Компьютерный форум OSzone.net  

Компьютерный форум OSzone.net (http://forum.oszone.net/index.php)
-   Лечение систем от вредоносных программ (http://forum.oszone.net/forumdisplay.php?f=87)
-   -   [решено] Не открываются сайты антивирусов, заблокирован реестр и диспетчер файлов... (http://forum.oszone.net/showthread.php?t=135936)

Anna-Lisovskaya 26-03-2009 16:33 1075398
Не открываются сайты антивирусов, заблокирован реестр и диспетчер файлов...
 
Вложений: 1
Здравствуйте! Заблокированы антивирусы, не могу зайти на официальный сайт майкрософт, вороче вирус! Очень не хочу переустанавливать систему заново.

Pili 26-03-2009 17:42 1075477
Anna-Lisovskaya, Здравствуйте.
Предварительно, для предотвращения заражения в ходе лечения, отключите автозапуск со съемных носителей, включите брандмауэр windows и уберите в исключениях брандмауэра общий доступ к файлам и принтерам.
Проверьте файлы
C:\WINDOWS\System32\dllhook.dll
C:\Program Files\Messenger\msmsgs.exe
на virustotal.com, результаты сообщите или выложите сылку на рез-т проверки.
Запустите AVZ, далее в меню файл - выполнить скрипт, выделите и скопируйте текст ниже в окно выполнения скрипта AVZ, временно выключите антивирус и другое защитное программное обеспечение, нажмите кнопку «Запустить».
Код:
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 TerminateProcessByName('c:\docume~1\dd46~1\locals~1\temp\winenoj.exe');
 SetServiceStart('abp470n5', 4);
 QuarantineFile('C:\Documents and Settings\All Users\Application Data\Microsoft\Network\Downloader\qmgr1.dat','');
 QuarantineFile('C:\Documents and Settings\All Users\Application Data\Microsoft\Network\Downloader\qmgr0.dat','');
 QuarantineFile('C:\Qoobox\Quarantine\C\WINDOWS\system32\drivers\alg.exe.vir','');
 QuarantineFile('C:\Program Files\Messenger\msmsgs.exe','');
 QuarantineFile('C:\WINDOWS\system32\doxgh.dll','');
 QuarantineFile('C:\WINDOWS\system32\drivers\kgojjn.sys','');
 QuarantineFile('C:\WINDOWS\System32\dllhook.dll','');
 QuarantineFile('C:\DOCUME~1\DD46~1\LOCALS~1\Temp\winenoj.exe','');
 QuarantineFile('C:\WINDOWS\system32\DRIVERS\76115407.sys','');
 DeleteFile('c:\docume~1\dd46~1\locals~1\temp\winenoj.exe');
 DeleteFile('C:\WINDOWS\system32\drivers\kgojjn.sys');
 DeleteFile('C:\WINDOWS\system32\doxgh.dll');
 DeleteFileMask('%Tmp%', '*.*', true);
 DeleteService('abp470n5');
BC_ImportDeletedList;
ExecuteSysClean;
 BC_DeleteSvc('abp470n5');
BC_Activate;
ExecuteWizard('TSW', 1, 1, true);
ExecuteWizard('BT', 1, 1, true);
RebootWindows(true);
end.
Компьютер перезагрузится. После перезагрузки выполнить ещё скрипт
Код:
begin       
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.
Файл quarantine.zip отправьте в вирлаб VBA (вы вроде этим продуктом пользуетесь), дополнительно можете отправить на newvirus@kaspersky.com (если AVPTool проверяли систему) и на user15802[at]mail.ru

По логам у вас файловый вирус - см. метод лечения системы от файловых вирусов и червь kido - ознакомьтесь с инструкцией, если утилита kidokiller не поможет, проверьтесь другими утилитами см. здесь не забудьте установить все обновления, затем сделайте логи по правилам, в т.ч. лог gmer
Когда проверитесь по рекомендациям выше, очистите временные файлы, удалите предыдущие точки восстановления (см. правила), затем можете повторить логи, на время лечения рекомендую не использовать общие файловые ресурсы.

Anna-Lisovskaya 27-03-2009 01:02 1075841
я не могу загрузить ни одну антивирусную программу, они либо не скачиваются, либо не распаковываются. А Vba вообще не реагирует и Nod тоже. Только AVZ как-то прорвалась, но не помогает. Я не могу установить антивиры ни из сети, ни с насителей.

Severny 27-03-2009 01:17 1075847
Anna-Lisovskaya,
Скрипт выполнили?

Pili 27-03-2009 08:58 1075947
Вложений: 1
Anna-Lisovskaya, с помощью AVZ бесполезно лечить файловый вирус, но kido скриптом должен удалиться, если брандмауэр включили и скрипт выполнили, то сайты должны открываться.
Скачайте дополнительно приложенную утилиту и проверьте систему.

Anna-Lisovskaya 27-03-2009 16:08 1076334
Вложений: 1
Спасибо за кидо киллера, он немного помог. На сайт майкрософт выхожу, но на антивиры нет. Сделала последний лог. Что мне делать?!!!!!!!!

thyrex 27-03-2009 16:27 1076355
Цитата:
Цитата Pili
По логам у вас файловый вирус - см. метод лечения системы от файловых вирусов
затем сделайте логи по правилам
очистите временные файлы, удалите предыдущие точки восстановления (см. правила),
на время лечения рекомендую не использовать общие файловые ресурсы. »
Все почитали? Все выполнили?
Кроме лога gmer никаких других почему-то нет. Пытались как-то лечить файловый вирус? Неужели нет доступа к какому-нибудь компьютеру, с которого можно попасть на сайты антивирусов?

Anna-Lisovskaya 27-03-2009 16:51 1076378
Я пыталась установить с другого компьютера NOD32, но он не работает, нет реакции, и до конца не удаляется, пишет, что не разрешено администратором. А другие антивирусные программы с насителей не устанавливаются! И утилиты скачать не могу, на сайты с лечениями не заходит.

thyrex 27-03-2009 17:01 1076391
Где новые логи AVZ и HiJack?

Pili 27-03-2009 17:09 1076400
Anna-Lisovskaya, Вы так и не ответили, выполняли ли скрипт и карантин от вас не пришел.
Запустите gmer, нажмите справа от вкладки Rootkit/Malware клавишу >>> выберите вкладку Files. Появится аналог проводника. Найдите файл
C:\WINDOWS\system32\drivers\kgojjn.sys
Нажмите Copy и скопируйте файл в отдельную папку, например C:\virus, далее нажмите Deletе для удаления файла и подтвердите удаление.
Перед установкуой любого другого антивируса удалите VBA32. Вероятно другой компьютер у вас тоже заражен файловым вирусом. Пробовали загружаться с CD и запускать _start.exe от cureit? Dr.Web LiveCD, KAV RescueDisk пробовали использовать? Почитайте внимательно метод лечения системы от файловых вирусов

Anna-Lisovskaya 27-03-2009 17:41 1076432
Я не могу найти C:\WINDOWS\system32\drivers\kgojjn.sys, он есть во вкладке services, а в files нет.

Pili 27-03-2009 18:04 1076465
Anna-Lisovskaya, во вкладке Sevices найдите можно удалить abp470n5
пр.кн.мыши - delete или, если будет недоступно, выберите disable
можете ещё удлить файл с помощью IceSword. Выберите в меню File, появится аналог проводника, найдите в нем файлы, нажмите по нему правой кнопкой мыши и выберите force delete. На запрос подтверждения ответьте "да", в меню Win32 Services, найдите abp470n5, п.к. мыши - Disable
Только это все не поможет, если в системе есть файловый вирус и не пролечили систему с LiveCD, м.б. поможет, если сразу после удаления файла и драйвера запустите проверку антивирусом (например cureit, лучше с CD)

Anna-Lisovskaya 27-03-2009 20:51 1076614
Вложений: 1
Я сделала проверку с помощью утилиты windows, скаченой с сайта майкросоае (он теперь стал доступен) Выкладываю логи.

thyrex 27-03-2009 22:18 1076707
Цитата:
Цитата Pili
Пробовали загружаться с CD и запускать _start.exe от cureit? Dr.Web LiveCD, KAV RescueDisk пробовали использовать? Почитайте внимательно метод лечения системы от файловых вирусов »
Пока Вы не выполните эти рекомендации - лечиться бесполезно. На месте удаленных зловредов уже появились новые
Кроме того у вас Восстановление системы: включено
Заблокирован редактор реестра, диспетчер задач - это является признаком заражения файловым вирусом

Anna-Lisovskaya 28-03-2009 01:58 1076846
Вложений: 1
Удалось установить cureit? он нашел 254 зараженных файла, вроде все вылечил, а что не вылечил - удалил. Но реестр и деспетчер задач опять не открываются. На сайты антивирусов теперь заходит, но не скачивает, а если скачивает в архиве, то все равно не дает распаковать.
Выкладываю отчет cureit ( если надо)

Anna-Lisovskaya 28-03-2009 01:59 1076848
Кстати! Могу удалить папки карантина?

Pili 28-03-2009 14:58 1077138
Anna-Lisovskaya, по логам у вас остался и C:\WINDOWS\system32\drivers\kgojjn.sys и драйвер abp480n5, а это значит файловый вирус у вас всё ещё в системе, вам нужно загрузится с CD и проверится с помощью cureit, предварительно распаковав его, - см. пост 10 и метод лечения системы от файловых вирусов, если это выполните и cureit/AVPTool ничего при сканировании в безопасном режиме не найдут, можете затем делать логи.

Anna-Lisovskaya 28-03-2009 16:28 1077220
Вложений: 1
Ну вобще все стало работать, кажется. Боролась, как могла всю ночь, всем подряд! после усрановки и запуска ряда утилит стал открыватся сайт с антивирусом NOD. Он сначала не устанавливался, а потом начал выдавать ошибку, что у меня Avast стоит и параметр игнора не срабатывает. Он был год назад, но после этого уже переустанавливали виндоус. Его остатков я так и не нашла. И старый NOD, помоему где-то еще торчит. И Vba32 не могу удалить. Короче сейчас NOD работает, вроде все удалил... Зацените, пожалуйста...

Pili 28-03-2009 17:05 1077247
Anna-Lisovskaya, Вы проверли систему, загрузившись с CD?
Найдите с помощью gmer или IceSword и проверьте на virustotal.com
C:\WINDOWS\system32\DRIVERS\76115407.sys
Проверьте также C:\Program Files\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe
ссылку нарез-т проверки выложите.
Выполните скрипт
Код:
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 SetServiceStart('abp470n5', 4);
 QuarantineFile('C:\WINDOWS\system32\UTSCSI.EXE','');
 QuarantineFile('C:\WINDOWS\system32\DRIVERS\76115407.sys','');
 QuarantineFile('C:\WINDOWS\system32\drivers\kgojjn.sys','');
 DeleteFile('C:\WINDOWS\system32\drivers\kgojjn.sys');
 DeleteService('abp470n5');
BC_ImportDeletedList;
ExecuteSysClean;
 BC_DeleteSvc('abp470n5');
 BC_DeleteFile('C:\WINDOWS\system32\drivers\kgojjn.sys');
BC_Activate;
RebootWindows(true);
end.
Компьютер перезагрузится. После перезагрузки выполнить ещё скрипт
Код:
begin       
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.
Файл quarantine.zip отправьте на user15802[at]mail.ru, в письме укажите ссылку на тему

По очистке от VBA - обратитесь на форум разработчка. Частично VBA можно удалить скриптом AVZ
Код:
begin
 DeleteService('Vba32PP3');
 DeleteService('Vba32ifs');
 DeleteService('Vba32ECM');
 DeleteFile('C:\Program Files\Vba32\Vba32ldr.exe');
ExecuteSysClean;
end.
Сделайте новые логи обычной версией AVZ (не game.pif)

Anna-Lisovskaya 28-03-2009 17:36 1077260
http://www.virustotal.com/ru/analisi...ba00076f087aa4
http://www.virustotal.com/ru/analisi...1f83819cd1e1c6

Проверку выполняла не с CD, скачивала.
Такой вопрос: для выполнения скриптов в AVZ нужно обязательно каждый раз запускать (проверку дисков) или можно просто открыть программу и выполнить скрипт?

Anna-Lisovskaya 28-03-2009 20:08 1077359
Вложений: 1
Кажется опять...

thyrex 28-03-2009 20:11 1077362
Запустить AVZ - меню Файл - Выполнить скрипт - вставляете текст предложенного Вам скрипта - запустить
Ждем
Цитата:
Цитата Pili
Сделайте новые логи обычной версией AVZ (не game.pif) »

Pili 30-03-2009 08:38 1078631
Anna-Lisovskaya, Не увидел ответа
Цитата:
Цитата Pili
Вы проверли систему, загрузившись с CD? »
В логах чисто.

Anna-Lisovskaya 31-03-2009 09:38 1079777
Теперь пытюсь на своем компьютере открыть интернет, на всехстраницах в окне какие-то квадраты и мигает это все красным о желтым цветом. Что это?

Pili 31-03-2009 10:07 1079798
Anna-Lisovskaya, Ещё раз, файловый вирус с помощью AVZ вылечить нельзя.
Цитата:
Цитата Pili
вам нужно загрузится с CD и проверится с помощью cureit, предварительно распаковав его, - см. пост 10 и метод лечения системы от файловых вирусов, »
Вы это делали? Проверяли, загрузившись с CD? После проверки и лечения sfc /scannow делали, как написано в рекомендациях?
Остатки от Vba32 удалили?

Anna-Lisovskaya 31-03-2009 13:24 1079972
Вложений: 1
Еще раз проверяю все. Логи выложу. А интернет вот такое выдает и все это мигает н любой странице:

Anna-Lisovskaya 31-03-2009 13:25 1079973
Это может быть вирус?

Pili 31-03-2009 13:51 1079999
Anna-Lisovskaya, эта проблема появляется после проверки с CD и sfc /scannow? В других браузерах проблема тоже появляется?

sough 02-04-2009 23:50 1082595
Pili, огромное спасибо за kido killer - были схожие симптомы, сайт касперского (и прочего антивирусного ПО тоже) не открывался. Случилось заражение во время установки нового ключа для КИС7, пока файрвол был не активен. После активации файрвола просто запустил кидо, он подчистил процессы svhost.exe и всё встало на свои места. Совет Анне - проводить все зачистки от файлового вируса только с выключенным интернетом или включённым на полную блокаду файром, удачи

Котяра 04-04-2009 00:23 1083613
Цитата:
Цитата Anna-Lisovskaya
А интернет вот такое выдает и все это мигает н любой странице: »
Anna-Lisovskaya, что-то больно это все напоминает популярные ныне вирусы-"информеры". Покрупнее картинку можете выложить?

Однако же по логам что-то не вижу его. Поэтому спрошу тоже, что и Pili:
Цитата:
Цитата Pili
В других браузерах проблема тоже появляется? »
Другие браузеры - это Firefox, Opera, Google Chrome.

Anna-Lisovskaya 12-04-2009 01:57 1091465
Всем спасибо огромное за помощь, Проблема решена!!! Переустановила виндоус, просто с таким количеством гадости нет сил и времени бороться. ПерепробЫвала все, но эта сволочь растет,как плесень! Показывала програмистам, они такого не видели раньше и копаться никто не стал. В заключение могу сказать, что нет лучшего антивируса, есть разные.

Pili 13-04-2009 08:24 1092467
Anna-Lisovskaya, пожалуйста.

Тема закрыта. Для открытия темы топикстартер может обратиться в РМ, для всех остальных - создавайте новую тему с учетом правил


Время: 06:32.

Время: 06:32.
© OSzone.net 2001-