Virus.Win32.Ramnit

@TID · Регистрация: 05.10.2012

Author24 — интернет-сервис помощи студентам

Привет. У меня после запуска винды со временем увеличиваеться виртуальная память.
если после запуска ~300 мб, с опера+фотошоп ~800, то мин через 30-40 почти 1000мб без каких либо програм.
CureIt нашел: svchost.exe троян в пямяти.
CureIt удаляет вирус, посре перезагрузки пишет: вирусов не найдено, но мин через 30 вирус опять появляеться.
Сейчас в ДЗ 2 процеса svchost.exe которые запущены от имени пользователя.

S.R · 05.10.2012, 19:40

Внимание! Рекомендации написаны специально для этого пользователя. Если рекомендации написаны не для вас, не используйте их - это может повредить вашей системе. Если у вас похожая проблема - создайте тему в разделе Лечение компьютерных вирусов и выполните Правила запроса о помощи.
________________________________________
На время выполнения скриптов/сбора логов отключайте антивирусы и сетевые экраны!

Скачайте и запустите HiJackThis. Нажмите кнопку Do a system scan only.
В открывшемся логе сканирования поставьте галочки напротив указанных строк (некоторых строк может не быть) и нажмите кнопку Fix сhecked.

Код

F2 - REG:system.ini: UserInit=c:\windows\system32\userinit.exe,,c:\program files\microsoft\watermark.exe
O9 - Extra button: (no name) - {8DAE90AD-4583-4977-9DD4-4360F7A45C74} - (no file)

________________________________________

Выполните скрипт в AVZ (меню Файл\Выполнить скрипт):

Код

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'В процессе выполнения скрипта компьютер будет перезагружен.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\system32\DE.tmp','');
 QuarantineFile('C:\WINDOWS\explorerSrv.exe','');
 QuarantineFile('C:\Documents and Settings\WinXP\Application Data\taskhost.exe','');
  QuarantineFile('c:\program files\microsoft\watermark.exe','');
  QuarantineFile('C:\Documents and Settings\All Users\Application Data\NTFS\ntdsk.dll','');
 DeleteFile('C:\WINDOWS\system32\DE.tmp');
 DeleteFile('C:\Documents and Settings\WinXP\Application Data\taskhost.exe');
  DeleteFile('c:\program files\microsoft\watermark.exe');
RegKeyStrParamWrite('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon','UserInit', GetEnvironmentVariable('WinDir')+'\System32\userinit.exe,'); 
 RegKeyStrParamWrite('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','AutoCreateQuarantine', '"' + GetAVZDirectory + 'avz.exe' + '"' + ' Script=' + '"' + GetAVZDirectory + 'Script.txt' + '"');
 AddLineToTxtFile(GetAVZDirectory + 'Script.txt', 'begin'+#13#10+' CreateQurantineArchive(GetAVZDirectory' + ' + ' + Chr(39) + 'quarantine.zip' + Chr(39) + ');'+#13#10+' RegKeyParamDel('+Chr(39)+'HKEY_CURRENT_USER'+Chr(39) + ', ' +Chr(39)+'Software\Microsoft\Windows\CurrentVersion\Run'+Chr(39)+ ', '+Chr(39)+'AutoCreateQuarantine'+Chr(39)+');'+#13#10+' ExecuteFile('+Chr(39)+'explorer.exe'+Chr(39) + ', ' + 'GetAVZDirectory, 1, 0, false);'+#13#10+' ExitAVZ;'+#13#10+'end.');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Архив quarantine.zip из папки с AVZ отправьте через веб-форму.

Обновите базы AVZ (меню Файл\Обновление баз) и сделайте новые логи AVZ и RSIT.
________________________________________
Скачайте Malwarebytes' Anti-Malware, установите, обновите базы.
Если программа уже установлена - обновите базы.
Выберите Полное сканирование, нажмите Сканирование. Отметьте локальные диски и флешки.
После сканирования откроется лог. Если он не открылся, нажмите Ok - Показать результаты
Сохраните лог и прикрепите к сообщению.

Обновите Java SE.

Напишите содержимое папок

Код

2012-09-09 11:17:40 ----D---- C:\Program Files\115
2012-09-09 11:17:40 ----D---- C:\Documents and Settings\All Users\Application Data\115

@TID · 05.10.2012, 22:00 **[ТС]**

ужас. вирус везде. каждую програму которуя я бы не запускал anti-malware определяет как инфицированную. в папке с авз уже появился avzSrv.exe.

после выполнения скрипта:
explorerSrv.exe, watermark.exe остались на своих местах, остальных файлов из скрипта не нашел.

Код

C:\Program Files\115 - пусто
C:\Documents and Settings\All Users\Application Data\115 -> Accounts.ini, resume.ini, Syscfg.ini, transfer.ini, HisData.db, uar.bin

это был китайский браузер.

На прошлой неделе CureIt вирусов не находил. Скорее всего вирус на комп попал на этой неделе.

@thyrex · 05.10.2012, 22:36

У Вас файловый вирус. Лечитесь так (скачивать и записывать образ на диск на чистой от вирусов машине)

По завершении - новые логи

@TID · 06.10.2012, 22:07 **[ТС]**

После использования Kaspersky Rescue Disk 10 вроде как главная проблема решена.
Но авз все еще жалуеться на опасный файл: ntdsk.dll, и anti-malvare нашел 2 вируса.

то что в unlocker и в cureit написано Explorer.EXE а в ДЗ ну и сам файл називаеться explorer.exe - это нормально ?

сейчас еще запущу полную проверку в cureit

@~~Katharsis~~ · 06.10.2012, 22:16

Сообщение от TID

сейчас еще запущу полную проверку в cureit

не нужно, может удалить измененные системные файлы

@thyrex · 07.10.2012, 12:36

Внимание! Рекомендации написаны специально для этого пользователя. Если рекомендации написаны не для вас, не используйте их - это может повредить вашей системе. Если у вас похожая проблема - создайте тему в разделе Лечение компьютерных вирусов и выполните Правила запроса о помощи.
_______________________________________________________

Выполните скрипт в AVZ

Код

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
QuarantineFile('C:\Documents and Settings\All Users\Application Data\NTFS\ntdsk.dll','');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad','NTFileSystem');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.

Выполните скрипт в AVZ

Код

begin
CreateQurantineArchive('c:\quarantine.zip');
end.

Отправьте c:\quarantine.zip при помощи этой формы

Сделайте новые логи

@~~Katharsis~~ · 09.10.2012, 09:00

TID, ждем ответа

@thyrex 13271 / 7395 / 1565 Регистрация: 06.09.2009 Сообщений: 26,956
	05.10.2012, 22:36	4
	У Вас файловый вирус. Лечитесь так (скачивать и записывать образ на диск на чистой от вирусов машине) По завершении - новые логи 1

@~~Katharsis~~ Заблокирован
	06.10.2012, 22:16	6
	Сообщение от TID сейчас еще запущу полную проверку в cureit не нужно, может удалить измененные системные файлы 1

@thyrex 13271 / 7395 / 1565 Регистрация: 06.09.2009 Сообщений: 26,956
	07.10.2012, 12:36	7
	Внимание! Рекомендации написаны специально для этого пользователя. Если рекомендации написаны не для вас, не используйте их - это может повредить вашей системе. Если у вас похожая проблема - создайте тему в разделе Лечение компьютерных вирусов и выполните Правила запроса о помощи. _______________________________________________________ Выполните скрипт в AVZ Код begin ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.'); ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true); if not IsWOW64 then begin SearchRootkit(true, true); SetAVZGuardStatus(True); end; QuarantineFile('C:\Documents and Settings\All Users\Application Data\NTFS\ntdsk.dll',''); RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad','NTFileSystem'); BC_ImportAll; ExecuteSysClean; BC_Activate; RebootWindows(true); end. Компьютер перезагрузится. Выполните скрипт в AVZ Код begin CreateQurantineArchive('c:\quarantine.zip'); end. Отправьте c:\quarantine.zip при помощи этой формы Сделайте новые логи 0

@~~Katharsis~~ Заблокирован
	09.10.2012, 09:00	8
	TID, ждем ответа 0