[zirreX]

Здравствуйте!

http://www.forum.oszone.net/thread-98169.html
3. Сбор лог файлов для последующего их анализа
Внимательно прочитайте и подготовьте логи AVZ и RSIT.

[hener]

Внимательно прочитайте и подготовьте логи AVZ и RSIT. »

AVZ и RSIT не запускается

[hener]

Удалось все же запустить HijackThis. Фаил прикреплен.

[zirreX]

Скачайте полиморфный АВЗ по ссылке
http://rghost.ru/2828129

Запустите и подготовьте логи по правилам.

[hener]

AVZ логи:
virusinfo_syscure.zip
virusinfo_syscheck.zip

HijackThis логи:
HijackThis.zip

[zirreX]

#Скрипт АВЗ

Перед выполнением скрипта отключите защитное ПО (антивирус, файрволл)


AVZ, меню "Файл -> Выполнить скрипт" -> Скопировать ниже написанный
скрипт -> Нажать кнопку "Запустить".

Код:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
 TerminateProcessByName('D:\DOCUME~1\Admin\LOCALS~1\Temp\winpgqicc.exe');
 TerminateProcessByName('D:\DOCUME~1\Admin\LOCALS~1\Temp\plqpca.exe');
 TerminateProcessByName('D:\DOCUME~1\Admin\LOCALS~1\Temp\gekydj.exe');
 TerminateProcessByName('D:\DOCUME~1\Admin\LOCALS~1\Temp\winmdkqso.exe');
 StopService('abp470n5');
 QuarantineFile('D:\WINDOWS\islim310\Monitor.exe','');
 QuarantineFile('D:\DOCUME~1\Admin\LOCALS~1\APPLIC~1\27078151.exe','');
 QuarantineFile('D:\DOCUME~1\Admin\LOCALS~1\APPLIC~1\6297080.exe','');
 QuarantineFile('D:\DOCUME~1\Admin\LOCALS~1\Temp\winpgqicc.exe','');
 QuarantineFile('D:\DOCUME~1\Admin\LOCALS~1\Temp\plqpca.exe','');
 QuarantineFile('D:\DOCUME~1\Admin\LOCALS~1\Temp\gekydj.exe','');
 QuarantineFile('D:\DOCUME~1\Admin\LOCALS~1\Temp\winmdkqso.exe','');
 QuarantineFile('D:\WINDOWS\system32\drivers\lnokmr.sys','');
 DeleteFile('D:\WINDOWS\system32\drivers\lnokmr.sys');
 DeleteFile('D:\DOCUME~1\Admin\LOCALS~1\Temp\winmdkqso.exe');
 DeleteFile('D:\DOCUME~1\Admin\LOCALS~1\Temp\gekydj.exe');
 DeleteFile('D:\DOCUME~1\Admin\LOCALS~1\Temp\plqpca.exe');
 DeleteFile('D:\DOCUME~1\Admin\LOCALS~1\Temp\winpgqicc.exe');
 DeleteService('abp470n5');
BC_ImportAll;
ExecuteSysClean;
 BC_DeleteSvc('amsint32');
BC_Activate;
 ExecuteRepair(11);
 ExecuteRepair(17);
RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится!

После перезагрузки выполните такой скрипт

AVZ, меню "Файл -> Выполнить скрипт" -> Скопировать ниже написанный
скрипт -> Нажать кнопку "Запустить".

Код:

begin
 CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.

В результате выполнения скрипта будет сформирован карантин. Отправьте c:\quarantine.zip на адрес quarantine@virusnet.info, в названии темы укажите – Ссылку на вашу тему.Результаты ответа сообщите здесь, в теме.

У вас активный файловый вирус.

Как лечить файловый вирус

1) Скачайте на заведомо "здоровом" компьютере утилиту от DrWeb - CureIT! Разархивируйте и запишите её на CD или DVD, можно записать и на флешку, если производителем предусмотрен режим защиты данных от изменений (только чтение). Иначе активный вирус повредит утилиту ещё до запуска. Сделайте полную проверку зараженного компьютера в режиме Safe Mode, затем в нормальном.

После этого подготовьте логи AVZ и RSIT

Установите Internet Explorer 8

[hener]

Выполнил проверку во помощи утилиты от DrWeb - CureIT и Антивирусом Касперского. Логи перезалил. Проблема с реестром и диспечером улажена, но к сожалению проблема с msimg32.dll осталась.
AVZ логи:
virusinfo_syscure.zip
virusinfo_syscheck.zip

HijackThis логи:
HijackThis.zip

Письмо отправил - quarantine@virusnet.info, ответ не пришел.

[zirreX]

проверьте файл на www.virustotal.com

d:\windows\islim310\monitor.exe

Приведите ссылку с результатом проверки


Перед выполнением скрипта отключите защитное ПО (антивирус, файрволл)


AVZ, меню "Файл -> Выполнить скрипт" -> Скопировать ниже написанный
скрипт -> Нажать кнопку "Запустить".

Код:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
DeleteFile('D:\WINDOWS\system32\drivers\lnokmr.sys');
BC_ImportAll;
ExecuteSysClean;
BC_DeleteSvc('abp470n5');
BC_Activate;
RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится!

HijackThis логи: HijackThis.zip »

Лучше сделать лог RSIT

Скачайте RSIT или c зеркала. Запустите, выберите проверку файлов за последние три месяца и нажмите продолжить. Должны открыться два отчета log.txt и info.txt. Прикрепите их к следующему сообщению. Если вы их закрыли, то логи по умолчанию сохраняются в одноименной папке (RSIT) в корне системного диска.

файл msimg32.dll восстановим

Повторите лог AVZ

Скачайте Malwarebytes' Anti-Malware или с зеркала, установите, обновите базы, выберите "Perform Full Scan", нажмите "Scan", после сканирования - Ok - Show Results (показать результаты) - Откройте лог и скопируйте в блокнот и прикрепите его к следующему посту.

[hener]

d:\windows\islim310\monitor.exe - проверен, ВОТ результат проверки, был обнаружен: антивирусом: ClamAV, вирус: W32.Sality-81.

Скрипт выполнил. Вот новые логи:

AVZ логи:
virusinfo_syscure.zip
virusinfo_syscheck.zip

HijackThis логи:
HijackThis.zip

RSIT логи:
rsit.zip