Вирусы во временных папках, мониторинг реестра (запрет диспетчера задач)

Pili · Отправлено: **11:36, 25-02-2009** | #11

D_Master, С помощью cureit и AVPTool систему проверяли? Возможно система заражена файловым вирусом, об этом свидетельствует наличие драйвера abp470n5, бороться с файловым вирусом с помощью avz и др. подобных утилит бессмысленно, см. метод лечения системы от файловых вирусов, сканировать c помошью AVPTool и CureIt до тех пор, пока вирусы не перестанут находится - лучше с LiveCD - Dr.Web LiveCD. Второй винт пока отключите и/или проверьте отдельно.
По логам я не увидел в системе установленного антивируса, рекомендую установить, например Avira AntiVir
проверьте на virustotal.com файлы

Код:

C:\DOCUME~1\User\LOCALS~1\Temp\iqmart.exe
C:\DOCUME~1\User\LOCALS~1\Temp\mtlokp.exe
C:\DOCUME~1\User\LOCALS~1\Temp\winjuou.exe
C:\DOCUME~1\User\LOCALS~1\Temp\winjiwr.exe

Рекомендую почистить все файлы из временных папок с помощью ATF Cleaner, в правилах об этом есть.
Проверьте файлы, не прошедшие проверку по базе безопасных AVZ, например

Код:

c:\windows\explorer.exe
c:\windows\soundman.exe
C:\WINDOWS\system32\sfc_os.dll
C:\Program Files\Windows Media Player\wmpnetwk.exe
C:\WINDOWS\system32\ntoskrnl.exe
c:\program files\visualtasktips\visualtasktips.exe
C:\Program Files\Punto Switcher\punto.exe
c:\documents and settings\user\Рабочий стол\Ет над оставить\qip infium\profiles\grinderss23\rcvdfiles\d_master_393695425\teamviewer.exe

VistaDriveIcon рекомендую деинсталлировать.
Отключите временно общие ресурсы, если такие есть, отключите автозапуск со съемных носителей, включите брандмауэр windows и уберите в исключениях брандмауэра общий доступ к файлам и принтерам и все неизвестные программы, там много и вероятно все зловреды:

Код:

"C:\DOCUME~1\User\LOCALS~1\Temp\winomgf.exe"="C:\DOCUME~1\User\LOCALS~1\Temp\winomgf.exe:*:Enabled:ipsec"
"C:\DOCUME~1\User\LOCALS~1\Temp\winklxupd.exe"="C:\DOCUME~1\User\LOCALS~1\Temp\winklxupd.exe:*:Enabled:ipsec"
"C:\DOCUME~1\User\LOCALS~1\Temp\winkqnuq.exe"="C:\DOCUME~1\User\LOCALS~1\Temp\winkqnuq.exe:*:Enabled:ipsec"
"C:\DOCUME~1\User\LOCALS~1\Temp\winnwpr.exe"="C:\DOCUME~1\User\LOCALS~1\Temp\winnwpr.exe:*:Enabled:ipsec"
"C:\DOCUME~1\User\LOCALS~1\Temp\sffjj.exe"="C:\DOCUME~1\User\LOCALS~1\Temp\sffjj.exe:*:Enabled:ipsec"
"C:\DOCUME~1\User\LOCALS~1\Temp\winlrvb.exe"="C:\DOCUME~1\User\LOCALS~1\Temp\winlrvb.exe:*:Enabled:ipsec"
"C:\DOCUME~1\User\LOCALS~1\Temp\sgvr.exe"="C:\DOCUME~1\User\LOCALS~1\Temp\sgvr.exe:*:Enabled:ipsec"
"C:\DOCUME~1\User\LOCALS~1\Temp\sope.exe"="C:\DOCUME~1\User\LOCALS~1\Temp\sope.exe:*:Enabled:ipsec"
"C:\DOCUME~1\User\LOCALS~1\Temp\xgjyg.exe"="C:\DOCUME~1\User\LOCALS~1\Temp\xgjyg.exe:*:Enabled:ipsec"
"C:\DOCUME~1\User\LOCALS~1\Temp\winalvd.exe"="C:\DOCUME~1\User\LOCALS~1\Temp\winalvd.exe:*:Enabled:ipsec"
"C:\DOCUME~1\User\LOCALS~1\Temp\ucxbe.exe"="C:\DOCUME~1\User\LOCALS~1\Temp\ucxbe.exe:*:Enabled:ipsec"
"C:\DOCUME~1\User\LOCALS~1\Temp\jwso.exe"="C:\DOCUME~1\User\LOCALS~1\Temp\jwso.exe:*:Enabled:ipsec"
"C:\DOCUME~1\User\LOCALS~1\Temp\wincavo.exe"="C:\DOCUME~1\User\LOCALS~1\Temp\wincavo.exe:*:Enabled:ipsec"
"C:\DOCUME~1\User\LOCALS~1\Temp\dnnt.exe"="C:\DOCUME~1\User\LOCALS~1\Temp\dnnt.exe:*:Enabled:ipsec"
"C:\DOCUME~1\User\LOCALS~1\Temp\winweoty.exe"="C:\DOCUME~1\User\LOCALS~1\Temp\winweoty.exe:*:Enabled:ipsec"
"C:\DOCUME~1\User\LOCALS~1\Temp\gnihh.exe"="C:\DOCUME~1\User\LOCALS~1\Temp\gnihh.exe:*:Enabled:ipsec"
"C:\DOCUME~1\User\LOCALS~1\Temp\winifvp.exe"="C:\DOCUME~1\User\LOCALS~1\Temp\winifvp.exe:*:Enabled:ipsec"
"C:\DOCUME~1\User\LOCALS~1\Temp\winpmpy.exe"="C:\DOCUME~1\User\LOCALS~1\Temp\winpmpy.exe:*:Enabled:ipsec"
"C:\DOCUME~1\User\LOCALS~1\Temp\winjiuvk.exe"="C:\DOCUME~1\User\LOCALS~1\Temp\winjiuvk.exe:*:Enabled:ipsec"
"C:\DOCUME~1\User\LOCALS~1\Temp\winqawhr.exe"="C:\DOCUME~1\User\LOCALS~1\Temp\winqawhr.exe:*:Enabled:ipsec"
"C:\DOCUME~1\User\LOCALS~1\Temp\wodr.exe"="C:\DOCUME~1\User\LOCALS~1\Temp\wodr.exe:*:Enabled:ipsec"
"C:\DOCUME~1\User\LOCALS~1\Temp\nitxi.exe"="C:\DOCUME~1\User\LOCALS~1\Temp\nitxi.exe:*:Enabled:ipsec"
"C:\DOCUME~1\User\LOCALS~1\Temp\muolsm.exe"="C:\DOCUME~1\User\LOCALS~1\Temp\muolsm.exe:*:Enabled:ipsec"
"C:\DOCUME~1\User\LOCALS~1\Temp\winlmffku.exe"="C:\DOCUME~1\User\LOCALS~1\Temp\winlmffku.exe:*:Enabled:ipsec"
"C:\DOCUME~1\User\LOCALS~1\Temp\jddgs.exe"="C:\DOCUME~1\User\LOCALS~1\Temp\jddgs.exe:*:Enabled:ipsec"
"C:\DOCUME~1\User\LOCALS~1\Temp\winujpvvk.exe"="C:\DOCUME~1\User\LOCALS~1\Temp\winujpvvk.exe:*:Enabled:ipsec"
"C:\DOCUME~1\User\LOCALS~1\Temp\winkckwkj.exe"="C:\DOCUME~1\User\LOCALS~1\Temp\winkckwkj.exe:*:Enabled:ipsec"
"C:\DOCUME~1\User\LOCALS~1\Temp\cyjjw.exe"="C:\DOCUME~1\User\LOCALS~1\Temp\cyjjw.exe:*:Enabled:ipsec"
"C:\DOCUME~1\User\LOCALS~1\Temp\ppxtb.exe"="C:\DOCUME~1\User\LOCALS~1\Temp\ppxtb.exe:*:Enabled:ipsec"
"C:\DOCUME~1\User\LOCALS~1\Temp\dsbjcv.exe"="C:\DOCUME~1\User\LOCALS~1\Temp\dsbjcv.exe:*:Enabled:ipsec"
"C:\DOCUME~1\User\LOCALS~1\Temp\hkuow.exe"="C:\DOCUME~1\User\LOCALS~1\Temp\hkuow.exe:*:Enabled:ipsec"
"C:\DOCUME~1\User\LOCALS~1\Temp\jogbh.exe"="C:\DOCUME~1\User\LOCALS~1\Temp\jogbh.exe:*:Enabled:ipsec"
"C:\DOCUME~1\User\LOCALS~1\Temp\winrgekn.exe"="C:\DOCUME~1\User\LOCALS~1\Temp\winrgekn.exe:*:Enabled:ipsec"
"C:\DOCUME~1\User\LOCALS~1\Temp\rwoarv.exe"="C:\DOCUME~1\User\LOCALS~1\Temp\rwoarv.exe:*:Enabled:ipsec"
"C:\DOCUME~1\User\LOCALS~1\Temp\xshq.exe"="C:\DOCUME~1\User\LOCALS~1\Temp\xshq.exe:*:Enabled:ipsec"
"C:\DOCUME~1\User\LOCALS~1\Temp\wineplms.exe"="C:\DOCUME~1\User\LOCALS~1\Temp\wineplms.exe:*:Enabled:ipsec"
"C:\DOCUME~1\User\LOCALS~1\Temp\wincwdr.exe"="C:\DOCUME~1\User\LOCALS~1\Temp\wincwdr.exe:*:Enabled:ipsec"
"C:\DOCUME~1\User\LOCALS~1\Temp\winwxrtxl.exe"="C:\DOCUME~1\User\LOCALS~1\Temp\winwxrtxl.exe:*:Enabled:ipsec"
"C:\DOCUME~1\User\LOCALS~1\Temp\winabsj.exe"="C:\DOCUME~1\User\LOCALS~1\Temp\winabsj.exe:*:Enabled:ipsec"
"C:\DOCUME~1\User\LOCALS~1\Temp\yagv.exe"="C:\DOCUME~1\User\LOCALS~1\Temp\yagv.exe:*:Enabled:ipsec"
"C:\DOCUME~1\User\LOCALS~1\Temp\winfioi.exe"="C:\DOCUME~1\User\LOCALS~1\Temp\winfioi.exe:*:Enabled:ipsec"
"C:\DOCUME~1\User\LOCALS~1\Temp\xukn.exe"="C:\DOCUME~1\User\LOCALS~1\Temp\xukn.exe:*:Enabled:ipsec"
"C:\DOCUME~1\User\LOCALS~1\Temp\winnqmdtl.exe"="C:\DOCUME~1\User\LOCALS~1\Temp\winnqmdtl.exe:*:Enabled:ipsec"
"C:\DOCUME~1\User\LOCALS~1\Temp\kkhty.exe"="C:\DOCUME~1\User\LOCALS~1\Temp\kkhty.exe:*:Enabled:ipsec"
"C:\DOCUME~1\User\LOCALS~1\Temp\nmmfk.exe"="C:\DOCUME~1\User\LOCALS~1\Temp\nmmfk.exe:*:Enabled:ipsec"
"C:\DOCUME~1\User\LOCALS~1\Temp\ktpcfi.exe"="C:\DOCUME~1\User\LOCALS~1\Temp\ktpcfi.exe:*:Enabled:ipsec"
"C:\DOCUME~1\User\LOCALS~1\Temp\winljstp.exe"="C:\DOCUME~1\User\LOCALS~1\Temp\winljstp.exe:*:Enabled:ipsec"
"C:\DOCUME~1\User\LOCALS~1\Temp\xpdw.exe"="C:\DOCUME~1\User\LOCALS~1\Temp\xpdw.exe:*:Enabled:ipsec"
"C:\DOCUME~1\User\LOCALS~1\Temp\winljani.exe"="C:\DOCUME~1\User\LOCALS~1\Temp\winljani.exe:*:Enabled:ipsec"
"C:\DOCUME~1\User\LOCALS~1\Temp\mphs.exe"="C:\DOCUME~1\User\LOCALS~1\Temp\mphs.exe:*:Enabled:ipsec"
"C:\DOCUME~1\User\LOCALS~1\Temp\psui.exe"="C:\DOCUME~1\User\LOCALS~1\Temp\psui.exe:*:Enabled:ipsec"
"C:\DOCUME~1\User\LOCALS~1\Temp\winfhjiw.exe"="C:\DOCUME~1\User\LOCALS~1\Temp\winfhjiw.exe:*:Enabled:ipsec"
"C:\DOCUME~1\User\LOCALS~1\Temp\winrukcf.exe"="C:\DOCUME~1\User\LOCALS~1\Temp\winrukcf.exe:*:Enabled:ipsec"
"C:\DOCUME~1\User\LOCALS~1\Temp\winlfjpei.exe"="C:\DOCUME~1\User\LOCALS~1\Temp\winlfjpei.exe:*:Enabled:ipsec"
"C:\DOCUME~1\User\LOCALS~1\Temp\winpiwb.exe"="C:\DOCUME~1\User\LOCALS~1\Temp\winpiwb.exe:*:Enabled:ipsec"
"C:\DOCUME~1\User\LOCALS~1\Temp\jbpmjl.exe"="C:\DOCUME~1\User\LOCALS~1\Temp\jbpmjl.exe:*:Enabled:ipsec"
"C:\DOCUME~1\User\LOCALS~1\Temp\winsbkb.exe"="C:\DOCUME~1\User\LOCALS~1\Temp\winsbkb.exe:*:Enabled:ipsec"
"C:\DOCUME~1\User\LOCALS~1\Temp\xepx.exe"="C:\DOCUME~1\User\LOCALS~1\Temp\xepx.exe:*:Enabled:ipsec"
"C:\DOCUME~1\User\LOCALS~1\Temp\winmxdtk.exe"="C:\DOCUME~1\User\LOCALS~1\Temp\winmxdtk.exe:*:Enabled:ipsec"
"C:\DOCUME~1\User\LOCALS~1\Temp\ccmu.exe"="C:\DOCUME~1\User\LOCALS~1\Temp\ccmu.exe:*:Enabled:ipsec"
"C:\DOCUME~1\User\LOCALS~1\Temp\eurw.exe"="C:\DOCUME~1\User\LOCALS~1\Temp\eurw.exe:*:Enabled:ipsec"
"C:\DOCUME~1\User\LOCALS~1\Temp\vegtxg.exe"="C:\DOCUME~1\User\LOCALS~1\Temp\vegtxg.exe:*:Enabled:ipsec"
"C:\DOCUME~1\User\LOCALS~1\Temp\windbev.exe"="C:\DOCUME~1\User\LOCALS~1\Temp\windbev.exe:*:Enabled:ipsec"
"C:\DOCUME~1\User\LOCALS~1\Temp\winjawsx.exe"="C:\DOCUME~1\User\LOCALS~1\Temp\winjawsx.exe:*:Enabled:ipsec"
"C:\DOCUME~1\User\LOCALS~1\Temp\winvekw.exe"="C:\DOCUME~1\User\LOCALS~1\Temp\winvekw.exe:*:Enabled:ipsec"
"C:\DOCUME~1\User\LOCALS~1\Temp\jnrq.exe"="C:\DOCUME~1\User\LOCALS~1\Temp\jnrq.exe:*:Enabled:ipsec"
"C:\DOCUME~1\User\LOCALS~1\Temp\umgaki.exe"="C:\DOCUME~1\User\LOCALS~1\Temp\umgaki.exe:*:Enabled:ipsec"
"C:\DOCUME~1\User\LOCALS~1\Temp\alvcoj.exe"="C:\DOCUME~1\User\LOCALS~1\Temp\alvcoj.exe:*:Enabled:ipsec"
"C:\DOCUME~1\User\LOCALS~1\Temp\winlmegj.exe"="C:\DOCUME~1\User\LOCALS~1\Temp\winlmegj.exe:*:Enabled:ipsec"
"C:\DOCUME~1\User\LOCALS~1\Temp\wincecsjg.exe"="C:\DOCUME~1\User\LOCALS~1\Temp\wincecsjg.exe:*:Enabled:ipsec"
"C:\DOCUME~1\User\LOCALS~1\Temp\kxaqw.exe"="C:\DOCUME~1\User\LOCALS~1\Temp\kxaqw.exe:*:Enabled:ipsec"
"C:\DOCUME~1\User\LOCALS~1\Temp\winaohiho.exe"="C:\DOCUME~1\User\LOCALS~1\Temp\winaohiho.exe:*:Enabled:ipsec"
"C:\DOCUME~1\User\LOCALS~1\Temp\winiiimad.exe"="C:\DOCUME~1\User\LOCALS~1\Temp\winiiimad.exe:*:Enabled:ipsec"
"C:\DOCUME~1\User\LOCALS~1\Temp\pfbpc.exe"="C:\DOCUME~1\User\LOCALS~1\Temp\pfbpc.exe:*:Enabled:ipsec"
"C:\DOCUME~1\User\LOCALS~1\Temp\vghb.exe"="C:\DOCUME~1\User\LOCALS~1\Temp\vghb.exe:*:Enabled:ipsec"
"C:\DOCUME~1\User\LOCALS~1\Temp\winknxxai.exe"="C:\DOCUME~1\User\LOCALS~1\Temp\winknxxai.exe:*:Enabled:ipsec"
"C:\DOCUME~1\User\LOCALS~1\Temp\trjpet.exe"="C:\DOCUME~1\User\LOCALS~1\Temp\trjpet.exe:*:Enabled:ipsec"
"C:\DOCUME~1\User\LOCALS~1\Temp\winmkkugm.exe"="C:\DOCUME~1\User\LOCALS~1\Temp\winmkkugm.exe:*:Enabled:ipsec"
"C:\DOCUME~1\User\LOCALS~1\Temp\winqytqfa.exe"="C:\DOCUME~1\User\LOCALS~1\Temp\winqytqfa.exe:*:Enabled:ipsec"
"C:\DOCUME~1\User\LOCALS~1\Temp\winckstyi.exe"="C:\DOCUME~1\User\LOCALS~1\Temp\winckstyi.exe:*:Enabled:ipsec"
"C:\DOCUME~1\User\LOCALS~1\Temp\gcwlfo.exe"="C:\DOCUME~1\User\LOCALS~1\Temp\gcwlfo.exe:*:Enabled:ipsec"
"C:\DOCUME~1\User\LOCALS~1\Temp\winghovbd.exe"="C:\DOCUME~1\User\LOCALS~1\Temp\winghovbd.exe:*:Enabled:ipsec"
"C:\DOCUME~1\User\LOCALS~1\Temp\wincvrm.exe"="C:\DOCUME~1\User\LOCALS~1\Temp\wincvrm.exe:*:Enabled:ipsec"
"C:\DOCUME~1\User\LOCALS~1\Temp\iqmart.exe"="C:\DOCUME~1\User\LOCALS~1\Temp\iqmart.exe:*:Enabled:ipsec"
"C:\DOCUME~1\User\LOCALS~1\Temp\mtlokp.exe"="C:\DOCUME~1\User\LOCALS~1\Temp\mtlokp.exe:*:Enabled:ipsec"
"C:\DOCUME~1\User\LOCALS~1\Temp\wygyk.exe"="C:\DOCUME~1\User\LOCALS~1\Temp\wygyk.exe:*:Enabled:ipsec"

Если cureit и AVPTool не пределят эти файлы как вредоносные, запакуйте их с паролем "virus" и отправьте на newvirus@kaspersky.com и ещё можете в вирлаб DrWeb, через некоторое время, как обновяться базы, проверьте соответствующим антивирусом.
Выполните в AVZ скрипт

Код:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 TerminateProcessByName('c:\docume~1\user\locals~1\temp\wintcoy.exe');
 TerminateProcessByName('c:\docume~1\user\locals~1\temp\poxhq.exe');
 StopService('abp470n5');
 SetServiceStart('abp470n5', 4);
 QuarantineFile('C:\WINDOWS\system32\drivers\pjrlt.sys','');
 QuarantineFile('c:\docume~1\user\locals~1\temp\wintcoy.exe','');
 QuarantineFile('c:\docume~1\user\locals~1\temp\poxhq.exe','');
 DeleteFile('c:\docume~1\user\locals~1\temp\poxhq.exe');
 DeleteFile('c:\docume~1\user\locals~1\temp\wintcoy.exe');
 DeleteFile('C:\WINDOWS\system32\drivers\pjrlt.sys');
 DeleteFileMask('c:\docume~1\user\locals~1\temp\', '*.*', true);
 DeleteFileMask('%Tmp%', '*.*', true);
 DeleteService('abp470n5');
 BC_DeleteFile('C:\WINDOWS\system32\drivers\pjrlt.sys');
 BC_DeleteSvc('abp470n5');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RegKeyIntParamWrite('HKLM','SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer','NoDriveTypeAutoRun', 221);
ExecuteRepair(6);
ExecuteRepair(8);
ExecuteRepair(11);
ExecuteRepair(17);
ExecuteWizard('TSW', 1, 1, true);
ExecuteWizard('BT', 1, 1, true);
RebootWindows(true);
end.

После проверки по этой методике и выполнения скрипта ещё раз проверьте выборочно системные файлы, если вирусы не будут обнаруживаться, повторите логи AVZ, RSIT, дополнительно
Скачайте SDFix здесь или здесь, загрузитесь в безопасном режиме, запустите утилиту (запустить RunThis.bat из папки SDFix - подтвердить, нажав "Y"), после окончания сканирования скопируйте (Ctrl+A, Ctrl+C) текст из C:\Report.txt и вставьте (Ctrl+V) в следующее сообщение, если текст не уместится в одном сообщении, продолжите его в следующем или запакуйте файл C:\Report.txt и прикрепите к сообщению
Описание SDFix есть здесь и здесь

Скачайте ComboFix здесь, здесь или здесь и сохраните на рабочий стол.
Установите Recovery Console по инструкции (на англ.яз) - how-to-use-combofix и здесь - скачайте установочный файл для своей ОС (например Windows XP с пакетом обновления 2 (SP2) - для Windows XP SP3 использовать этот же файл) на рабочий стол, закройте все остальные приложения и мышкой перенесите установочный файл на иконку ComboFix и установите Microsoft Recovery Console. Доп. см. Программа для Windows XP Professional с пакетом обновления 2 (SP2): Установочные диски для установки с гибкого диска.
После установки консоли восстановления программа предложит запустить сканирование, подтвердите, нажав Yes.
Когда процесс сканирования завершится, скопируйте (Ctrl+A, Ctrl+C) текст из C:\ComboFix.txt и вставьте (Ctrl+V) в следующее сообщение если текст не уместится в одном сообщении, продолжите его в следующем или запакуйте файл C:\ComboFix.txt и прикрепите к сообщению.
Внимание! Перед запуском сканирования обязательно закройте все браузеры, временно выключите антивирус, firewall и другое защитное программное обеспечение. Не запускайте других программ во время работы Combofix и не нажимайте кнопки мыши. Combofix может отключить интернет через некоторое время после запуска, не переподключайте интернет пока Combofix не завершит работу. Если интернет не появился после окончания работы Combofix, перезагрузите компьютер.
Как использовать ComboFix - how-to-use-combofix (на англ.яз.) и здесь (на русском)
Прим: В случае, если ComboFix не запускается, переименуйте combofix.exe в combo-fix.exe

Скачайте Gmer, запустите программу. После автоматической экспресс-проверки, отметьте галочкой все жесткие диски и нажмите на кнопку "Scan". После окончания проверки сохраните его лог (нажмите на кнопку Save) и вложите в сообщение.

akok · Отправлено: **15:54, 25-02-2009** | #12

Карантин пришел пустой.