Компьютерный форум OSzone.net  

Компьютерный форум OSzone.net (http://forum.oszone.net/index.php)
-   Лечение систем от вредоносных программ (http://forum.oszone.net/forumdisplay.php?f=87)
-   -   nt authority system services.exe (http://forum.oszone.net/showthread.php?t=180870)

Nefrit 18-07-2010 19:04 1455597
nt authority system services.exe
 
Вложений: 2
Помогите решить проблему вылетает окошко с перезапуском системы через 1 мин и там написано nt authority system services.exe
и не заходит на сайты с антивирусами

help? 18-07-2010 19:43 1455614
Привет:)Смотрю логи.
AVZ 4.30
Вы откуда такую откопали??Скачайте новую с офф сайта-http://z-oleg.com/secur/avz/
Перечитайте правила:нужно два архива от авз.

Nefrit 18-07-2010 20:02 1455621
по этому адресу не грузит страницу меня
у меня ели ели интернет работает

help? 18-07-2010 20:29 1455628
Вложений: 1
Прикрепил.Логи авз такие нужны:
virusinfo_syscure.zip;
virusinfo_syscheck.zip
В правилах написано, как это сделать.
А также в вашем случае заражения нужны еще доп. логи к авз:
Скачайте RSIT или отсюда. Запустите, выберите проверку файлов за последние три месяца и нажмите продолжить. Должны открыться два отчета log.txt и info.txt. Прикрепите их к следующему сообщению. Если вы их закрыли, то логи по умолчанию сохраняются в одноименной папке (RSIT) в корне системного диска.

Nefrit 18-07-2010 20:42 1455635
проблема база авз4 не обновляется он виснет и скачать по ссылке тоже немогу страница не открывается

help? 18-07-2010 20:52 1455642
Я прикрепил к сообщению-оттуда качайте.
Пуск - Выполнить - Вввести route -f, нажать ОК и перезагрузиться.
Доступ к сайтам должен появиться, но вирусы останутся, поэтому выполняйте рекомендации 4сообщения!

Nefrit 18-07-2010 20:59 1455645
Вложений: 1
запустил rsit вот что выдало

help? 18-07-2010 21:20 1455648
пофиксить эти строки
Код:
F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,C:\WINDOWS\system32\d3eda52c.exe,C:\WINDOWS\system32\vlcjqd.exe,
O2 - BHO: (no name) - {055FD26D-3A88-4e15-963D-DC8493744B1D} - (no file)
O2 - BHO: (no name) - {A5366673-E8CA-11D3-9CD9-0090271D075B} - (no file)
O2 - BHO: TBSB02139 Class - {B4780EB4-503B-46CF-8A7F-2A99B2D0657D} - (no file)
O2 - BHO: (no name) - {FFFC57DB-1DE3-4303-B24D-CEE6DCDD3D86} - (no file)
O3 - Toolbar: (no name) - {855F3B16-6D32-4fe6-8A56-BBB695989046} - (no file)
Скачайте OTM by OldTimer или с зеркала и сохраните на рабочий стол.
Запустите OTM (в ОС Windows Vista необходимо запускать через правую кн. мыши от имени администратора)
временно выключите антивирус, firewall и другое защитное программное обеспечение. Выделите и скопируйте текст ниже (Ctrl+C)
Код:
:Processes
explorer.exe

:Services

:Files
C:\WINDOWS\system32\kwpwvdy.exe
C:\WINDOWS\system32\ncyedmi.exe
C:\WINDOWS\system32\zjxbine.exe
C:\WINDOWS\system32\15a2fe11.exe
C:\lrh3szd9.exe
C:\WINDOWS\system32\qsweles.exe
C:\WINDOWS\system32\nhoihkc.exe
C:\WINDOWS\system32\eipiovx.exe
C:\WINDOWS\system32\vyemfwk.exe
C:\WINDOWS\system32\loowmrm.exe
C:\WINDOWS\system32\ryryrvs.exe
C:\WINDOWS\system32\pdvlnxg.exe
C:\WINDOWS\system32\cvelcfx.exe
C:\WINDOWS\system32\ycwhfdi.exe
C:\WINDOWS\system32\yxahswg.exe
C:\WINDOWS\system32\cleripl.exe
C:\WINDOWS\system32\wlgrpzp.exe
C:\WINDOWS\system32\vimwxar.exe
C:\Program Files\Common Files\keylog.txt
C:\WINDOWS\system32\vlcjqd.exe
C:\WINDOWS\system32\d3eda52c.exe
C:\WINDOWS\ju.exe

:Reg
[HKEY_LOCAL_MACHINE\system\currentcontrolset\services\sharedaccess\parameters\firewallpolicy\standardprofile\authorizedapplications\list]
"C:\WINDOWS\ju.exe"=-

:Commands
[purity]
[emptytemp]
[start explorer]
[Reboot]
В OTM под панелью "Paste Instructions for Items to be Moved" (под желтой панелью) вставьте скопированный текст и нажмите кнопку "MoveIt!".

Компьютер перезагрузится.
Повторите логи RSIT.Сделайте логи авз.

Nefrit 18-07-2010 22:41 1455691
Вложений: 1
вот что вышло

help? 18-07-2010 22:58 1455705
• Скрипт AVZ.
Выполните скрипт AVZ. Меню Файл - Выполнить скрипт, вставляем написаный скрипт - кнопка Запустить, после выполнения компьютер перезагрузится.
Выполнить скрипт в авз:
Код:
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\New Folder\PartyPoker\RunApp.exe','');
 QuarantineFile('C:\Documents and Settings\Шурик\Рабочий стол\МОЯ ПАПКА 19.07.09\флешки 14 10 09\флешка моя\USB DISK (G)\Объекты\Документы к акту рабочей комиссии\Акт Стапель 2 07 10 04 .doc','');
 QuarantineFile('C:\WINDOWS\system32\drivers\df.sys','');
 QuarantineFile('C:\DOCUME~1\C272~1\LOCALS~1\Temp\hpdj.exe','');
 QuarantineFile('C:\WINDOWS\system32\vlcjqd.exe','');
 QuarantineFile('C:\WINDOWS\system32\d3eda52c.exe','');
 QuarantineFile('C:\thumbs.db','');
 QuarantineFile('C:\Documents and Settings\Шурик\.exe','');
 DeleteFile('C:\Documents and Settings\Шурик\.exe');
 DeleteFile('C:\WINDOWS\system32\d3eda52c.exe');
 DeleteFile('C:\WINDOWS\system32\vlcjqd.exe');
 DeleteFile('C:\thumbs.db');
RegKeyStrParamWrite('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon','UserInit', GetEnvironmentVariable ('WinDir')+'\System32\userinit.exe,');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
ExecuteRepair(20);
RebootWindows(true);
end.
После всех процедур выполните скрипт
Код:
begin
 CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.
В результате выполнения скрипта будет сформирован карантин quarantine.zip. Отправьте полученный файл quarantine.zip из папки AVZ через данную форму. В строке "Подробное описание возникшей ситуации:", напишите пароль на архив "virus" (без кавычек), в строке "Электронный адрес:" укажите свой электронный адрес. Результаты ответа, сообщите здесь, в теме.
Логи RSIT не полные.Нужен еще log.txt
Повторите логи авз+логи RSIT(полные).
Мой скрипт в OTM выполняли, фиксили?

C:\New Folder\PartyPoker\
Известно, играете в покер?
C:\WINDOWS\system32\drivers\df.sys
Проверьте этот файл на www.virustotal.com и выложите ссылку на результаты проверок.

Nefrit 18-07-2010 23:17 1455715
Вложений: 1
скрипты ОТМ выполнял, фиксил
немного раньше играл

http://www.virustotal.com/ru/reanali...7a4-1279480679

Nefrit 18-07-2010 23:23 1455720
а вот что ответили в касперском

.exe - Backdoor.Win32.Shiz.mp

В настоящий момент этот файл определяется антивирусом со свежими антивирусными базами.

bcqr00003.dat,
bcqr00004.dat,
thumbs.db,
Акт Стапель 2 07 10 04 .doc

Файлы в процессе обработки.

bcqr00005.dat,
bcqr00006.dat,
df.sys

Вредоносный код в файлах не обнаружен.

С уважением, Лаборатория Касперского

help? 18-07-2010 23:54 1455731
Запустите HijackThis еще раз, для этого кликните Пуск, Выполнить, введите
Код:
C:\Program Files\trend micro\Шурик.exe
и нажмите Enter.
Откроется главное меню программы HijackThis.
Кликните по кнопке Do a system scan only.
Далее отметьте галочкой (слева) следующие строки, если они присутствуют:
Код:
F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,C:\WINDOWS\system32\d3eda52c.exe,C:\WINDOWS\system32\vlcjqd.exe,
Закройте все запущенные программы.
Кликните по кнопке Fix и подтвердите свои действия выбрав YES.
Запустите OTM еще раз (в ОС Windows Vista необходимо запускать через правую кн. мыши от имени администратора)
временно выключите антивирус, firewall и другое защитное программное обеспечение. Выделите и скопируйте текст ниже (Ctrl+C)
Код:
:Processes
explorer.exe

:Services

:Files
C:\WINDOWS\system32\qvphzfw.exe
C:\WINDOWS\system32\sgkixsc.exe
C:\WINDOWS\system32\keuipzo.exe

:Reg

:Commands
[purity]
[emptytemp]
[start explorer]
[Reboot]
В OTM под панелью "Paste Instructions for Items to be Moved" (под желтой панелью) вставьте скопированный текст и нажмите кнопку "MoveIt!".

Компьютер перезагрузится.
IE7proSetup_2.0_[tfile.ru].exe
C:\Program Files\WebMoney Advisor
C:\Program Files\IEPro
Известно, САМИ СТАВИЛИ?
Повторите эти логи:
RSIT;
AVZ.

Nefrit 19-07-2010 00:15 1455742
кода я не нашол
F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,C:\WINDOWS\system32\d3eda52c.exe,C:\WINDOWS\system32\vlcjq d.exe
щас вот логи проверяю,
а программы вроде сам ставил :unsure:

Nefrit 19-07-2010 00:33 1455756
Вложений: 1
а вот и логи

help? 19-07-2010 15:02 1456064
Почти вылечели компьютер.Кое-что осталось.
Выполните скрипт в авз:
Код:
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\system32\anpla.dll','');
 DeleteFile('C:\WINDOWS\system32\anpla.dll');
DelBHO('1DFA2A6E-3CB3-4141-A96F-D42244A6B50E');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
end.
После перезагрузки:
Код:
begin
CreateQurantineArchive(GetAVZDirectory+'quarantine1.zip');
end.
В результате выполнения скрипта будет сформирован карантин quarantine1.zip. Отправьте полученный файл quarantine.zip из папки AVZ через данную форму. В строке "Подробное описание возникшей ситуации:", напишите пароль на архив "virus" (без кавычек), в строке "Электронный адрес:" укажите свой электронный адрес. Результаты ответа, сообщите здесь, в теме.
Повторите логи авз.
Обновите обязательно:
IE(даже если не пользуетесь!);
- Windows XP SP3(все заплатки поставьте и 3 пак установите).
Adobe Acrobat

Nefrit 20-07-2010 12:35 1456622
вот логи , а ответ в касперском еще не прислали

help? 20-07-2010 13:43 1456656
Очистить и создать новую контрольную точку восстановления, чтобы если во время лечения произошла непредвиденная ситуация, пользователь мог вернуть систему к предыдущему состоянию:
1. Нажмите Пуск - Программы – Стандартные – Служебные – Очистка диска, выберите системный диск, на вкладке Дополнительно-Восстановление системы нажмите Очистить
2. Нажмите Пуск- Программы – Стандартные – Служебные – Восстановление системы, выберите Создать точку восстановления, нажмите Далее, введите имя точки восстановления и нажмите Создать.
1. скачайте http://www.atribune.org/ccount/click.php?id=1, запустите, поставьте галочку напротив Select All и нажмите Empty Selected.
2. если вы используете Firefox, нажмите Firefox - Select All - Empty Selected
3. нажмите No, если вы хотите оставить ваши сохраненные пароли
4. если вы используете Opera, нажмите Opera - Select All - Empty Selected
5. нажмите No, если вы хотите оставить ваши сохраненные пароли.

Ваш документ, известен?
C:\Documents and Settings\Шурик\Рабочий стол\МОЯ ПАПКА 19.07.09\флешки 14 10 09\флешка моя\USB DISK (G)\Объекты\Документы к акту рабочей комиссии\Акт Стапель 2 07 10 04 .doc
Подозрение одно осталось, так как не прошел по базе безопасных системный драйвер.
Cкачайте Gmer или с зеркала. Запустите программу. После автоматической экспресс-проверки, отметьте галочкой все жесткие диски и нажмите на кнопку Scan. После окончания проверки сохраните его лог (нажмите на кнопку Save) под каким хотите именем, например Gmer.log и прикрепите лог сюда.
Что проблемами?
C:\WINDOWS\system32\DRIVERS\atapi.sys
Проверьте файл на www.virustotal.com
если уже проверялся нажмите повторить анализ сейчас.

Nefrit 20-07-2010 14:52 1456690
Gmer выдает ошибку при запуске после чего камп начинает жутко лагать

по поводу C:\WINDOWS\system32\DRIVERS\atapi.sys
выдает 0 bytes size received / Se ha recibido un archivo vacio

а от касперского прислали
Здравствуйте,

Это сообщение сформировано автоматической системой приёма писем. Сообщение содержит информацию о том, какие вердикты на файлы (если таковые есть в письме) выносит антивирус с последними обновлениями. Письмо будет передано на рассмотрение вирусному аналитику.

С уважением, Лаборатория Касперского
>> From: tatowka.85@mail.ru
>> Sent: 20.07.2010 7:44:19
>> To: newvirus@kaspersky.com
>> Subject: [VirLabSRF][Malicious file analysis][M:1][LN:RU][L:0]
>>
>>
>> LANG: ru
>> email: tatowka.85@mail.ru
>>
>> description:
>> пароль на архив virus
>>
>> Загруженные файлы:
>> quarantine1.zip

help? 20-07-2010 15:07 1456703
Выполните скрипт в авз:
Код:
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\system32\DRIVERS\atapi.sys','');
BC_ImportQuarantineList;
BC_QrFile('C:\WINDOWS\system32\DRIVERS\atapi.sys');
BC_Activate;
RebootWindows(true);
end.
ПОсле еще скрипт:
Код:
begin
CreateQurantineArchive(GetAVZDirectory+'atapi.zip');
end.
atapi.zip из папки авз пришлите на:
Anti-Spyware2010@yandex.ru

Nefrit 20-07-2010 17:27 1456791
вроде как отправил atapi.zip

help? 20-07-2010 20:17 1456939
Проверится этим и выложить лог работы

Nefrit 20-07-2010 21:47 1457001
Вложений: 1
вот

help? 20-07-2010 22:01 1457010
Проблемы остались?
C:\Documents and Settings\Шурик\Рабочий стол\МОЯ ПАПКА 19.07.09\флешки 14 10 09\флешка моя\USB DISK (G)\Объекты\Документы к акту рабочей комиссии\Акт Стапель 2 07 10 04 .doc
известно вам??

Nefrit 20-07-2010 22:02 1457011
вроде нет, спасибо огромное что помогли :up :yahoo:

help? 20-07-2010 22:06 1457019
Замечательно.Скачайте
http://www.kaspersky.ru/support/avpt...?qid=208637130
и проверьте этим систему.Если что найдет, то удалите.А так чисто.:)


Время: 10:57.

Время: 10:57.
© OSzone.net 2001-