Компьютерный форум OSzone.net  

Компьютерный форум OSzone.net (http://forum.oszone.net/index.php)
-   Лечение систем от вредоносных программ (http://forum.oszone.net/forumdisplay.php?f=87)
-   -   [решено] вирус блокирующий сеть (http://forum.oszone.net/showthread.php?t=163305)

seman 12-01-2010 21:16 1318583
вирус блокирующий сеть
 
Внезапно комп стал зависать. загружается очень медленно. касперский появляется в трее спустя 15 минут.
проверка gmerом ничего не показала. Malwarebytes' Anti-Malware показал - все чисто. (как то странно)
однажды каспер вывел окно с указанием вируса и попросил перезагрузиться чтобы вылечить, в итоге - ничего.
в автозагрузке висели 2 файла подозрительных - удалил их из автозагрузки.
пункт выполнить был заблокирован, после утилитки combofix (если мне память не изменяет) пункт появился.
сеть пропала совсем. Даже невозможно получить ip адрес от DHCP сервера.

Drongo 12-01-2010 21:59 1318630
seman, Здравствуйте. :)

Отключите интернет и локальную сеть если таковая имеется.
  1. Очистите временные файлы.

    Пуск-Программы-Стандартные-Служебные-Очистка диска или с помощью ATF Cleaner
    - скачайте ATF Cleaner или с зеркала, запустите, поставьте галочку напротив Select All и нажмите Empty Selected.
    - если вы используете Firefox, нажмите Firefox - Select All - Empty Selected
    - нажмите No, если вы хотите оставить ваши сохраненные пароли
    - если вы используете Opera, нажмите Opera - Select All - Empty Selected
    - нажмите No, если вы хотите оставить ваши сохраненные пароли.

  2. Восстановление системы. Создание новой контрольной точки восстановления и очистка предыдущих.
    • Создание новой точки восстановления: Нажмите Пуск => Программы => Стандартные => Служебные => Восстановление системы, выберите Создать точку восстановления, нажмите Далее, введите имя точки восстановления и нажмите Создать
    • Очистка всех предыдущих точек восстановления: Нажмите Пуск => Программы => Стандартные => Служебные => Очистка диска, выберите системный диск, на вкладке Дополнительно => Восстановление системы нажмите Очистить, нажмите Да для очистки всех точек восстановления, кроме последней.

* Как это сделать, подробно можно прочитать в этой теме.


• HiJackThis Нужно пофиксить эти строки в HiJackThis. Выставив галочки напротив этих пунктов и нажмите кнопку Fix Checked. Как пофиксить в HijackThis
Код:
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k

• Скрипт AVZ.
Выполните скрипт AVZ. Меню Файл - Выполнить скрипт, вставляем написаный скрипт - кнопка Запустить, после выполнения компьютер перезагрузится.
Код:
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\Installer\{FB64BF25-3593-4E4E-AA85-84AEF1D1475F}\NewShortcut1.FCA9991C_BA96_4189_B2BE_13852649CA68.exe','');
 QuarantineFile('C:\WINDOWS\Installer\132b7.msi','');
 QuarantineFile('C:\WINDOWS\Downloaded Installations\BMP\{1010925C-CEA9-49ED-AB1F-BDA72379C99B}\BACS.msi','');
 QuarantineFile('0.exe','');
 DeleteFile('0.exe');
 DeleteFile('C:\WINDOWS\Downloaded Installations\BMP\{1010925C-CEA9-49ED-AB1F-BDA72379C99B}\BACS.msi');
 DeleteFile('C:\WINDOWS\Installer\132b7.msi');
 DeleteFile('C:\WINDOWS\Installer\{FB64BF25-3593-4E4E-AA85-84AEF1D1475F}\NewShortcut1.FCA9991C_BA96_4189_B2BE_13852649CA68.exe');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\WOW\boot','previousProjectorProcessID');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
 ExecuteRepair(13);
RebootWindows(true);
end.
После всех процедур выполните скрипт
Код:
begin
 CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.
В результате выполнения скрипта будет сформирован карантин quarantine.zip Вышлите полученный файл quarantine.zip на newvirus@kaspersky.com. Результаты ответа, сообщите здесь, в теме


Повторите логи и что с проблемой?

seman 13-01-2010 10:36 1318968
Drongo
после выполнения скрипта появилась ошибка runtime error 261 (память обратилась....)
нов итоге он сделал свое дело, удалил все.
сеть однако по-прежнему отсутствует. (ip адрес не получает от сервера провайдера)
после загрузки появляется рабочий стол быстро, однако долго думает минут 5-8 до загрузки элементов трея.

давно еще заметил появление в автозагрузке 2 подозрит-х файла
hpothb07.dat ,hpothb07.tif
убрал их из автозагрузки, почистил реестр. однако они появляются в папке Мои документы
пробЫвал пофиксить
O4 - .DEFAULT User Startup: hpothb07.dat (User 'Default user')
O4 - .DEFAULT User Startup: hpothb07.tif (User 'Default user')
не вышло, они все равно появляются там.
Что это может быть?

Drongo 13-01-2010 13:39 1319108
seman, Попробуйте эту рекомендацию. Это для восстановления сети. Со своей операционной системы запустите WinsockXPFix. А дальше следуйте рекомендациям по иструкции.

Если первый совет поможет, то вторую рекомендацию можно не выполнять, в противном случае выполните и её.

Скачайте SDFix, загрузитесь в безопасном режиме, запустите утилиту (запустить RunThis.bat - подтвердить, нажав "Y"), после окончания сканирования скопируйте текст из C:\Report.txt и вставьте в следующее сообщение или запакуйте файл C:\Report.txt и прикрепите к сообщению
Описание SDFix есть здесь.

seman 13-01-2010 20:09 1319396
Drongo
спасибо. получилось. еще такой вопрос. после выполнения скрипта, появилась ошибка и теперь она постоянно появляется после завершения работы.
runtime error 216 at 02e431f2 explorer.exe
память обратилась......

в последних логах все чисто?

Drongo 13-01-2010 20:34 1319418
Цитата:
Цитата seman
в последних логах все чисто? »
Вредного ничего не увидел

Цитата:
Цитата seman
еще такой вопрос. после выполнения скрипта, появилась ошибка и теперь она постоянно появляется после завершения работы.
runtime error 216 at 02e431f2 explorer.exe »
Без понятия что это может быть. Если есть дистрибутив с операционной системой, вставьте его в привод.

Пуск - выполнить - введите sfc \scannow.

seman 13-01-2010 20:48 1319432
Drongo
ок. если ошибка еще появится попробую сп3 накатить.

спасибо за помощь.


Время: 22:43.

Время: 22:43.
© OSzone.net 2001-