Для тех, чьи системы заражены вирусами!

D_Master · 27 ноября, 2008

Если ваш компьютер посетили вирусы/трояны/шпионы и прочие вредоносные программы (или вы подозреваете; что в вашей системе хозяйничают разные паразиты) , то не спешите перестанавливать систему - все может обойтись, если правильно выполнить следующие пункты (займет примерно 20 минут вашего времени):

1. Скачайте сканер AVZ
2. Перед запуском AVZ Восстановление системы (Панель управления-Система-Восстановление системы-Отключить восстановление системы на всех дисках (поставить галочку)-Ок).
Закройте все активные приложения, включая антивирус и файрвол, оставьте включенным только браузер - чтобы читать данное руководство
3. Желательно подключить имеющиеся флэш-диски перед началом сканирования, или же отформатировать их.
4. Разархивируйте скаченный архив avz4.zip в отдельную папку
5. Запустите AVZ (Если работать с AVZ в обычных условиях не представляется возможности из-за SMS-блокеров то запустите deblocker.bat, который запустит AVZ на отдельном рабочем столе), Отметьте все разделы жесткого диска (если подключены флэшки, отметьте и их тоже) и откройте Файл-Стандартные скрипты, Выберите 7й скрипт ("Скрипт обновления, лечения и сбора информации Kaspersky Lab"). Нажмите "Выполнить отмеченные скрипты", После выполнения скрипта (потребуется ~ 10-20 минут в зависимости от размеров ваших жестких дисков) компьютер перезагрузится.
6. Выложите на фалообменик (Используйте следующие файлообменники:http://zalil.ru, http://files.mail.ru/ и http://disk.tom.ru/) (zip файл из каталога AVZ\LOG (файл KL_syscure.zip) и сообщите ссылку на архив здесь в теме.

Как сделать логи AVZ

Скрытый текст

Как сделать лог Malwarebytes Antimalware

Скрытый текст

Скачайте Malwarebytes' Anti-Malware и сохраните установочный файл.

Установите программу (во время установки откажитесь от использования Пробной версии). Запустите программу"Malwarebytes' Anti-Malware" с рабочего стола.

Важно! В Windows Vista/7/8 программу нужно запускать через контекстное меню проводника от имени Администратора т.к. по умолчанию учетная запись Администратора понижена в правах.

Откроется главное окно MBAM в нем обновите базы MBAM, нажав на кнопку "Update Now". После установки обновлений перейдите на вкладку "Scan". На вкладке "Scan" выберите "Custom Scan" и нажмите на кнопку "Scan Now".

Затем напротив пункта "Custom Scanning Options" поставьте галочку "Scan For Rootkits".

После этого отметьте галочками все жесткие диски и нажмите на кнопку "Start Scan". Пойдет процесс проверки, который займет некоторое время. По окончанию проверки нажмите на кнопку "Export Log".

Затем сохраните полученный лог как текстовой документ (txt-файл) на рабочем столе. Прикрепите этот лог в вашей теме.

5. Прикрепите его без переименования к Вашему следующему сообщению.

Внимание! Любые вопросы по лечению зараженных компьютеров без предоставления логов будут игнорироваться!На сообщения в личку с просьбами посмотреть логи не отвечаю!

Уважаемые пользователи! Если вы обратились за помощью в этой теме, будьте терпеливы - доводите дело до конца, не нужно переустанавливать систему при первом же затруднении - тем самым вы сводите работу помогающих на нет, тратя и их, и своё время впустую.

Обновлено 11 ноября 2016. //VR

chimit_ · 21 августа, 2010

Sasha123

Сделай логи (как делать - написано в первом посту)

Dvorkin · 23 августа, 2010

Проблема: не открывается флешка

http://slil.ru/29591172 hijackthis.rar

http://slil.ru/29591175 KL_syscure.zip

volant · 24 августа, 2010

Проблема с входом в поисковики http://slil.ru/29594314

Добавлено спустя 1 минуту 6 секунд:

Ну то есть с вконтакте.ру

VR · 24 августа, 2010

Dvorkin

Выполни скрипт AVZ (как выполнить скрипт в шапке)

SearchRootkit(true, true);
SetAVZGuardStatus(True);
TerminateProcessByName('c:\users\bair\appdata\roaming\microsoft\windows\start menu\programs\startup\winlogon.exe');
QuarantineFile('C:\Users\Bair\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\winlogon.exe','');
QuarantineFile('C:\Windows\System32\ws03res.dll','');
QuarantineFile('C:\Windows\system32\DRIVERS\fcdabus.sys','');
QuarantineFile('c:\temp\Gz41rF91.sys','');
QuarantineFile('C:\Windows\System32\Drivers\aifn7nls.SYS','');
QuarantineFile('C:\Windows\System32\Drivers\adeh9pvz.SYS','');
QuarantineFile('c:\users\bair\appdata\roaming\microsoft\windows\start menu\programs\startup\winlogon.exe','');
QuarantineFile('?.exe','');
QuarantineFile('?','');
QuarantineFile('H:\winlogon.exe','');
QuarantineFile('H:\autorun.inf','');
DeleteFile('H:\autorun.inf');
DeleteFile('H:\winlogon.exe');
DeleteFile('?');
DeleteFile('?.exe');
DeleteFile('c:\temp\Gz41rF91.sys');
DeleteFile('C:\Games\The Path\channels\FB75C7AB-9843-4F64-BD23-EB90B2466965.dll');
DeleteFile('C:\Games\The Path\channels\InstanceRefFromContainer.dll');
DeleteFile('c:\users\bair\appdata\roaming\microsoft\windows\start menu\programs\startup\winlogon.exe');
DeleteFile('C:\Users\Bair\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\winlogon.exe');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','System');
BC_ImportAll;
ExecuteSysClean;
ExecuteWizard('TSW',2,3,true);
BC_Activate;
RebootWindows(true);
end.
begin

Выполнить скрипт в AVZ.:

begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.

quarantine.zip из папки AVZ выложи на файлообменик

С делай заново логи AVZ (2й стандартный скрипт AVZ)

Сделай еще лог Gmer

Загрузите GMER

Запустите программу, начнется экспресс-проверка. При появлении окна с сообщением о деятельности руткита, нажмите No.

После завершения экспресс-проверки в правой части окна программы уберите метку со следующих пунктов:

Sections

IAT/EAT

Show all

Из всех дисков оставьте отмеченным только системный диск (обычно C:\)

Нажмите на кнопку Scan и дождитесь окончания проверки. При появлении окна с сообщением о деятельности руткита, нажмите OK.

После окончания проверки сохраните его лог (нажмите на кнопку Save) и выложи его.

Добавлено спустя 25 минут 15 секунд:

volant

Выполни скрипт AVZ (как выполнить скрипт в шапке)

SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\Windows\system32\acaptuser32.dll','');
QuarantineFile('C:\Windows\system32\Wat\WatUX.exe','');
QuarantineFile('C:\Windows\System32\drivers\dwprot.sys','');
QuarantineFile('C:\Users\Администратор\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Window Switcher.lnk','');
QuarantineFile('C:\Users\Администратор\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Shows Desktop.lnk','');
QuarantineFile('C:\Users\Администратор\AppData\Local\Temp\Application\mFormat.exe','');
QuarantineFile('C:\Windows\system32\pwdspio.sys','');
QuarantineFile('C:\Windows\system32\pwdrvio.sys','');
QuarantineFile('C:\Windows\system32\Drivers\uzeyndk5.sys','');
QuarantineFile('C:\Windows\System32\Drivers\spyh.sys','');
QuarantineFile('C:\Windows\System32\Drivers\dump_iaStor.sys','');
QuarantineFile('C:\Windows\system32\FsUsbExDisk.SYS','');
DeleteFile('C:\Users\Администратор\AppData\Local\Temp\Application\mFormat.exe');
DeleteFile('C:\Users\Администратор\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Shows Desktop.lnk');
DeleteFile('C:\Users\Администратор\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Window Switcher.lnk');
DeleteFile('C:\Windows\system32\acaptuser32.dll');
BC_ImportAll;
ExecuteSysClean;
ClearHostsFile;
ExecuteWizard('TSW',2,3,true);
ExecuteRepair(13);
BC_Activate;
RebootWindows(true);
end.
begin

quarantine.zip из папки AVZ выложи на файлообменик

С делай заново логи AVZ (2й стандартный скрипт AVZ)

Сделай еще лог Gmer

Загрузите GMER

Запустите программу, начнется экспресс-проверка. При появлении окна с сообщением о деятельности руткита, нажмите No.

После завершения экспресс-проверки в правой части окна программы уберите метку со следующих пунктов:

Sections

IAT/EAT

Show all

Из всех дисков оставьте отмеченным только системный диск (обычно C:\)

Нажмите на кнопку Scan и дождитесь окончания проверки. При появлении окна с сообщением о деятельности руткита, нажмите OK.

После окончания проверки сохраните его лог (нажмите на кнопку Save) и выложи его.

volant · 24 августа, 2010

Здесь GMER и 2й стандартный скрипт AVZ http://slil.ru/29594752

а скрипт из спойлера вылетает программа AVZ

VR · 24 августа, 2010

volant

Выполни скрипт AVZ (как выполнить скрипт в шапке)

SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\Windows\system32\acaptuser32.dll','');
QuarantineFile('C:\Windows\System32\drivers\dwprot.sys','');
QuarantineFile('C:\Users\voland\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Shows Desktop.lnk','');
QuarantineFile('C:\Users\voland\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Window Switcher.lnk','');
QuarantineFile('C:\Windows\System32\Drivers\spxc.sys','');
QuarantineFile('C:\Windows\system32\FsUsbExDisk.SYS','');
QuarantineFile('C:\Windows\System32\Drivers\dump_dumpfve.sys','');
QuarantineFile('C:\Windows\System32\Drivers\dump_iaStor.sys','');
QuarantineFile('C:\Users\voland\AppData\Local\Temp\awldypow.sys','');
QuarantineFile('c:\windows\system32\fsusbexservice.exe','');
QuarantineFile('c:\program files\p4g\batterylife.exe','');
DeleteFile('C:\Users\voland\AppData\Local\Temp\awldypow.sys');
DeleteFile('C:\Users\voland\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Window Switcher.lnk');
DeleteFile('C:\Users\voland\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Shows Desktop.lnk');
DeleteFile('C:\Windows\system32\acaptuser32.dll');
DeleteFile('C:\Windows\System32\drivers\dwprot.sys');
ClearHostsFile;
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
begin

Выполнить скрипт в AVZ.:

begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.

quarantine.zip из папки AVZ выложи на файлообменик

С делай заново логи AVZ (2й стандартный скрипт AVZ)

volant · 25 августа, 2010

Сделал

http://slil.ru/29596983

VR · 25 августа, 2010

volant

Пофиксите в HijackThis:

R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = 77.78.240.167:80
R3 - URLSearchHook: (no name) -  - (no file)

Выполни скрипт AVZ (как выполнить скрипт в шапке)

begin
ExecuteRepair(13);
RebootWindows(true);
end.

С делай заново логи AVZ (2й стандартный скрипт AVZ) и лог HijackThis:

volant · 25 августа, 2010

R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = 77.78.240.167:80

нет такого

VR · 25 августа, 2010

volant

После скрипта AVZ сделай новые логи AVZ и HijackThis

С делай заново логи AVZ (2й стандартный скрипт AVZ) и лог HijackThis:

volant · 25 августа, 2010

Сделал http://slil.ru/29598389

VR · 25 августа, 2010

Пофиксить в HijackThis все строчки начинающиеся с

 O1 - Hosts

Затем перезагрузите компьютер и повторите лог HijackThis

volant · 25 августа, 2010

http://slil.ru/29598659

Добавлено спустя 44 минуты 5 секунд:

VR Спасибо тебе огромное!

VR · 25 августа, 2010

volant

Я так понимаю проблема решена?

volant · 26 августа, 2010

Угу

David Blaine · 26 августа, 2010

VR

интересно как AVZ работает с windows7 ?

VR · 26 августа, 2010

David Blaine

Последняя версия нормально работает с win 7

Natasha · 26 августа, 2010

VR

посмотрите http://files.mail.ru/87GNGX, что у меня получилось.

VR · 26 августа, 2010

Natasha

Выполни скрипт AVZ (как выполнить скрипт в шапке)

SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\Program Files\ICQ7.1\aolload.dll','');
QuarantineFile('C:\Program Files\ICQ7.1\aolload.exe','');
QuarantineFile('D:\AUTORUN.EXE','');
QuarantineFile('D:\autorun.inf','');
QuarantineFile('C:\Windows\System32\uxtuneup.dll','');
QuarantineFile('aolload.exe','');
DeleteFile('D:\autorun.inf');
DeleteFile('D:\AUTORUN.EXE');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
begin

Выполнить скрипт в AVZ.:

begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.

quarantine.zip из папки AVZ выложи на файлообменик

С делай заново логи AVZ (2й стандартный скрипт AVZ)

И какой конкретно билд Kaspersky Internet Security 2010 установлен?

Natasha · 26 августа, 2010

Каспер 9.0.0.736, попробую сделать)

Добавлено спустя 44 минуты 25 секунд:

VR

http://files.mail.ru/IKER99, сейчас логи попробую сделать

Добавлено спустя 12 минут 22 секунды:

"С делай заново логи AVZ (2й стандартный скрипт AVZ) " - запуталась я, подскажи, как именно?

Dvorkin · 26 августа, 2010

VR

http://slil.ru/29602411 gmerlog.rar

http://slil.ru/29602417 quarantine.zip

http://slil.ru/29602421 virusinfo_syscheck.zip

VR · 27 августа, 2010

Natasha

"С делай заново логи AVZ (2й стандартный скрипт AVZ) " - запуталась я, подскажи, как именно?

Вот так

Dvorkin

Выполни скрипт AVZ (как выполнить скрипт в шапке)

SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\Windows\system32\DRIVERS\nwlnkflt.sys','');
QuarantineFile('C:\Windows\system32\DRIVERS\Moufiltr.sys','');
QuarantineFile('C:\Windows\system32\DRIVERS\ipinip.sys','');
QuarantineFile('C:\Windows\system32\DRIVERS\fvxscsi.sys','');
QuarantineFile('C:\Windows\system32\DRIVERS\fsRamDsk.sys','');
DeleteFile('C:\Users\Bair\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\winlogon.exe');
QuarantineFile('C:\Windows\SYSTEM32\ltdrunsrv.dll','');
DeleteFile('C:\Windows\SYSTEM32\ltdrunsrv.dll');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SYSTEM\CurrentControlSet\Services\LtdSrv\Parameters','ServiceDll');
DeleteService('fcdabus');
QuarantineFile('C:\Windows\system32\DRIVERS\fcdabus.sys','');
QuarantineFile('C:\Windows\system32\DRIVERS\SaiMini.sys','');
QuarantineFile('C:\Windows\system32\drivers\SaiBus.sys','');
QuarantineFile('C:\Windows\System32\ws03res.dll','');
DeleteFile('C:\Windows\system32\DRIVERS\fcdabus.sys');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
ExecuteRepair(9);
RebootWindows(true);
end.
begin

Выполнить скрипт в AVZ.:

begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.

quarantine.zip из папки AVZ выложи на файлообменик

С делай заново логи AVZ (2й стандартный скрипт AVZ)

Скачайте ComboFix здесь, здесь, и сохраните на рабочий стол.

1.Внимание!Обязательно закройте все браузеры, временно выключите антивирус, firewall и другое защитное программное обеспечение. Не запускайте других программ во время работы Combofix. Combofix может отключить интернет через некоторое время после запуска, не переподключайте интернет пока Combofix не завершит работу. Если интернет не появился после окончания работы Combofix, перезагрузите компьютер. Во время работы Combofix не нажимайте кнопки мыши, это может стать причиной зависания Combofix.

2. Запустите combofix.exe, когда процесс завершится, запакуйте файл C:\ComboFix.txt и прикрепите к сообщению.

Прим: В случае, если ComboFix не запускается, переименуйте combofix.exe в combo-fix.exe

Natasha · 28 августа, 2010

VR

посмотите http://files.mail.ru/8ZE8NE. комп по прежнему тормозит(((

VR · 28 августа, 2010

Natasha

Я тебя просил сделать лог AVZ? а ты мне сделала лог Combofix

комп по прежнему тормозит(((

И какой именно процесс грузит систему?

Natasha · 28 августа, 2010

VR

http://files.mail.ru/V40PHK правильно?

Добавлено спустя 31 минуту 41 секунду:

5. Поиск перехватчиков событий клавиатуры/мыши/окон (Keylogger, троянские DLL)

Проверка отключена пользователем

6. Поиск открытых портов TCP/UDP, используемых вредоносными программами

Проверка отключена пользователем

8. Поиск потенциальных уязвимостей

>> Службы: разрешена потенциально опасная служба TermService (Службы удаленных рабочих столов)

>> Службы: разрешена потенциально опасная служба SSDPSRV (Обнаружение SSDP)

>> Службы: разрешена потенциально опасная служба Schedule (Планировщик заданий)

>> Безопасность: разрешен автозапуск программ с CDROM

>> Безопасность: разрешен административный доступ к локальным дискам (C$, D$ ...)

>> Безопасность: к ПК разрешен доступ анонимного пользователя

>> Безопасность: Разрешена отправка приглашений удаленному помошнику

Вот это как изменить? как проверить клавиатуру, она тормозит больше всего, и анонимный пользователь с удалённым помощником - как их убрать?

Войти

Для тех, чьи системы заражены вирусами!

Вопрос

Ссылка на комментарий

3 699 ответов на этот вопрос

Рекомендуемые сообщения

Ссылка на комментарий

Ссылка на комментарий

Ссылка на комментарий

Ссылка на комментарий

Ссылка на комментарий

Ссылка на комментарий

Ссылка на комментарий

Ссылка на комментарий

Ссылка на комментарий

Ссылка на комментарий

Ссылка на комментарий

Ссылка на комментарий

Ссылка на комментарий

Ссылка на комментарий

Ссылка на комментарий

Ссылка на комментарий

Ссылка на комментарий

Ссылка на комментарий

Ссылка на комментарий

Ссылка на комментарий

Ссылка на комментарий

Ссылка на комментарий

Ссылка на комментарий

Ссылка на комментарий

Ссылка на комментарий

Пожалуйста, войдите, чтобы комментировать

Последние посетители 0 пользователей онлайн

3 699 ответов на этот вопрос