Компьютерный форум OSzone.net  

Компьютерный форум OSzone.net (http://forum.oszone.net/index.php)
-   Лечение систем от вредоносных программ (http://forum.oszone.net/forumdisplay.php?f=87)
-   -   Вирус,вылет из админки,как починить? (http://forum.oszone.net/showthread.php?t=195303)

Дмитрий336699 29-12-2010 13:25 1576957
Вирус,вылет из админки,как починить?
 
Вложений: 1
  • 1.jpg (129.80 KB, скачиваний: 17)
Здраствуйте. Я подхватил какойто вирус он у меня тыкал по многу раз на окна и открывал их по 20-30 раз проверил Нод32 удалил 2 объекта,но вирус продолжал буйствовать. Потом просто вырубил комп с розетки включил и все прошло:) Но теперь у меня нет админ панели тоесть кнопки выключить, выполнить,панель управелния тоже отсутствует. Это еще при первой перезагрузке было когда я вирус подхватил а не после вырубания из разетки, вопрос как востановится?

setwolk 29-12-2010 13:46 1576974
Дмитрий336699,
Сделать рекомендованые логи, сначала надо.
Запустите процесс explorer.exe вызвав ctrl+alt+del диспетчер задач и панель появится, но пролечится ехе раз стоит!

Дмитрий336699 29-12-2010 16:48 1577116
Он запущен, но панель не появилась ,щас перезагружусь.И напишите или ссылку айте какие вам логи нужны...
Цитата:
но пролечится ехе раз стоит!
что для этого нужно7

Все равно такая же панель, может я неправельно запускаю его? хотя пишет что процес запущен...

zirreX 29-12-2010 16:58 1577125
Здравствуйте!

Подготовьте логи AVZ и RSIT по правилам.

Дмитрий336699 29-12-2010 17:00 1577127
напишете ка панель вернуть а то я выключаю через разетку :laugh: или напишите как выключать подругому...

Вот в правилах написанно:
Цитата:
Пожалуйста убедитесь, что вы работаете с правами администратора.
А я вроде как не на правах админа щас сижу же...

zirreX 29-12-2010 17:37 1577138
Запустите AVZ, Файл -- Восстановление системы, отметьте 6-ой и 8-ой пункты и нажмите Выполнить отмеченные операции.

Готовьте логи.

Arbitr 29-12-2010 17:37 1577139
делайте пока как можете..права вам вернем

iskander-k 29-12-2010 20:54 1577270
Цитата:
Цитата Дмитрий336699
или напишите как выключать подругому... »
Alt+F4 появится панель отключения.

Дмитрий336699 30-12-2010 10:40 1577555
Вложений: 1
Странно , права админа сами вернулись, но я все равно подготовил логи ,а то надоело это прыгание всего того что можно и нельзя.

SolarSpark 30-12-2010 11:14 1577592
Здравствуйте, сейчас гляну

SolarSpark 30-12-2010 12:39 1577691
Добрый день. Панель управления теперь доступна?

Проверьте файл на www.virustotal.com
Код:
C:\Program Files\Save\Save.exe
Дайте ссылку на результат проверки файла.

Обновите Internet Explorer до IE8 даже, если им не пользуетесь
Обновите Java до последней актуальной версии. Устаревшие версии несут в себе уязвимости, которые могут стать причиной заражения.

Отключите:
Компьютер от интернета/локальной сети
Антивирус/Файерволл

• Выполните скрипт AVZ

AVZ, меню "Файл -> Выполнить скрипт" -> Скопировать ниже написанный скрипт -> Нажать кнопку "

Запустить".

Код:
begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(true);
 QuarantineFile('C:\Documents and Settings\Admin\Local Settings\Temp\NEventMessages.dll','');
 QuarantineFile('C:\WINDOWS\system32\XDva372.sys','');
 QuarantineFile('C:\WINDOWS\system32\XDva370.sys','');
 DeleteFile('C:\WINDOWS\system32\XDva370.sys');
 DeleteFile('C:\WINDOWS\system32\XDva372.sys');
 DeleteService('XDva372');
 DeleteService('XDva370');
 BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
После выполнения скрипта компьютер перезагрузится!

После перезагрузки выполните такой скрипт:

AVZ, меню "Файл -> Выполнить скрипт" -> Скопировать ниже написанный
скрипт -> Нажать кнопку "Запустить".

Код:
begin
 CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.
В результате выполнения скрипта будет сформирован карантин.Отправьте c:\quarantine.zip при помощи этой формы

Пофиксить в HijackThis:
Код:
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://super-filezz.com
Сами делали настройки? Если нет, то
Пофиксить в HijackThis:
Код:
O24 - Desktop Component 0: (no name) - file:///C:/DOCUME~1/Admin/LOCALS~1/Temp/msohtml1/01/clip_image001.jpg
Ваши DNS?
Код:
62.213.7.190 62.213.0.12
OJSC VolgaTelecom - Ваш провайдер?

После выполнения скачайте свежую версию AVZ, обновите базы и повторите логи
вложите логи AVZ в следующие сообщение + подготовьте лог RSIT
Запустите, выберите проверку файлов за последние три месяца и нажмите продолжить. Должны открыться два отчета log.txt и info.txt. Прикрепите их к следующему сообщению. Если вы их закрыли, то логи по умолчанию сохраняются в одноименной папке (RSIT) в корне системного диска.

Скачайте Malwarebytes' Anti-Malware или с зеркала, установите, обновите базы, выберите "Perform Full Scan", нажмите "Scan", после сканирования - Ok - Show Results (показать результаты) - Откройте лог и скопируйте в блокнот и прикрепите его к следующему посту.

Дмитрий336699 30-12-2010 16:48 1577907
А как узнать какая битная система? у меня в панели написанно просто виндус хр

SolarSpark 30-12-2010 17:27 1577925
Пуск/Выполнить/cmd. В командной строке набрать systeminfo. Если в пункте Тип системы значится х86, значит 32-битная ОС, в противном случае - 64-битная(х64)

Дмитрий336699 02-01-2011 15:32 1579171
Вложений: 2
С новым годом!
Цитата:
Цитата maniy77
Панель управления теперь доступна? »
Да.

Цитата:
Цитата maniy77
Дайте ссылку на результат проверки файла. »
такого файла ненашел.
Цитата:
Цитата maniy77
Ваши DNS? »
что это?
Цитата:
Цитата maniy77
OJSC VolgaTelecom - Ваш провайдер? »
Да.

SolarSpark 02-01-2011 20:13 1579333
Доброго времени суток, С Новым годом!

Удалите в Malwarebytes' Anti-Malware

Цитата:
Зараженные файлы:
C:\WINDOWS\system32\config\systemprofile\Application Data\fvgqad.dat (Malware.Trace) -> No action taken.
второй файл keygen.exe, кряк для Call of Duty 4 на ваше усмотрение. Может содержать трояны.

Почему не обновили Internet Explorer до 8-ой версии?
Каждая новая версия закрывает уязвимости предыдущей. Вы рискуете, не выполняя рекомендации.

Код:
Внимание !!! База поcледний раз обновлялась 25.08.2010 необходимо обновить базы при помощи автоматического обновления
Базы перед выполнением логов надо обновлять!!!

Добьем зловреда.

Отключите:
Компьютер от интернета/локальной сети
Антивирус/Файерволл

• Выполните скрипт AVZ

AVZ, меню "Файл -> Выполнить скрипт" -> Скопировать ниже написанный скрипт -> Нажать кнопку "

Запустить".

Код:
begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(true);
 QuarantineFile('C:\Program Files\Eclips\eclipse\plugins\org.eclipse.jdt.doc.isv_3.5.1.r351_v20090831.jar','');
 QuarantineFile('C:\Documents and Settings\Admin\Рабочий стол\Clickermann v3.1f\clk_hook.dll','');
 QuarantineFile('C:\Program Files\Save\Save.exe','');
 QuarantineFile('C:\WINDOWS\system32\XDva379.sys','');
 DeleteFile('C:\WINDOWS\system32\XDva379.sys');
 DeleteService('XDva379');
 BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
После выполнения скрипта компьютер перезагрузится!

После перезагрузки выполните такой скрипт:

AVZ, меню "Файл -> Выполнить скрипт" -> Скопировать ниже написанный
скрипт -> Нажать кнопку "Запустить".

Код:
begin
 CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.
В результате выполнения скрипта будет сформирован карантин.Отправьте c:\quarantine.zip при помощи этой формы и сообщите о самочувствии (решена ли проблема)

Эти сайты вам знакомы? Если не ваши настройки, Пофиксить в HijackThis:
Код:
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://search.conduit.com?SearchSource=10&ctid=CT2737658
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.bigseekpro.com/hypercam/{69412271-7345-4262-921F-FEB9D3915E04}
что из этого вам не нужно?

Код:
>> Службы: разрешена потенциально опасная служба TermService (Службы терминалов)
>> Службы: разрешена потенциально опасная служба SSDPSRV (Служба обнаружения SSDP)
>> Службы: разрешена потенциально опасная служба Schedule (Планировщик заданий)
>> Службы: разрешена потенциально опасная служба RDSessMgr (Диспетчер сеанса справки для удаленного рабочего стола)
> Службы: обратите внимание - набор применяемых на ПК служб зависит от области применения ПК (домашний, ПК в ЛВС компании ...)!
>> Безопасность: к ПК разрешен доступ анонимного пользователя
>> Безопасность: Разрешена отправка приглашений удаленному помошнику

Деинсталлируйте Malwarebytes' Anti-Malware .

повторите логи AVZ (c обновленными базами!!! + RSIT)

Дмитрий336699 03-01-2011 11:58 1579670
Цитата:
Цитата maniy77
кряк для Call of Duty 4 на ваше усмотрение »
Это мне нужно я играю по сетке.
Цитата:
Цитата maniy77
Удалите в Malwarebytes' Anti-Malware »
Файл нашел через поиск, а в карантине этой программы его нет.Удалить который через поиск?
Цитата:
Цитата maniy77
Почему не обновили Internet Explorer до 8-ой версии? »
Да не смог скачать щас попробую еще раз.
Цитата:
Цитата maniy77
Эти сайты вам знакомы? »
Нет.
Цитата:
Цитата maniy77
что из этого вам не нужно? »
А что это? наверно лучше убрать.
Цитата:
Цитата maniy77
Деинсталлируйте Malwarebytes' Anti-Malware . »
Потом скачать новую?
Цитата:
Цитата maniy77
повторите логи AVZ (c обновленными базами!!! + RSIT) »
Я скачал с вашего сайта ,я думал новая.
Логи скоро будут...

Дмитрий336699 03-01-2011 12:52 1579694
Цитата:
Цитата maniy77
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.bigseekpro.com/hypercam/{69412271-7345-4262-921F-FEB9D3915E04} »
Вот этого кода не нашел там есть только mocrasoft.com(сори за неправельное написание)
ИЕ обновил до 8
Остальные скрипты тож выполнил.

SolarSpark 03-01-2011 12:58 1579697
Пофиксить в HijackThis:
Код:
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://search.conduit.com?SearchSource=10&ctid=CT2737658
Цитата:
Цитата Дмитрий336699
Файл нашел через поиск »
Как удалять с помощю MBAM указанные в теме элементы?
- Запустите MBAM
- выберите Perform Full Scan (Провести полную проверку)
- нажмите Scan (Проверить)
- после сканирования выберите Ок и далее Show Results (Показать результаты)
- нажмите Remove Selected (удалить выделенные, внимание - проверьте то, что удаляете).

Деинсталлируйте Malwarebytes' Anti-Malware .
Новую скачивать не нужно. Программа необходима только для временного применения во время лечения.

Для обновления баз в AVZ. Программу открыть, файл - обновить базы.

Цитата:
Цитата Дмитрий336699
А что это? наверно лучше убрать. »
это список уязвимостей на вашем компе, которые желательно закрыть

Планировщик заданий вам оставила, у вас там прописано задание от Ask.

Выполнить в AVZ
Код:
begin
 SetServiceStart('SSDPSRV', 4);
 SetServiceStart('TermService', 4);
 RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Control\Terminal Server','fAllowToGetHelp', 0);
 RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Control\LSA','RestrictAnonymous', 2);
end.
Что с проблемой?
Лог RSIT обязательно повторить.

Дмитрий336699 03-01-2011 13:57 1579723
Вложений: 1
  • rsit.zip (15.60 KB, скачиваний: 12)
Цитата:
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://search.conduit.com?SearchSour...ctid=CT2737658
Это профиксил.
Цитата:
Цитата maniy77
Деинсталлируйте Malwarebytes' Anti-Malware . »
убрал
Цитата:
Цитата maniy77
Планировщик заданий вам оставила »
Да вы еще и девушка , удивлен.
Цитата:
Цитата maniy77
это список уязвимостей на вашем компе, которые желательно закрыть »
хорошо закрывем , напишите как.
Цитата:
Цитата maniy77
Что с проблемой? »
пока все нормально не че не прыгает , все послушное...
Логи с обновлением + рстс:

SolarSpark 03-01-2011 15:21 1579787
все чисто

Цитата:
Цитата Дмитрий336699
Да вы еще и девушка , удивлен. »
такое тоже бывает) надеюсь, на лечение пол хелпера не повлиял?)

В качестве рекомендаций:
Для закрытия еще одной потенциально опасной службы и заодно отключения автозапуска со сменных носителей (рекомендую, чтобы не заражаться с различных флешек) выполните скрипт в AVZ

Код:
begin
SetServiceStart('RDSessMgr', 4);
RegKeyIntParamWrite('HKLM','SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer','NoDriveTypeAutoRun', 221);
end.
Далее
Создайте новую контрольную точку восстановления и очистите заражённую:
1. Нажмите Пуск - Программы – Стандартные – Служебные – Очистка диска, выберите системный диск, на вкладке Дополнительно-Восстановление системы нажмите Очистить
2. Нажмите Пуск- Программы – Стандартные – Служебные – Восстановление системы, выберите Создать точку восстановления, нажмите Далее, введите имя точки восстановления и нажмите Создать.
Очистите временные файлы через Пуск-Программы-Стандартные-Служебные-Очистка диска или с помощью ATF Cleaner
  1. скачайте ATF Cleaner, запустите, поставьте галочку напротив Select All и нажмите Empty Selected.
  2. если вы используете Firefox, нажмите Firefox - Select All - Empty Selected
  3. нажмите No, если вы хотите оставить ваши сохраненные пароли
  4. если вы используете Opera, нажмите Opera - Select All - Empty Selected
  5. нажмите No, если вы хотите оставить ваши сохраненные пароли
Рекомендуем для предотвращения заражения:
- не работать за компьютером с правами администратора
- не использовать Internet Explorer или отключить в нем ActiveX и настроить безопасность (рекомендую использовать Firefox c плагином NoScript)
- регулярно устанавливать обновления windows и обновлять антивирусные базы.

Лечение закончено) Чистого интернета вам в новом году!

Дмитрий336699 03-01-2011 16:32 1579831
Я пользуюсь CCleaner настройки нормальные чистит систему браузеры там куки ,кеш и т д...
Все выполнил.
Щас еще контр точку создам...
Цитата:
Цитата maniy77
Рекомендуем для предотвращения заражения:
- не работать за компьютером с правами администратора
- не использовать Internet Explorer или отключить в нем ActiveX и настроить безопасность (рекомендую использовать Firefox c плагином NoScript)
- регулярно устанавливать обновления windows и обновлять антивирусные базы. »
1 так неудобно.
2 не использую.
3 виндус незнаю как , а нод 32 постоянно обновляется.
ах да использую оперу , тож кажется удобнее...
Спасибо за все, столько времени убили.Это самый крутейский сай и форум...

SolarSpark 03-01-2011 20:23 1579956
Цитата:
Цитата Дмитрий336699
3 виндус незнаю как »
Обновления устанавливаются через сайт Microsoft Update. Или через функцию автоматического обновления Windows: Панель управления (Control Panel) >Система- Автоматическое обновление (Automatic Updates).


Время: 17:26.

Время: 17:26.
© OSzone.net 2001-