[решено] комп в "организации" -2 - Компьютерный форум OSzone.net

Компьютерный форум OSzone.net (http://forum.oszone.net/index.php)

- Лечение систем от вредоносных программ (http://forum.oszone.net/forumdisplay.php?f=87)

- - [решено] комп в "организации" -2 (http://forum.oszone.net/showthread.php?t=176382)

комп в "организации" -2

схожая проблема с http://forum.oszone.net/thread-176346.html
так же никакие утилиты не работают.безопасного режима нет.
был подвязан к другому -"здоровому" компьютеру - подчищен утилитками(где то 300 зараженных файлов)
в самой системе все равно антивирь утилитки работать не хотят.
единственные отличия от предыдущего моего вопроса - компьютер обычный -потеря данных не так страшна и есть возможность загрузки с лайва.
(компьютеры -"спаренные", - находятся в одной социальной среде)
логи выложить не могу по причине невозможности запуска утилит.

Цитата:

Цитата yarcev20071

есть возможность загрузки с лайва. »

Так в чём загвоздка? Скачивайте Dr.Web LiveCD - записывайте, проверяйте.

Цитата:

Цитата yarcev20071

логи выложить не могу по причине невозможности запуска оных. »

Даже RSIT запустить нельзя?

• Скачайте RSIT или отсюда. Запустите, выберите проверку файлов за последние три месяца (3 Month) и нажмите продолжить (Continue). Должны открыться два отчета log.txt и info.txt. Прикрепите их к следующему сообщению. Если вы их закрыли, то логи по умолчанию сохраняются в одноименной папке (RSIT) в корне системного диска.

Цитата:

Цитата Drongo

Так в чём загвоздка? Скачивайте Dr.Web LiveCD - записывайте, проверяйте. »

Цитата:

Цитата yarcev20071

был подвязан к другому -"здоровому" компьютеру - подчищен утилитками(где то 300 зараженных файлов) »

тем же самым cureit!( в режиме безопасный с поддержкой командной строки) -(работает только через виртуальную клавиатуру и запускает только cureit!(режим усиленной защиты) остальные утилиты "рубит"
rsit не работает.... выскакивает баннер с 3381. при попытках вбить код - исчезает.
(качаю лайв веба. еще раз посканирую)

yarcev20071, Если заражённый винт был подключен к здоровому компу, и утилиты, вы, говорите "рубит", то может быть здоровый комп вовсе и не здоровый? Мне кажется такого по определению быть не может, чтобы "лежачие" файлы на винте "рубили" утилиты. :no:

нет. утилиты уже на том "нездоровом" компьютере ру..... не дает запустить(соглашусь - в предыдущем посте написал не совсем связно) что то зловещее.(извиняюсь за лирику)
сейчас с лайва др.веб сканирует систему(на нездоровом компе). пока все по нулям.
думаю часа через 2 закончит сканирование.

Если удастся запустить систему, выполняйте правила

Если нет, ищите образ ERD Commander. Нужно будет править реестр

Цитата:

Цитата thyrex

Если нет, ищите образ ERD Commander. Нужно будет править реестр »

пытался.... пока "недогружает"
после веба с лайва еще раз попробую

доктор веб после многочасового сканирования сказал - все нормально.ни одного зараженного файла.
странно, но порнобаннер остался, но уже не выводит никаких цифр, ни номера ни текста. просто при запуске утилит выскакивает, а потом уходит.
хм.... я уже и не знаю.... впервые с таким настырным "противостоянием" сталкиваюсь.....
может батник какой нибудь сработает?
попробую еще раз загрузиться в erd......

в erd загрузился. userinit в норме(до этого...часов 6 назад удалось запустить antiautorun -который поставил стандартное значение)
добавляю снимок загрузки(снимок не ахти, но видно- 1,3мп -телефон)
компьютер (с загруженным эрдом) не выключаю..... итак сложно загрузился.
жду рекомендаций.

Посмотрите в реестре:
ветка

Код:

HKEY_LOCALE_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows

параметр

Код:

AppInit_DLLs

Содержимое этого параметра в своем сообщении напишите

С:WINDOWS\Fonts\CORBELZ.TTF:exaSnrGYA9hVeHelw2hu

Приступаем (все выполнять с LiveCD):
1. Переименуйте указанный файл
2. Очистите значение параметра AppInit_DLLs
3. Перезагрузитесь, пробуйте загрузиться в обычном режиме и выполнить правила

снимок ветки выкладываю. не.... не получилось. там -сумма вложений превышена... ладно перехожу к рекомендациям

Цитата:

Цитата thyrex

файл? значение вообще очистить?(оставить чистым)

Цитата:

Цитата yarcev20071

значение вообще очистить?(оставить чистым) »

Да

А файл поищите на диске и переименуйте

Цитата:

Цитата thyrex

А файл поищите на диске и переименуйте »

расширение менять?
файл шрифта... замаскированный....о блин....как глубоко...

о! все заработало(avz)... скоро будут логи.

еще раз вот(не грузит все... странно)

попытка номер 100

помимо "выдачи" скриптов, которые надеюсь будут, пожалуйста объясните за что этот файл и ветка реестра отвечают и как бороться с похожими проблемами?......(первый раз с таким гадким винлокером сталкиваюсь, обычно стандартные способы срабатывают)

Цитата:

Цитата yarcev20071

помимо "выдачи" скриптов, которые надеюсь будут, пожалуйста объясните за что этот файл и ветка реестра отвечают »

Файл, который Вы переименовали, есть один из компонентов вируса. Он прописывался в параметре, который отвечает за инициализацию динамических библиотек (dll-файлов), которые используют программы в своей работе.
ЕСли помните пред- и постновогоднюю эпидемию вымогателей, они действовали по тому же принципу.

Этот способ борьбы можно применять только к той разновидности блокировщика (на номер 3381), которая была у Вас.

Выполните скрипт в AVZ

Код:

begin

SearchRootkit(true, true);

SetAVZGuardStatus(True);

QuarantineFile('C:\DOCUME~1\Admin\LOCALS~1\Temp\czhfp.exe','');

 QuarantineFile('C:\WINDOWS\system32\gegkmzr.exe','');

 DeleteFile('C:\WINDOWS\system32\gegkmzr.exe');

 DeleteFile('C:\DOCUME~1\Admin\LOCALS~1\Temp\czhfp.exe');

DeleteFile('%windir%\Tasks\autochk.job');

DelBHO('{88888888-8888-8888-8888-888888888888}');

DelBHO('{D4B1E9C9-D5D0-4332-93DF-83762F07131D}');

BC_ImportAll;

ExecuteSysClean;

BC_Activate;

ExecuteRepair(6);

ExecuteRepair(11);

ExecuteRepair(17);

RegKeyIntParamWrite('HKLM', 'SOFTWARE\Microsoft\Windows\CurrentVersion\policies\NonEnum', '{BDEADF00-C265-11D0-BCED-00A0C90AB50F}', 1);

RebootWindows(true);

end.

Компьютер перезагрузится.

Выполните скрипт в AVZ

Код:

begin

CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');

end.

quarantine.zip из папки AVZ отправьте через форму http://support.kaspersky.ru/virlab/helpdesk.html. В строке "Подробное описание возникшей ситуации:" напишите пароль на архив "virus" (без кавычек), в строке "Электронный адрес:" укажите свой электронный адрес. Полученный ответ сообщите здесь.

Также этот архив отправьте на thyrex2002<at>tut.by (at=@) с указанной ссылкой на тему.

Сделайте новые логи

Выполните дополнительно
Скачайте ComboFix здесь, здесь или здесь и сохраните на рабочий стол.

1. Внимание! Обязательно закройте все браузеры, временно выключите антивирус, firewall и другое защитное программное обеспечение. Не запускайте других программ во время работы Combofix. Combofix может отключить интернет через некоторое время после запуска, не переподключайте интернет, пока Combofix не завершит работу. Если интернет не появился после окончания работы Combofix, перезагрузите компьютер. Во время работы Combofix не нажимайте кнопки мыши, это может стать причиной зависания Combofix.
2. Запустите combofix.exe, когда процесс завершится, файл C:\ComboFix.txt прикрепите к сообщению.
Примечание: В случае, если ComboFix не запускается, переименуйте combofix.exe в combo-fix.exe

спасибо... все это уже завтра... почти сегодня.

Ок. Аналогично

карантин отправил в лабораторию касперского и на thyrex2002<at>tut.by at=@
логи выкладываю.

c:\windows\System32\sfcfiles.dll восстановите с дистрибутива http://virusinfo.info/showthread.php?t=51654

Пуск - Выполнить - regedit
В этом ключе

Код:

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\svchost]

в правой части найдите параметр DcomLaunch и из его значений удалите Netprotocol

Скопируйте текст ниже в блокнот и сохраните как файл с названием CFScript.txt на рабочий стол.

Код:

KillAll::



File::

c:\windows\system32\mciwsryu.dll

c:\windows\system32\o.dll

c:\windows\system32\scfbjx.dll

c:\windows\system32\ffdkey.dll

:\windows\system32\vli.dll

c:\windows\system32\x.dll

c:\windows\system32\nkxyvi.dll

c:\windows\system32\sheqze.dll

c:\windows\system32\YPCsUyz.exe



Driver::



Folder::



Registry::



FileLook::



DirLook::

После сохранения переместите CFScript.txt на пиктограмму ComboFix.exe.

Когда сохранится новый отчет ComboFix, запакуйте ComboFix.txt и прикрепите к сообщению.

Цитата:

Цитата thyrex

параметр DcomLaunch и из его значений удалите Netprotocol »

можно узнать...что это?

Еще один файл пропустил - c:\windows\system32\vli.dll. Удалите его вручную.

Цитата:

Цитата yarcev20071

можно узнать...что это? »

У Вас при первом запуске ComboFix была удалена служба, относящаяся к вирусу. А это запись от той службы

Запакуйте, пожалуйста, папку C:\Qoobox\Quarantine с паролем virus и пришлите на thyrex2002<at>tut.by (at=@) с указанной ссылкой на тему.

Деинсталлируйте ComboFix: нажмите Пуск => Выполнить в окне наберите команду Combofix /Uninstall, нажмите кнопку "ОК"

Скачайте OTCleanIt или с зеркала, запустите, нажмите Clean up

В остальном порядок

Установите Internet Explorer 8 (даже если им не пользуетесь)
Установите Adobe Acrobat 9.3 или удалите старый

P.S. Теперь Вам понятен принцип действия и во второй Вашей теме

все выполнил. спасибо за помощь!
встретимся здесь - http://forum.oszone.net/thread-176346.html на выходных.