Новости
Видео
Microsoft
Windows 10
Железо
Программы
Форум

Имя пользователя:
Пароль:  
Помощь | Регистрация | Забыли пароль?  | Правила  

Компьютерный форум OSzone.net » Информационная безопасность » Лечение систем от вредоносных программ » [решено] постоянная перезагрузка компьютера

1 2 Следующая >
Ответить
Настройки темы
[решено] постоянная перезагрузка компьютера

Аватара для alexim

Пользователь


Сообщения: 76
Благодарности: 0

Профиль | Отправить PM | Цитировать

Изменения
Автор: alexim
Дата: 24-06-2011
Добрый день всем!
Проблема неясна, но может это вирус. Началось после скачивания из Инета файла установки флеш-плеера с неофициального сайта. Вот логи (Windows 7).
Компьютер грузится в безопасном режиме, потом сам начинает перезагрузку, а потом не грузится вообще.

Отправлено: 18:39, 18-06-2011

 

Аватара для Farger

Старожил


Сообщения: 261
Благодарности: 58

Профиль | Отправить PM | Цитировать

Здравствуйте,

Сейчас проверю логи.

Отправлено: 20:18, 18-06-2011 | #2



Для отключения данного рекламного блока вам необходимо зарегистрироваться или войти с учетной записью социальной сети.

Если же вы забыли свой пароль на форуме, то воспользуйтесь данной ссылкой для восстановления пароля.


Аватара для Farger

Старожил


Сообщения: 261
Благодарности: 58

Профиль | Отправить PM | Цитировать

TeamViewer сами устанавливали?

Файл C:\Users\андрей\AppData\Local\Programs\winadv\winadv.exe проверьте на virustotal и дайте ссылку на результат.


1. Скачайте ATF Cleaner на рабочий стол.
Запустите ATF Cleaner, поставьте галочку напротив Select All и нажмите Empty Selected.
- если вы используете Firefox, нажмите Firefox - Select All - Empty Selected;
- нажмите No, если вы хотите оставить ваши сохраненные пароли;
- если вы используете Opera, нажмите Opera - Select All - Empty Selected;
- нажмите No, если вы хотите оставить ваши сохраненные пароли.

2. Отключите:
Антивирус/Файерволл

AVZ, меню "Файл -> Выполнить скрипт" -> Скопировать ниже написанный
скрипт -> Нажать кнопку "Запустить".

Код: Выделить весь код
begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
SearchRootkit(true, true);
SetAVZGuardStatus(True);
TerminateProcessByName('c:\windows\systemup.exe');
TerminateProcessByName('c:\windows\sysdriver32.exe');
TerminateProcessByName('c:\windows\update.tray-8-0-lnk\svchost.exe');
TerminateProcessByName('c:\windows\update.2\svchost.exe');
TerminateProcessByName('c:\windows\update.1\svchost.exe');
TerminateProcessByName('c:\windows\l1rezerv.exe');
StopService('srviecheck');
StopService('srvsysdriver32');
QuarantineFile('services32.exe','');
 QuarantineFile('C:\temp\3245658.exe','');
 QuarantineFile('C:\Windows\update.tray-8-0\svchost.exe','');
 QuarantineFile('C:\Windows\sysdriver32_.exe','');
 QuarantineFile('C:\Windows\sysdriver32.exe','');
 QuarantineFile('C:\Windows\services32.exe','');
 QuarantineFile('C:\Windows\l1rezerv.exe','');
 QuarantineFile('C:\Windows\Temp\6216464.exe','');
 QuarantineFile('C:\Windows\Temp\4921423.exe','');
 QuarantineFile('C:\Windows\Temp\1715018.exe','');
 QuarantineFile('C:\Windows\update.2\svchost.exe','');
QuarantineFile('C:\WINDOWS\iecheck_iplist.txt','');
QuarantineFile('C:\WINDOWS\ddh_iplist.txt','');
QuarantineFile('C:\WINDOWS\iplist.txt','');
QuarantineFile('C:\Windows\loader2.exe_ok','');
QuarantineFile('C:\WINDOWS\front_ip_list.txt','');
QuarantineFile('C:\Windows\winlog-ids.txt','');
 QuarantineFile('C:\Windows\winlog-dirs.txt','');
QuarantineFile('c:\windows\sysdriver32.exe','');
QuarantineFile('c:\windows\update.tray-8-0-lnk\svchost.exe','');
QuarantineFile('c:\windows\update.2\svchost.exe','');
 QuarantineFile('c:\windows\update.1\svchost.exe','');
QuarantineFile('c:\windows\l1rezerv.exe','');
DeleteFile('C:\Windows\winlog-ids.txt');
 DeleteFile('C:\Windows\winlog-dirs.txt');
DeleteFile('C:\WINDOWS\front_ip_list.txt');
DeleteFile('C:\Windows\loader2.exe_ok');
DeleteFile('C:\WINDOWS\iplist.txt');
DeleteFile('C:\WINDOWS\ddh_iplist.txt');
DeleteFile('c:\windows\l1rezerv.exe');
 DeleteFile('c:\windows\update.1\svchost.exe');
 DeleteFile('c:\windows\update.2\svchost.exe');
 DeleteFile('c:\windows\update.tray-8-0-lnk\svchost.exe');
 DeleteFile('c:\windows\sysdriver32.exe');
 DeleteFile('c:\windows\systemup.exe');
 DeleteFile('C:\Windows\update.2\svchost.exe');
 DeleteFile('C:\Windows\Temp\1715018.exe');
 DeleteFile('C:\Windows\Temp\4921423.exe');
 DeleteFile('C:\Windows\Temp\6216464.exe');
 DeleteFile('C:\Windows\l1rezerv.exe');
 DeleteFile('C:\Windows\services32.exe');
 DeleteFile('C:\Windows\sysdriver32.exe');
 DeleteFile('C:\Windows\sysdriver32_.exe');
DeleteFile('C:\WINDOWS\iecheck_iplist.txt');
DeleteFile('C:\Windows\update.tray-8-0\svchost.exe');
DeleteFile('C:\temp\3245658.exe');
DeleteFile('services32.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','1715018.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','4921423.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','6216464.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','l1rezerv.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','wxpdrv');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','sysdriver32.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','sysdriver32_.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','3245658.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','tray_ico');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','tray_ico0');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','tray_ico1');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','tray_ico2');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','tray_ico3');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','tray_ico4');
RegKeyParamWrite('HKLM','SYSTEM\CurrentControlSet\Control\SafeBoot','AlternateShell','REG_SZ', 'cmd.exe');
DeleteService('srvsysdriver32');
DeleteService('srviecheck');
DeleteFileMask('C:\windows\update.1','*.*', true);
DeleteDirectory('C:\windows\update.1');
DeleteFileMask('C:\windows\update.2','*.*', true);
DeleteDirectory('C:\windows\update.2');
DeleteFileMask('C:\Windows\update.tray-8-0','*.*', true);
DeleteDirectory('C:\Windows\update.tray-8-0');
DeleteFileMask('C:\Windows\av_ico','*.*', true);
DeleteDirectory('C:\Windows\av_ico');
DeleteFileMask('C:\WINDOWS\TEMP\', '*.*', true);
DeleteFileMask(GetEnvironmentVariable ('Temp'), '*.*', true);
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
После выполнения скрипта компьютер перезагрузится!

После перезагрузки выполните такой скрипт:

AVZ, меню "Файл -> Выполнить скрипт" -> Скопировать ниже написанный
скрипт -> Нажать кнопку "Запустить".

Код: Выделить весь код
begin   
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');  
end.
В результате выполнения скрипта будет сформирован карантин.Отправьте c:\quarantine.zip при помощи этой формы
В строке "Подробное описание возникшей ситуации:", напишите пароль на архив "virus" (без кавычек), в строке "Электронный адрес:" укажите свой электронный адрес. Результаты ответа, сообщите здесь, в теме.

3. Пофиксить в HJT

Код: Выделить весь код
 	R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.smaxi.net
	R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.smaxi.net
	R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.smaxi.net
	O4 - HKLM\..\Run: [wxpdrv] C:\Windows\services32.exe
O4 - HKLM\..\Run: [tray_ico0] C:\Windows\update.tray-8-0\svchost.exe
	O4 - HKLM\..\Run: [6216464.exe] "C:\Windows\Temp\6216464.exe"
	O4 - HKLM\..\Run: [sysdriver32.exe] "C:\Windows\sysdriver32.exe" rezerv
O4 - HKLM\..\Run: [sysdriver32_.exe] "C:\Windows\sysdriver32_.exe" rezerv
O4 - HKLM\..\Run: [3245658.exe] "C:\temp\3245658.exe"
	O4 - HKLM\..\Run: [systemup] "C:\Windows\systemup.exe" stand
O4 - HKLM\..\Run: [l1rezerv.exe] "C:\Windows\l1rezerv.exe"
O4 - HKLM\..\Run: [1715018.exe] "C:\Windows\Temp\1715018.exe"
O4 - HKLM\..\Run: [4921423.exe] "C:\Windows\Temp\4921423.exe"
4. Скачайте Malwarebytes' Anti-Malware или с зеркала, установите, обновите базы, выберите "Perform Full Scan", нажмите "Scan", после сканирования - Ok - Show Results (показать результаты) - Откройте лог и скопируйте в блокнот и прикрепите его к следующему посту.
Если базы MBAM в автоматическом режиме обновить не удалось, обновите их отдельно.

5. Загрузите SecurityCheck by screen317 отсюда или отсюда
Сохраните на Рабочий стол.
Запустите от имени администратора
Когда увидите консоль, нажмите любую клавишу для продолжения сканирования
Если увидите предупреждение от фаервола относительно программы SecurityCheck, не блокируйте ее работу
Дождитесь окончания сканирования и вы увидите лог в блокноте с именем checkup.txt;
Прикрепите его тоже в ваше следующее сообщение.

6. Повторите логи AVZ+RSIT

Последний раз редактировалось Farger, 25-06-2011 в 23:54.

Отправлено: 21:03, 18-06-2011 | #3


Аватара для alexim

Пользователь


Сообщения: 76
Благодарности: 0

Профиль | Отправить PM | Цитировать

Все сделано. Вот логи.

Последний раз редактировалось alexim, 24-06-2011 в 12:06.

Отправлено: 19:47, 20-06-2011 | #4


Аватара для alexim

Пользователь


Сообщения: 76
Благодарности: 0

Профиль | Отправить PM | Цитировать

еще один

Последний раз редактировалось alexim, 24-06-2011 в 12:06.

Отправлено: 19:48, 20-06-2011 | #5


Аватара для alexim

Пользователь


Сообщения: 76
Благодарности: 0

Профиль | Отправить PM | Цитировать

Цитата Farger:
После перезагрузки выполните такой скрипт:
AVZ, меню "Файл -> Выполнить скрипт" -> Скопировать ниже написанный
скрипт -> Нажать кнопку "Запустить".
Код:
begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.
В результате выполнения скрипта будет сформирован карантин.Отправьте c:\quarantine.zip при помощи этой формы
В строке "Подробное описание возникшей ситуации:", напишите пароль на архив "virus" (без кавычек), в строке "Электронный адрес:" укажите свой электронный адрес. Результаты ответа, сообщите здесь, в теме. »
Вот результат

Hello,

This message is generated by automatic letter reception system. The report contains information on what the verdicts on the files (if any in the letter) makes antivirus with latest updates. Letter will be passed to the virus analyst.

ddh_iplist.txt,
front_ip_list.txt,
iecheck_iplist.txt,
iplist.txt,
l1rezerv.exe,
winlog-dirs.txt,
winlog-ids.txt

These files are in process.

services32.exe,
svchost.exe,
svchost_1.exe,
svchost_2.exe - Trojan-PSW.Win32.VKont.bje
svchost_0.exe - Trojan.Win32.VkHost.dvs
sysdriver32.exe,
sysdriver32_.exe - Trojan.Win32.Scar.eajx

At the moment these files are detected with the latest antivirus bases.

Best Regards, Kaspersky Lab

"10/1, 1st Volokolamsky Proezd, Moscow, 123060, RussiaTel./Fax: + 7 (495) 797 8700 http://www.kaspersky.com http://www.viruslist.com"


>> From: sandaliris@gmail.com
>> Sent: 20.06.2011 10:47:27
>> To: newvirus@kaspersky.com
>> Subject: [VirLabSRF][Malicious file analysis][M:1][LN:RU][L:0]
>>
>>
>> LANG: ru
>> email: sandaliris@gmail.com
>>
>> description:
>> virus
>>
>> Загруженные файлы:
>> quarantine.zip

Последний раз редактировалось alexim, 24-06-2011 в 12:06.

Отправлено: 19:51, 20-06-2011 | #6


Аватара для Farger

Старожил


Сообщения: 261
Благодарности: 58

Профиль | Отправить PM | Цитировать

Здравствуйте,

Файл C:\Users\андрей\AppData\Local\Programs\winadv\winadv.exe проверьте на virustotal и дайте ссылку на результат.

Отключите:
Антивирус/Файерволл

AVZ, меню "Файл -> Выполнить скрипт" -> Скопировать ниже написанный
скрипт -> Нажать кнопку "Запустить".

Код: Выделить весь код
begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
SearchRootkit(true, true);
SetAVZGuardStatus(True);
RegKeyParamDel('HKEY_LOCAL_MACHINE','system\currentcontrolset\services\sharedaccess\parameters\firewallpolicy\standardprofile\authorizedapplications\list','C:\WINDOWS\update.1\svchost.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','system\currentcontrolset\services\sharedaccess\parameters\firewallpolicy\standardprofile\authorizedapplications\list','C:\WINDOWS\update.2\svchost.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','system\currentcontrolset\services\sharedaccess\parameters\firewallpolicy\standardprofile\authorizedapplications\list','C:\WINDOWS\update.tray-8-0\svchost.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','system\currentcontrolset\services\sharedaccess\parameters\firewallpolicy\standardprofile\authorizedapplications\list','C:\WINDOWS\services32.exe');
DeleteFileMask('C:\Windows\update.tray-8-0','*.*', true);
DeleteDirectory('C:\Windows\update.tray-8-0');
DeleteFileMask('C:\WINDOWS\TEMP\', '*.*', true);
DeleteFileMask(GetEnvironmentVariable ('Temp'), '*.*', true);
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
После выполнения скрипта компьютер перезагрузится!

Повторите лог RSIT

Отправлено: 20:52, 20-06-2011 | #7


Аватара для alexim

Пользователь


Сообщения: 76
Благодарности: 0

Профиль | Отправить PM | Цитировать

Farger,
Цитата Farger:
Файл C:\Users\андрей\AppData\Local\Programs\winadv\winadv.exe проверьте на virustotal и дайте ссылку на результат. »
файл не нашелся

Последний раз редактировалось alexim, 24-06-2011 в 12:06.

Отправлено: 13:49, 21-06-2011 | #8


Аватара для Farger

Старожил


Сообщения: 261
Благодарности: 58

Профиль | Отправить PM | Цитировать

Файл C:\Users\андрей\Downloads\Flash-Player.exe проверьте на virustotal и дайте ссылку на результат.

Отключите:
Антивирус/Файерволл

AVZ, меню "Файл -> Выполнить скрипт" -> Скопировать ниже написанный
скрипт -> Нажать кнопку "Запустить".

Код: Выделить весь код
begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\Users\андрей\AppData\Local\Programs\winadv\winadv.exe','');
QuarantineFile('C:\Users\андрей\Downloads\Flash-Player.exe','');
DeleteFileMask('C:\Windows\update.tray-8-0-Ink','*.*', true);
DeleteDirectory('C:\Windows\update.tray-8-0-Ink');
DeleteFileMask('C:\WINDOWS\TEMP\', '*.*', true);
DeleteFileMask(GetEnvironmentVariable ('Temp'), '*.*', true);
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
После выполнения скрипта компьютер перезагрузится!

После перезагрузки выполните такой скрипт:

AVZ, меню "Файл -> Выполнить скрипт" -> Скопировать ниже написанный
скрипт -> Нажать кнопку "Запустить".

Код: Выделить весь код
begin   
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');  
end.
В результате выполнения скрипта будет сформирован карантин.Отправьте c:\quarantine.zip при помощи этой формы
В строке "Подробное описание возникшей ситуации:", напишите пароль на архив "virus" (без кавычек), в строке "Электронный адрес:" укажите свой электронный адрес. Результаты ответа, сообщите здесь, в теме.

Повторите лог RSIT.

Последний раз редактировалось Farger, 21-06-2011 в 14:11.

Отправлено: 14:05, 21-06-2011 | #9


Аватара для alexim

Пользователь


Сообщения: 76
Благодарности: 0

Профиль | Отправить PM | Цитировать

Вложения
Тип файла: txt info.txt
(39.3 Kb, 1 просмотров)
Тип файла: txt log.txt
(40.5 Kb, 4 просмотров)

Цитата Farger:
AVZ, меню "Файл -> Выполнить скрипт" -> Скопировать ниже написанный
скрипт -> Нажать кнопку "Запустить".
Код:
begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.
В результате выполнения скрипта будет сформирован карантин.Отправьте c:\quarantine.zip при помощи этой формы »
несколько раз отправляла архив с паролем. Ответ один и тот же:
Hello,

This message is generated by automatic letter reception system. The report contains information on what the verdicts on the files (if any in the letter) makes antivirus with latest updates. Letter will be passed to the virus analyst.

Your attachment was not received. Probably your problem files were cut off on a mail server during delivering. To avoid this problem you need to place your files in password protected archive (password 'infected' without quotes) and send it again.

Best Regards, Kaspersky Lab

"10/1, 1st Volokolamsky Proezd, Moscow, 123060, RussiaTel./Fax: + 7 (495) 797 8700 http://www.kaspersky.com http://www.viruslist.com"


>> From: sandaliris@gmail.com
>> Sent: 22.06.2011 13:49:24
>> To: newvirus@kaspersky.com
>> Subject: [VirLabSRF][Malicious file analysis][M:1][LN:RU][L:0]
>>
>>
>> LANG: ru
>> email: sandaliris@gmail.com
>>
>> description:
>> virus
>>
>> Загруженные файлы:
>> quarantine.zip


Лог RSIT

Отправлено: 12:07, 24-06-2011 | #10

1 2 Следующая >


Компьютерный форум OSzone.net » Информационная безопасность » Лечение систем от вредоносных программ » [решено] постоянная перезагрузка компьютера

Участник сейчас на форуме Участник сейчас на форуме Участник вне форума Участник вне форума Автор темы Автор темы Шапка темы Сообщение прикреплено

Похожие темы
Название темы Автор Информация о форуме Ответов Последнее сообщение
[решено] Постоянная перезагрузка компьютера! leaderos Материнские платы и память 7 22-04-2011 19:10
Интерфейс - Постоянная перезагрузка проводника Sasha_wq-1 Microsoft Windows 7 10 10-10-2009 03:52
[решено] Постоянная перезагрузка ХР Dmytrov Лечение систем от вредоносных программ 2 08-09-2009 17:48
Постоянная перезагрузка роутера Игорь Анатольевич Хочу все знать 3 30-08-2009 00:25
Постоянная перезагрузка Astar Хочу все знать 4 05-09-2003 16:49


« Предыдущая тема | Следующая тема »


 
Переход