGRA~1\COMMON~1\MICROS~1\OFFICE12\MSOXMLMF.DLL
можете повторить логи

Влачер 18-05-2008 12:29 805419
2Pili
Secdrv.sys проверил на вирустотал и каспеский-онлайн-чисто.
Ну ладно без ремувера проживу.А фаер то всё равно требуется (может сомодо лучше?).И адмюнчер рекламу режет хорошо.А если авира стоит, то спайбот нужен или нет? может винпатрол подойдёт?
Ворд смогу переписать только завтра, дистрибутивы на работе.

Pili 18-05-2008 13:04 805430
Влачер,можно следовать правилу 1 антивирус (если комбайн, т.е. все в одном как у KIS, этого достаточно), 1 программа типа spybot, и 1 фаевролл, не рекомендуется ставить одновременно несколько продуктов, в которых "всё в одном", т.е есть антивирус, фаерволл и прочее, напр. KIS и outpost приживается плохо, хотя можно в принципе настроить, Avira, spybot и Сomodo без проблем, у меня KAV, comodo и firefox c noscript - хватает )
В общем ставьте поочередно то что хотите, только по одному и проверяйте не появляются ли глюки, о совместимости часто написано док. на эти продукты и на форумах производителей

Влачер 18-05-2008 13:23 805439
А фикс из 11 поста без деинсталляции ворда можно сделать?

Pili 18-05-2008 13:48 805449
Влачер, можно, если что ,восстановите обратно через hijakthis
проверьте есть ли файл C:\PROGRA~1\COMMON~1\MICROS~1\OFFICE12\MSOXMLMF.DLL (судя по логам должен быть на месте)

Влачер 18-05-2008 14:48 805489
Пофиксил.Гиперссылки так и не работают.При скане авз постоянно запускается начальная настройка outlook. Логи снова.Файл есть.Как старые вложения удалить? чтото не разобрался

Pili 18-05-2008 15:14 805499
Цитата:
Цитата Влачер
Гиперссылки так и не работают. »
Цитата:
Цитата Pili
удалите и установите msoffice заново »
кстати у меня тоже гиперссылки не работают, я просто в comodo запретил приложениям winword.exe и explorer.exe выходить в инет - если разрешить - работает ;) выглядит это так
Цитата:
Severity :High
Reporter :Application Behavior AnalysisDescription: Suspicious Behaviour (WINWORD.EXE)
Application: C:\Program Files\Microsoft Office\OFFICE11\WINWORD.EXE
Parent: C:\WINDOWS\explorer.exe
Protocol: TCP Out
Destination: ip adress::port
Details: C:\Program Files\Mozilla Firefox\firefox.exe has tried to use C:\Program Files\Microsoft Office\OFFICE11\WINWORD.EXE through OLE Automation, which can be used to hijack other applications.
Если spybot деинсталлировали можете пофиксить
Код:
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - (no file)
и очистить hosts
Код:
begin
 ClearHostsFile;
end.
выполните скрипт
Код:
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 DeleteService('FXDrv32');
 DeleteFile('FXDrv32.sys');
BC_ImportDeletedList;
ExecuteSysClean;
 BC_DeleteSvc('FXDrv32');
BC_Activate;
RebootWindows(true);
end.
повторите лог virusinfo_syscheck.zip
Цитата:
Цитата Влачер
Как старые вложения удалить? »
профиль-файлы (Панель управления » Вложения в сообщениях)

Влачер 18-05-2008 20:39 805694
А настройка оутлука так и должна выскакивать при выполнении стандартных скриптов?

Pili 19-05-2008 09:14 805906
Влачер, нет не должна, если msoffce деинсталлировали (судя по логам - не удалили)
по логам зловредов не видно

Влачер 19-05-2008 12:03 806002
Ладно офис пока не буду трогать.А вот как корректно оутлук снести? мне он дома никак не упал.Конечно есть у меня JV16PT,хороший чистильщик.Можно ли им или как то по другому?
Да, а FXDrv32.sys это что было? Кстати я обнаружил глюк в плагинах к Download Masterу.Есть там такой автосвитчер, меняющий приоритет закачки при падении скорости.А так как жпрс вещь скромная в плане скорости, то переключал очень часто.Начало выскакивать окошко про какойто canvas.Но про недостаток памяти уже жалоб не было.Снёс- все вроде нормально.

Pili 19-05-2008 12:50 806038
Цитата:
Цитата Влачер
офис пока не буду трогать »
тогда восстанавливайте в hijackthis то что пофиксили от - 11 пост (HijackThis- View the list of backups)
Цитата:
Цитата Влачер
А вот как корректно оутлук снести? »
установка/удаление программ - Microsoft Office, с таким вопросом в Программное обеспечение Windows
Цитата:
Цитата Влачер
FXDrv32.sys это что было »
About FXDrv32.sys

Влачер 19-05-2008 13:14 806054
Цитата:
Цитата Pili
FXDrv32.sys »
На троян не похоже вроде, типа хайджекера или бакдора чтоли?по ссылке не понятна квалификация.Вроде никак не обругивается, но предупреждают о старушке :dont-know

Pili 19-05-2008 13:57 806090
Влачер, если очень интересно, можете поискать в google

Влачер 19-05-2008 16:50 806215
Цитата:
Цитата Pili
Влачер, если очень интересно, можете поискать в google »
Поискал, похоже на драйвер видюхи.только он себя ведёт както не правилно, раз его под нож :dont-know

Pili 19-05-2008 18:41 806303
Цитата:
Цитата Влачер
FXDrv32.sys я не нашёл »
FXDrv32 у вас не было в системе физически (вы его и сами не нашли несколькими постами раньше), оставался только мусор в реестре, который был почищен скриптом

Влачер 20-05-2008 05:56 806603
Pili, фикс из 11 поста восстановил.вечером опять глюк был ДМ.Не хотел запускаться иззза повреждённого плагина.Плагин смог удалить только через АВЗ и всё запускается.Вроде и винда стала пошустрее загружаться.Со значками норма.Ну теперь то можно ставить защитный софт или ещё провериться надо?

Pili 20-05-2008 07:59 806643
Цитата:
Цитата Влачер
глюк был ДМ »
для корректного удаления можно поставить программу заново и затем нормально деинсталлировать
Цитата:
Цитата Влачер
Ну теперь то можно ставить защитный софт »
можно, см. рекомендации поста 13
Цитата:
Цитата Влачер
или ещё провериться надо? »
если хотите продолжать проверяться - см тут

Влачер 21-05-2008 00:22 807326
Цитата:
Цитата Pili
если хотите продолжать проверяться - см тут »
Прогнал Авирой - всё чисто.Большое спасибо, Pili.Хочу надеяться, что мне ваша помощь в ближайше время не потребуется. :clapping: :yahoo:

Pili 28-05-2008 16:12 812910
YES-TO, свое мнение по лечению вы можете высказать в теме Обсуждение | Помощь в лечении от вирусов

Влачер 10-06-2008 15:58 823045
Эээххх, чешу репу и опять вам пишу.Теперь на этом компе крутые тормоза.При выходе на рабочий стол всё подвисает и висит 3-5 мин, cltr+alt+del не всегда срабатывает, приходится использовать искусственный БСОД(спасибо вашему форуму за совет!).Начало было в небольших глюках недели полторы назад после установки и последующего сноса Cfocspeeda,tweakmastera.Потом я поставил фаер комодо3, вещь хорошая, но комп стал тормозить сильнее.Снес,думал изза него, поставил агнитум-вообще комп повисал(тормоза в опере при открытии страниц;ограничение скорости траффика; запуск некот.приложений приводил к их появлению в диспетчере процессов, но не на рабочем столе; закрыть или выбрать другие работающие приложения становилось невозможно, всё висло;в трее и панели инструментов не работают значки некоторое время после выхода на рабочий стол)И агнитум снёс.но все глюки так и остались.Сегодня с трудом запустил сетевое соединение через ДАТА-кабель(блютус один раз запустился и отказался работать).Оперу с трудом и тормозами запустил.Авира отказалась обновляться, Update запустился и повесил всё, что можно.После искусственного БСОДа вылетело окно "Сбой инициализации изза остановки рабочей станции", при запуске оперы"CLDAPP-ошибка приложения."АВЗ не нашёл ничего,базы вчера обновил, CureIt в ехешнике и Sistem Volume Information нашёл троян.PWS.Banker.21002. убил и переместил в карантин.Логи кладу, в добавок к основным по собственной инциативе ещё и инфу АВЗ о системе. :help:

Pili 10-06-2008 18:14 823135
Влачер, Keygen for LNS 2.06\keygen.exe вам советовали удалить ранее.
Можете ещё деинсталлировать Look 'n' Stop (или, если это остатки, почистите каким-либо чистильщиком реестра) - с Comodo и Outpost не совместим, а эксперименты по установке и последующему сносу Cfocspeeda,tweakmastera" и прочего аналогичного софта лучше проводить на какой-нибудь тестовой машине.
Пофиксите
Код:
O18 - Protocol: grooveLocalGWS - {88FED34C-F0CA-4636-A375-3CB6248B04CD} - (no file)
O20 - AppInit_DLLs:
Цитата:
Цитата Влачер
CureIt в ехешнике и Sistem Volume Information нашёл троян.PWS.Banker.21002 »
Очистите все предыдущие точки восстановления. Очистите временные папки с помощью ATF-Cleaner

Скачайте Deckard's System Scanner и сохраните на рабочий стол, закройте все программы, включая антивирусные программы и firewall, запустите dss.exe, нажмите ОК, когда закончится процесс сканирования, в блокноте откроются два лог файла main.txt и extra.txt, скопируйте текст и вставьте скопированный текст из main.txt и extra.txt в окно вашего сообщения, если логии окажутся большими, запакуйте файлы main.txt и extra.txt и прикрепите к сообщению

Скачайте ComboFix здесь или здесь и сохраните на рабочий стол (не переименовывайте Combofix).Если вы ранее скачивали Combofix, скачайте новую версию. Сохраните Combofix на рабочий стол.
Не забудьте установить Recovery Console по инструкции - how-to-use-combofix
1. Внимание! Обязательно закройте все браузеры, закройте и отключите все антивирусное и другое защитное программное обеспечение. Не запускайте других программ во время работы Combofix. Combofix может отключить интернет через некоторое время после запуска, не переподключайте интернет пока Combofix не завершит работу. Если интернет не появился после окончания работы Combofix, перезагрузите компьютер. Во время работы Combofix не нажимайте кнопки мыши, это может стать причиной зависания Combofix.
2.Запустите combofix.exe, когда процесс завершится скопируйте и скопируйте текст из C:\ComboFix.txt в сообщение, еcли лог окажется очень большой, запакуйте ComboFix.txt и прикрепите к сообщению
Как использовать ComboFix - how-to-use-combofix

Скачайте SDFix - описание тут, проверьте компьютер в безопасном режиме, после проверки скопируйте текст из C\Report.txt в сообщение или запакуйте C\Report.txt и прикрепите к сообщению.

Влачер 10-06-2008 23:16 823323
Цитата:
Цитата Pili
Keygen for LNS 2.06\keygen.exe вам советовали удалить ранее.
Можете ещё деинсталлировать Look 'n' Stop (или, если это остатки, почистите каким-либо чистильщиком реестра) »
Удалил.Просто чтоб не остаться без экрана, поставил look.вообще то по нему не было замечаний, кроме кряка.
Цитата:
Цитата Pili
O18 - Protocol: grooveLocalGWS - {88FED34C-F0CA-4636-A375-3CB6248B04CD} - (no file)
O20 - AppInit_DLLs: »
При фиксе строки 020 выпала ошибка о невозможности поправить..
DSS дал только один лог.
Цитата:
Цитата Pili
Очистите временные папки с помощью ATF-Cleaner »
Сделал. А как старые точки удалить? ни разу не приходилось. :help:
С комбофиксом пока не разобрался, для консоли восстановления надо на мелкософт выходить вроде, а винда у меня-не из первых рук дяди Билла. :not-me:
После SDfixa трей стал шустрей.
пОКА не выходит консоль запустить с того диска, что есть.Там другая версия винды, не та, что стоит.

Pili 11-06-2008 09:01 823445
Цитата:
Цитата Влачер
А как старые точки удалить? »
см. правила п.1.2
Цитата:
Цитата Влачер
После SDfixa трей стал шустрей. »
SDFix ничего не нашел и не удалял.
По всем логам (AVZ, HijackThis, DSS, SDFix) чисто

Влачер 11-06-2008 11:17 823525
Однако тормоза программ, особенно когда интернет запущен, просто неимоверные.При том память загружена совсем немного.Как же дальше быть?Лог комбофикс всё ещё нужен?Кстати после загрузки винды, перед появлением списка учётных записей, появляется пустое окошко с квадратиками в углу, в котором надо нажать ОК.Опера вообще не может работать спустя некоторое время после выхода в нет.Правда ночью жпрс сам по себе тормозит, но сейчас уж очень сильно.Да и окна на компе должны б открываться побыстрее.Может, мне не мучить себя и вас, а то у меня на CD есть апрельский образ акрониса(
Цитата:
Цитата Pili
FXDrv32 »
)после этого создавал.
Правда на харде акронис не видит образ, про этот глюк узнал недавно(у меня САТА).Посоветуйте пожалуйста.Спасибо

Pili 11-06-2008 16:58 823809
Цитата:
Цитата Влачер
Лог комбофикс всё ещё нужен »
Можете сделать. Проблемы у вас скорее всего не из-за вирусов, а из-за каких-либо установленных программ (и настроек конфигурации), драйверов, железа или самой ОС (сборка)

Влачер 12-06-2008 09:34 824279
А тогда же мне потихоньку проги сносить чтоли? А восстановление акронисом сможет помочь?Или может по другому както надо?Подскажите хоть порядок дей ствий, пожалуйста (или винду заново поставить придётся).Спасибо

Влачер 12-06-2008 16:36 824488
Заметил, что днём опера и комп не так тормозит, особенно когда ничего не качаю.Где и как можно проверить, чем тормоза вызываются? :dont-know

Pili 13-06-2008 09:36 824934
Цитата:
Цитата Влачер
А восстановление акронисом сможет помочь? »
Вы уверены, что образ создан до того как появилась проблема?

Цитата:
Цитата Влачер
Где и как можно проверить, чем тормоза вызываются? »
Process Explorer - тут

KrView - см. напр. эту тему

Посмотрите также Программы для тестирования железа

Цитата:
Цитата Влачер
днём опера и комп не так тормозит »
Проблема м.б. связана с каналом связи.

Зловредов нет, поэтому вам скорее всего в раздел Microsoft Windows XP

Влачер 13-06-2008 13:26 825047
Большое спасибо, Pili.образ акрониса создавал до экспериментов с твикерами сети.отдохну от компа 2 недели,а потом с новыми силами буду потихоньку всё править.самых наилучших вам пожеланий.

Влачер 31-07-2008 20:06 865372
По просьбе уважаемого Severny выкладываю домашние логи. Что то попало в карантин.По моему dll от клавы или мыши и ещё что то.


Время: 12:39.

Время: 12:39.
© OSzone.net 2001-