NOD32 усиленный режим
-
FateMaster
NOD32 усиленный режим
Прошу помочь мне с моей проблемой. Такое дело, была проблема с усиленным режимом в нод32, паралельно была проблема с соц сетями вконтакте и одноклассники(не войти ни туда ни туда), прочел ваш форум следовал инструкциям, все вроде решилось, усиленный режим исчез, стало возможным залезать в настройки антивируса. Но осталась после этого проблема с отказом в доступе к соц сетям. Логи из инструкции по лечению усиленного режима нод32 прилагаются.
-
Farger
Re: NOD32 усиленный режим
Файл C:\Documents and Settings\FateMaster\Рабочий стол\Flash-Player.exe проверьте на
1. Скачайте
Запустите ATF Cleaner, поставьте галочку напротив Select All и нажмите Empty Selected.
- если вы используете Firefox, нажмите Firefox - Select All - Empty Selected;
- нажмите No, если вы хотите оставить ваши сохраненные пароли;
- если вы используете Opera, нажмите Opera - Select All - Empty Selected;
- нажмите No, если вы хотите оставить ваши сохраненные пароли.
2. Отключите:
Антивирус/Файерволл
AVZ, меню "Файл -> Выполнить скрипт" -> Скопировать ниже написанный
скрипт -> Нажать кнопку "Запустить".
Код:
После выполнения скрипта компьютер перезагрузится!
После перезагрузки выполните такой скрипт:
AVZ, меню "Файл -> Выполнить скрипт" -> Скопировать ниже написанный
скрипт -> Нажать кнопку "Запустить".
Код:
В результате выполнения скрипта будет сформирован карантин.Отправьте c:\quarantine.zip при помощи
В строке "Подробное описание возникшей ситуации:", напишите пароль на архив "virus" (без кавычек), в строке "Электронный адрес:" укажите свой электронный адрес. Результаты ответа, сообщите здесь, в теме.
3.
Код:
4. Скачайте
Если базы MBAM в автоматическом режиме обновить не удалось, обновите их
5. Загрузите SecurityCheck by screen317
Сохраните на Рабочий стол.
Запустите от имени администратора
Когда увидите консоль, нажмите любую клавишу для продолжения сканирования
Если увидите предупреждение от фаервола относительно программы SecurityCheck, не блокируйте ее работу
Дождитесь окончания сканирования и вы увидите лог в блокноте с именем checkup.txt;
Прикрепите его тоже в ваше следующее сообщение.
6. Повторите логи AVZ+RSIT
virustotal
и дайте ссылку на результат.1. Скачайте
ATF Cleaner
на рабочий стол.Запустите ATF Cleaner, поставьте галочку напротив Select All и нажмите Empty Selected.
- если вы используете Firefox, нажмите Firefox - Select All - Empty Selected;
- нажмите No, если вы хотите оставить ваши сохраненные пароли;
- если вы используете Opera, нажмите Opera - Select All - Empty Selected;
- нажмите No, если вы хотите оставить ваши сохраненные пароли.
2. Отключите:
Антивирус/Файерволл
AVZ, меню "Файл -> Выполнить скрипт" -> Скопировать ниже написанный
скрипт -> Нажать кнопку "Запустить".
Код:
Код: Выделить всё
begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
SearchRootkit(true, true);
SetAVZGuardStatus(True);
TerminateProcessByName('c:\windows\systemup.exe');
TerminateProcessByName('c:\windows\sysdriver32_.exe');
TerminateProcessByName('c:\windows\sysdriver32.exe');
TerminateProcessByName('c:\windows\update.2\svchost.exe');
TerminateProcessByName('c:\windows\update.1\svchost.exe');
TerminateProcessByName('c:\windows\update.tray-2-0\svchost.exe');
TerminateProcessByName('c:\windows\l1rezerv.exe');
StopService('wxpdrivers');
StopService('srvsysdriver32');
StopService('srviecheck');
QuarantineFile('C:\WINDOWS\iecheck_iplist.txt','');
QuarantineFile('C:\WINDOWS\ddh_iplist.txt','');
QuarantineFile('C:\WINDOWS\iplist.txt','');
QuarantineFile('C:\Windows\loader2.exe_ok','');
QuarantineFile('C:\WINDOWS\front_ip_list.txt','');
QuarantineFile('C:\Windows\winlog-ids.txt','');
QuarantineFile('C:\Windows\winlog-dirs.txt','');
QuarantineFile('C:\WINDOWS\l1rezerv.exe','');
QuarantineFile('services32.exe','');
QuarantineFile('C:\WINDOWS\update.tray-2-0\svchost.exe','');
QuarantineFile('C:\WINDOWS\systemup.exe','');
QuarantineFile('C:\WINDOWS\sysdriver32_.exe','');
QuarantineFile('C:\WINDOWS\services32.exe','');
QuarantineFile('C:\WINDOWS\l1rezerv.exe','');
QuarantineFile('C:\WINDOWS\TEMP\9191955.exe','');
QuarantineFile('C:\WINDOWS\TEMP\8178876.exe','');
QuarantineFile('C:\WINDOWS\TEMP\2218174.exe','');
QuarantineFile('C:\WINDOWS\TEMP\1387167.exe','');
QuarantineFile('C:\WINDOWS\TEMP\1197580.exe','');
QuarantineFile('C:\DOCUME~1\FATEMA~1\LOCALS~1\Temp\526303.exe','');
QuarantineFile('C:\WINDOWS\update.1\svchost.exe','');
QuarantineFile('C:\WINDOWS\sysdriver32.exe','');
QuarantineFile('C:\WINDOWS\update.2\svchost.exe','');
QuarantineFile('c:\windows\systemup.exe','');
QuarantineFile('c:\windows\sysdriver32.exe','');
QuarantineFile('c:\windows\update.tray-2-0\svchost.exe','');
QuarantineFile('c:\windows\update.2\svchost.exe','');
QuarantineFile('c:\windows\update.1\svchost.exe','');
QuarantineFile('c:\windows\l1rezerv.exe','');
DeleteFile('c:\windows\l1rezerv.exe');
DeleteFile('c:\windows\update.1\svchost.exe');
DeleteFile('c:\windows\update.2\svchost.exe');
DeleteFile('c:\windows\update.tray-2-0\svchost.exe');
DeleteFile('c:\windows\sysdriver32.exe');
DeleteFile('c:\windows\systemup.exe');
DeleteFile('C:\WINDOWS\update.2\svchost.exe');
DeleteFile('C:\WINDOWS\sysdriver32.exe');
DeleteFile('C:\WINDOWS\update.1\svchost.exe');
DeleteFile('C:\DOCUME~1\FATEMA~1\LOCALS~1\Temp\526303.exe');
DeleteFile('C:\WINDOWS\l1rezerv.exe');
DeleteFile('C:\Windows\winlog-ids.txt');
DeleteFile('C:\Windows\winlog-dirs.txt');
DeleteFile('C:\WINDOWS\front_ip_list.txt');
DeleteFile('C:\Windows\loader2.exe_ok');
DeleteFile('C:\WINDOWS\iplist.txt');
DeleteFile('C:\WINDOWS\ddh_iplist.txt');
DeleteFile('C:\WINDOWS\iecheck_iplist.txt');
DeleteFile('services32.exe');
DeleteFile('C:\WINDOWS\TEMP\1197580.exe');
DeleteFile('C:\WINDOWS\TEMP\1387167.exe');
DeleteFile('C:\WINDOWS\TEMP\2218174.exe');
DeleteFile('C:\WINDOWS\TEMP\8178876.exe');
DeleteFile('C:\WINDOWS\TEMP\9191955.exe');
DeleteFile('C:\WINDOWS\l1rezerv.exe');
DeleteFile('C:\WINDOWS\services32.exe');
DeleteFile('C:\WINDOWS\sysdriver32_.exe');
DeleteFile('C:\WINDOWS\systemup.exe');
DeleteFile('C:\WINDOWS\update.tray-2-0\svchost.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','526303.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','1197580.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','1387167.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','2218174.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','8178876.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','9191955.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','l1rezerv.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','wxpdrv');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','sysdriver32.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','sysdriver32_.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','systemup');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','tray_ico0');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','tray_ico0');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','tray_ico1');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','tray_ico2');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','tray_ico3');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','tray_ico4');
RegKeyParamDel('HKEY_LOCAL_MACHINE','system\currentcontrolset\services\sharedaccess\parameters\firewallpolicy\standardprofile\authorizedapplications\list','C:\WINDOWS\update.1\svchost.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','system\currentcontrolset\services\sharedaccess\parameters\firewallpolicy\standardprofile\authorizedapplications\list','C:\WINDOWS\services32.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','system\currentcontrolset\services\sharedaccess\parameters\firewallpolicy\standardprofile\authorizedapplications\list','C:\WINDOWS\update.2\svchost.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','system\currentcontrolset\services\sharedaccess\parameters\firewallpolicy\standardprofile\authorizedapplications\list','C:\WINDOWS\update.tray-2-0\svchost.exe');
RegKeyParamWrite('HKLM','SYSTEM\CurrentControlSet\Control\SafeBoot','AlternateShell','REG_SZ', 'cmd.exe');
DeleteService('wxpdrivers');
DeleteService('srvsysdriver32');
DeleteService('srviecheck');
DeleteFileMask('C:\windows\update.1','*.*', true);
DeleteDirectory('C:\windows\update.1');
DeleteFileMask('C:\windows\update.2','*.*', true);
DeleteDirectory('C:\windows\update.2');
DeleteFileMask('C:\Windows\update.tray-2-0','*.*', true);
DeleteDirectory('C:\Windows\update.tray-2-0');
DeleteFileMask('C:\Windows\av_ico','*.*', true);
DeleteDirectory('C:\Windows\av_ico');
DeleteFileMask('C:\WINDOWS\TEMP\', '*.*', true);
DeleteFileMask(GetEnvironmentVariable ('Temp'), '*.*', true);
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.После выполнения скрипта компьютер перезагрузится!
После перезагрузки выполните такой скрипт:
AVZ, меню "Файл -> Выполнить скрипт" -> Скопировать ниже написанный
скрипт -> Нажать кнопку "Запустить".
Код:
Код: Выделить всё
begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.В результате выполнения скрипта будет сформирован карантин.Отправьте c:\quarantine.zip при помощи
этой
формыВ строке "Подробное описание возникшей ситуации:", напишите пароль на архив "virus" (без кавычек), в строке "Электронный адрес:" укажите свой электронный адрес. Результаты ответа, сообщите здесь, в теме.
3.
FAQ Помощи по рекомендациям и советам консультантов
Код:
Код: Выделить всё
F2 - REG:system.ini: UserInit=\.globalrootsystemrootsystem32userinit.exe,
O4 - HKLM\..\Run: [wxpdrv] C:\WINDOWS\services32.exe
O4 - HKLM\..\Run: [tray_ico0] C:\WINDOWS\update.tray-2-0\svchost.exe
O4 - HKLM\..\Run: [526303.exe] "C:\DOCUME~1\FATEMA~1\LOCALS~1\Temp\526303.exe"
O4 - HKLM\..\Run: [sysdriver32.exe] "C:\WINDOWS\sysdriver32.exe" rezerv
O4 - HKLM\..\Run: [sysdriver32_.exe] "C:\WINDOWS\sysdriver32_.exe" rezerv
O4 - HKLM\..\Run: [8178876.exe] "C:\WINDOWS\TEMP\8178876.exe" O4 - HKLM\..\Run: [1387167.exe] "C:\WINDOWS\TEMP\1387167.exe" O4 - HKLM\..\Run: [systemup] "C:\WINDOWS\systemup.exe" stand O4 - HKLM\..\Run: [l1rezerv.exe] "C:\WINDOWS\l1rezerv.exe" O4 - HKLM\..\Run: [9191955.exe] "C:\WINDOWS\TEMP\9191955.exe" O4 - HKLM\..\Run: [2218174.exe] "C:\WINDOWS\TEMP\2218174.exe" O4 - HKLM\..\Run: [1197580.exe] "C:\WINDOWS\TEMP\1197580.exe"4. Скачайте
Malwarebytes' Anti-Malware
или с зеркала
, установите, обновите базы, выберите "Perform Full Scan", нажмите "Scan", после сканирования - Ok - Show Results (показать результаты) - Откройте лог и скопируйте в блокнот и прикрепите его к следующему посту.Если базы MBAM в автоматическом режиме обновить не удалось, обновите их
отдельно
.5. Загрузите SecurityCheck by screen317
отсюда
или отсюда
Сохраните на Рабочий стол.
Запустите от имени администратора
Когда увидите консоль, нажмите любую клавишу для продолжения сканирования
Если увидите предупреждение от фаервола относительно программы SecurityCheck, не блокируйте ее работу
Дождитесь окончания сканирования и вы увидите лог в блокноте с именем checkup.txt;
Прикрепите его тоже в ваше следующее сообщение.
6. Повторите логи AVZ+RSIT
-
Farger
Re: NOD32 усиленный режим
Здравствуйте, сегодня пришел с работы, и попробовал зайти в контакт. соединение прошло успешно. Проблема самоустранилась... мог ли излеченный антивирус вылечить то что меня беспокоило?
-
FateMaster
Re: NOD32 усиленный режим
Здравствуйте, сегодня пришел с работы, и попробовал зайти в контакт. соединение прошло успешно. Проблема самоустранилась... мог ли излеченный антивирус вылечить то что меня беспокоило?
-
Farger
Re: NOD32 усиленный режим
Здравствуйте,
А ваш антииврус во время сканирования что-то нашел и удалил/вылечил? Даже если вы смогли зайти в vkontakte, это вовсе не означает, что проблема самоустранилась.
Вы скрипты делали? Если нет, то я б на вашем месте, сделал все то, что я вам написал выше.
А ваш антииврус во время сканирования что-то нашел и удалил/вылечил? Даже если вы смогли зайти в vkontakte, это вовсе не означает, что проблема самоустранилась.
Вы скрипты делали? Если нет, то я б на вашем месте, сделал все то, что я вам написал выше.
-
FateMaster
Re: NOD32 усиленный режим
окей, сделаю. скину логи. вдруг все еще висит внутри моего компа эта зараза.
-
Farger
Re: NOD32 усиленный режим
только что сидел делал логи, НОД32 нашел и изолировал троян, не он ли это? называется win32/Delf.QCZ находилась в файле flash-player.exe
-
FateMaster
Re: NOD32 усиленный режим
Он, но это только верхушка айсберга. Жду полный комплект выполненых логов.