Привет на всички! Имах глупостта да отворя .exe през skype. Приятел, с който си пишем и пращаме снимки и други материали прес скайп ми изпрати ето това: fun http://tinyurl .com/37lxw3v . Аз без да се замислям натиснах линка и в бързината потвърдих .exe и от тук се започнаха мъките ми. Системата сама се рестартира след като се зареди и така до безкрай. Влязох под сейфмоуд и сканирах с Malwarebytes. Съответно изнамерих некви гадини. Компютъра престана да се рестартира, но всяка сутрин в репортите на антивирусната ми(Avira) има вируси. Изтеглих и инсталирах Microsoft Security Essentials. Той също започна да вади интересни неща. Настроих и двете програми да сканират през ноща. Всяка сутрин имам рипорти за гадости. Днез както си сърфирах през мозила, изведнъж ми се отвори нов таб във браузера и зареди странен адрес, от който се появи на бял екран "HELLO WORLD" и веднага с това излезе следното съобщение на AVIRA Virus or unwanted program 'HTML/Infected.WebPage.Gen [virus]' detected in file 'C:\Users\Ivo\AppData\Local\Microsoft\Windows\Temporary Internet Files\Content.IE5\52C4AHB1\izlugan_com[1].htm. Action performed: Allow access! Има ли решение различно от преинсталиране на ОС ?

Здравейте!Има решение на проблема ви....за целта изпълнете препоръките на тази тема Системата ми е инфектирана - Какво да правя сега?

Ползвам Malwarebytes от близо година и веднага след като заразих системата сканирах няколко пъти с него.

mbam-log-2010-10-07 (02-18-25).txt

mbam-log-2010-10-09 (09-26-53).txt

mbam-log-2010-10-09 (09-52-04).txt

mbam-log-2010-10-09 (09-58-30).txt

mbam-log-2010-10-11 (16-28-26).txt

DDS.txt

Attach.txt

1.Изтеглете програмата AVZ 4.35 и разархивирайте avz4.zip например в папка (c:\antivir).

- стартирате AVZ и обновявате базата с данни (в меню AVZ: Файл - Обновление баз - Пуск):

2.Затворете всички програми,временно изключете антивирусната си програма,защитната стена и друг защитен софтуер (ако имате такъв),оставете запуснат само Internet Explorer.

- докато трае сканирането и формирането на логовете изключете си интернета.

3.Стартирате AVZ,(в ОС Windows Vista стартирате с десен бутон на мишката от името на администратор),избираме от Меню - Файл - Стандартные скрипты:

... поставете отметка на 3-ти скрипт и натискаме "Выполнить отмеченные скрипты".В резултат на изпълнение на скрипта в папката AVZ\LOG ще се създаде архив virusinfo_syscure.zip.:

Внимание:След изпълнение на скрипта рестартирайте компютъра си!

4.Стартирате AVZ,(в ОС Windows Vista стартирате с десен бутон на мишката от името на администратор),избираме от Меню - Файл - Стандартные скрипты и поставете отметка на 2-ри скрипт,натискаме "Выполнить отмеченные скрипты".В резултат на изпълнение на скрипта в папката AVZ\LOG ще се създаде архив virusinfo_syscheck.zip.:

5.Затворете AVZ.Включете си антивирусната програма,защитната стена и интернета.Към темата прикачете:

- virusinfo_syscure.zip

- virusinfo_syscheck.zip

Внимание!!!

• Не бъркайте архива virusinfo_syscure.zip с virusinfo_cure.zip (втория за сега не ни е нужен)
• Ако AVZ не се стартира преименувайте файла avz.exe в 123.com (123.pif или 123.cmd)

----------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------

За да направите програмата на руски език (препоръчително)

направете shortcut на иконката на програмата (от инсталационната папка на десктопа си)

десен бутон на иконката ==>properties ==>таб shortcut

ще видите този прозорец - направете посочените корекции:

Ето ги.

virusinfo_syscheck.zip

virusinfo_syscure.zip

Благодаря за логовете....Ще ги огледам и ще пиша.....но нека да стане утре...!Сега съм ангажиран семейно..!

Благодаря за логовете....Ще ги огледам и ще пиша.....но нека да стане утре...!Сега съм ангажиран семейно..!

Аз благодаря за вниманието и за отделеното време. :)

Avira току що засече ето това: http://img440.imageshack.us/img440/2644/newpictures.jpg

Редактирано 12 октомври 201015 г. от wizard2000bg (преглед на промените)

Здравейте!Първо да се извиня за закъснението....! Ще продължим така..:

Изтеглете ComboFix от тук, тук или тук и го запазете на десктопа си.

1. Внимание!Задължително затворете браузера си,временно изключете антивирусната си програма,firewall и друг защитен софтуер.Не стартирайте други програми по време на работа на ComboFix.Combofix може да изключи интернета ви след известно време от началото на стартирането и.Не го включвайте докато Combofix не завърши работата си.Ако интернета не тръгне след завършване на сканирането,рестартирайте компютъра си.По време на работата на Combofix не натискайте бутоните на мишката,това може да стане причина Combofix да увисне.

2.Старирайте combofix.exe,и когат процесът на сканиране завърши,копирайте текста от C:\ComboFix.txt и го прикачете в следвашия си пост.

- ако ComboFix не се стартира преименувайте combofix.exe в combo-fix.exe.

Windows XP, Vista, 7 (32-bit only) Аз съм с 64- битовата версия и като стартирам комбофикса ми излиза съобщение, че не е съвместим с ОС.

Ииии да ...голям съм ръб.......Въобще не съобразих..!

Деинсталирайте Combofix така..:

Натиснете Start ==> Run ==> въведете командата Combofix /Uninstall ==> OK

Изтеглете OTCleanIt или от тук,стартирайте и натиснете Clean up

• Изтеглете OTL.exe или OTL.scr го запазете на десктопа.
• Стартирайте файла с двукратен клик на мишката.
• Направете следните настройки:

Намалено до 92% (от658 x 589) - Щракнете за да увеличите

• Под с Copy/ Paste въведете изцяло следната текстова информация (само това, което е поставено в карето):

netsvcs
msconfig
safebootminimal
safebootnetwork
activex
drivers32
%SYSTEMDRIVE%\*.exe
%systemroot%\*. /mp /s
%ALLUSERSPROFILE%\Application Data\*.
%ALLUSERSPROFILE%\Application Data\*.exe /s
%APPDATA%\*.
%APPDATA%\*.exe /s
/md5start
eventlog.dll
scecli.dll
netlogon.dll
cngaudit.dll
sceclt.dll
ntelogon.dll
logevent.dll
iaStor.sys
nvstor.sys
atapi.sys
beep.sys
IdeChnDr.sys
viasraid.sys
AGP440.sys
vaxscsi.sys
nvatabus.sys
viamraid.sys
nvata.sys
nvgts.sys
iastorv.sys
ViPrt.sys
eNetHook.dll
ahcix86.sys
ahcix86s.sys
KR10N.sys
nvstor32.sys
nvrd32.sys
explorer.exe
svchost.exe
userinit.exe
symmpi.sys
qmgr.dll
ws2_32.dll
proquota.exe
imm32.dll
kernel32.dll
ndis.sys
autochk.exe
spoolsv.exe
xmlprov.dll
ntmssvc.dll
mswsock.dll
ntfs.sys
tcpip.sys
termsrv.dll
sfcfiles.dll
st3shark.sys
srsvc.dll
adp3132.sys
mv61xx.sys
/md5stop
CREATERESTOREPOINT
%systemroot%\system32\*.dll /lockedfiles
%systemroot%\Tasks\*.job /lockedfiles
%systemroot%\system32\drivers\*.sys /lockedfiles
%systemroot%\System32\config\*.sav
%systemroot%\system32\drivers\*.sys /90

• Натиснете маркираният в синьо бутон: .
• Като приключи проверката, ще се създадат два файла - OTL.Txt и Extras.Txt.
• Публикувайте или прикачете в следващия си коментар (погледнете опцията "прикачени файлове", когато публикувате мнение) логовете от OTL: OTL.Txt, Extras.Txt. Може да качите файловете нa rapidshare.com и да дадете линк за изтегляне.

Логовете от OTL:

OTL.Txt

Extras.Txt

Докато работим по логовете ви е хубаво да пуснете една проверка по следната инструкция:

Направете проверка със Sophos Anti-Rootkit.

Eто как: изтеглете Sophos Anti-Rootkit от тук (иска се регистрация),

стартирайте sarsfx.exe и го пуснете да сканира (Start scan).

Когато сканирането завърши, пуснете Windows Explorer и отидете в папка %temp%.

Там трябва да има файл с име sarscan.log.

Публикувайте или го прикачете към следващия си коментар.

След консултация на нашия екип с колегите от МБАМ...вшите проблемнни ''гадини'' са добавени в база данни на МБАМ.За целта обновете програмата с последни дефиниции и направете пълно сканиране ..!Поздрави..!

Стартирайте пак OTL.exe и с Copy/ Paste под колонката Custom Scans/Fixes въведете скриптовия текст от цитата по-долу, като не забравяте да копирате скрипта 1 към 1, както и двете точки преди първия ред на скрипта!

:OTL
O2 - BHO: (Java(tm) Plug-In 2 SSV Helper) - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Program Files (x86)\Java\jre6\bin\jp2ssv.dll File not found
O4 - HKU\S-1-5-19..\RunOnce: [mctadmin] C:\Windows\SysWow64\mctadmin.exe File not found
O4 - HKU\S-1-5-20..\RunOnce: [mctadmin] C:\Windows\SysWow64\mctadmin.exe File not found
O13 - gopher Prefix: missing
O13 - gopher Prefix: missing
O16 - DPF: {E2883E8F-472F-4FB0-9522-AC9BF37916A7} http://platformdl.adobe.com/NOS/getPlusPlus/1.6/gp.cab (Reg Error: Key error.)
O18:[b]64bit:[/b] - Protocol\Handler\ms-help {314111c7-a502-11d2-bbca-00c04f8ec294} - Reg Error: Key error. File not found
O18:[b]64bit:[/b] - Protocol\Handler\skype4com {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - Reg Error: Key error. File not found
O20 - Winlogon\Notify\wstfiex: DllName - wstfiex.dll -  File not found
O21:[b]64bit:[/b] - SSODL: WebCheck - {E6FB5E20-DE35-11CF-9C87-00AA005127ED} - CLSID or File not found.
O21 - SSODL: WebCheck - {E6FB5E20-DE35-11CF-9C87-00AA005127ED} - CLSID or File not found.
O34 - HKLM BootExecute: (PDBoot.exe) -  File not found
@Alternate Data Stream - 110 bytes -> C:\ProgramData\TEMP:CB0AACC9
[2010.10.13 20:05:15 | 000,000,000 | R--D | C] -- C:\32788R22FWJFW
[2010.10.13 08:58:35 | 000,000,000 | ---D | C] -- C:\Users\Ivo\Desktop\Virus
:files
C:\Windows\SysWow64\*.tmp
C:\Windows\*.tmp
:commands
[emptytemp]
[emptyflash]
[purity]
[resethosts]
[Reboot]

След като въведете скрипта от цитата по-горе натиснете бутона, маркиран в червено:

ОТL ще сканира и най-накрая ще рестартира Windows. След това ще се създаде лог файл. Копирайте и поставете този файл в следващия си коментар.

Докато работим по логовете ви е хубаво да пуснете една проверка по следната инструкция:

Направете проверка със Sophos Anti-Rootkit.

Eто как: изтеглете Sophos Anti-Rootkit от тук (иска се регистрация),

стартирайте sarsfx.exe и го пуснете да сканира (Start scan).

Когато сканирането завърши, пуснете Windows Explorer и отидете в папка %temp%.

Там трябва да има файл с име sarscan.log.

Публикувайте или го прикачете към следващия си коментар.

Sophos Anti-Rootkit Version 1.5.4 © 2009 Sophos Plc

Started logging on 14.10.2010 at 16:05:06

User "Ivo" on computer "IVO-PC"

Windows version 6.1 SP 0.0 build 7600 SM=0x100 PT=0x1 WOW64

Info: Starting registry scan.

Info: Starting disk scan of C: (NTFS).

Hidden: file C:\Windows\System32\drivers\sptd.sys

Info: Starting disk scan of D: (NTFS).

Stopped logging on 14.10.2010 at 16:31:17

Редактирано 14 октомври 201015 г. от wizard2000bg (преглед на промените)

След като въведете скрипта от цитата по-горе натиснете бутона, маркиран в червено:

ОТL ще сканира и най-накрая ще рестартира Windows. След това ще се създаде лог файл. Копирайте и поставете този файл в следващия си коментар.

All processes killed

========== OTL ==========

Registry key HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{DBC80044-A445-435b-BC74-9C25C1C588A9}\ deleted successfully.

Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{DBC80044-A445-435b-BC74-9C25C1C588A9}\ deleted successfully.

Registry value HKEY_USERS\S-1-5-19\Software\Microsoft\Windows\CurrentVersion\RunOnce\\mctadmin deleted successfully.

Registry value HKEY_USERS\S-1-5-20\Software\Microsoft\Windows\CurrentVersion\RunOnce\\mctadmin deleted successfully.

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\URL\Prefixes\\gopher|:gopher:// /E : value set successfully!

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\URL\Prefixes\\gopher|:gopher:// /E : value set successfully!

Starting removal of ActiveX control {E2883E8F-472F-4FB0-9522-AC9BF37916A7}

C:\Windows\Downloaded Program Files\gp.inf not found.

Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Code Store Database\Distribution Units\{E2883E8F-472F-4FB0-9522-AC9BF37916A7}\ deleted successfully.

Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{E2883E8F-472F-4FB0-9522-AC9BF37916A7}\ not found.

Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Active Setup\Installed Components\{E2883E8F-472F-4FB0-9522-AC9BF37916A7}\ not found.

Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{E2883E8F-472F-4FB0-9522-AC9BF37916A7}\ not found.

Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\wstfiex\ deleted successfully.

Registry value HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad\\WebCheck deleted successfully.

Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{E6FB5E20-DE35-11CF-9C87-00AA005127ED}\ not found.

Registry value HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session manager\\BootExecute:PDBoot.exe deleted successfully.

ADS C:\ProgramData\TEMP:CB0AACC9 deleted successfully.

C:\32788R22FWJFW\N_ folder moved successfully.

C:\32788R22FWJFW\License folder moved successfully.

C:\32788R22FWJFW\EN-US folder moved successfully.

C:\32788R22FWJFW folder moved successfully.

C:\Users\Ivo\Desktop\Virus folder moved successfully.

========== FILES ==========

C:\Windows\SysWow64\tmpEA7.tmp moved successfully.

C:\Windows\SysWow64\tmpEC7.tmp moved successfully.

C:\Windows\1C4551A64743409391E41477CD655043.TMP folder moved successfully.

C:\Windows\95FC26FB19FD4A96BBB1B1062E8648F5.TMP folder moved successfully.

========== COMMANDS ==========

[EMPTYTEMP]

User: All Users

User: Default

->Temp folder emptied: 0 bytes

->Temporary Internet Files folder emptied: 0 bytes

User: Default User

->Temp folder emptied: 0 bytes

->Temporary Internet Files folder emptied: 0 bytes

User: Ivo

->Temp folder emptied: 720268 bytes

->Temporary Internet Files folder emptied: 2030568 bytes

->FireFox cache emptied: 67452296 bytes

->Flash cache emptied: 1037 bytes

User: Public

%systemdrive% .tmp files removed: 0 bytes

%systemroot% .tmp files removed: 0 bytes

%systemroot%\System32 .tmp files removed: 0 bytes

%systemroot%\System32 (64bit) .tmp files removed: 12288 bytes

%systemroot%\System32\drivers .tmp files removed: 0 bytes

Windows Temp folder emptied: 844 bytes

%systemroot%\sysnative\config\systemprofile\AppData\Local\Microsoft\Windows\Temporary Internet Files folder emptied: 50333 bytes

RecycleBin emptied: 0 bytes

Total Files Cleaned = 67,00 mb

[EMPTYFLASH]

User: All Users

User: Default

User: Default User

User: Ivo

->Flash cache emptied: 0 bytes

User: Public

Total Flash Files Cleaned = 0,00 mb

C:\Windows\System32\drivers\etc\Hosts moved successfully.

HOSTS file reset successfully

OTL by OldTimer - Version 3.2.15.2 log created on 10142010_185901

Files\Folders moved on Reboot...

C:\Users\Ivo\AppData\Local\Temp\FXSAPIDebugLogFile.txt moved successfully.

File\Folder C:\Users\Ivo\AppData\Local\Temp\VGX99CE.tmp not found!

Registry entries deleted on Reboot...

Отлично......сега и сканиране с МБАМ (не забравяйте да обновите базата данни).. А какво е моментното състояние на системата ви...Проблемът още ли е налице..?

Отлично......сега и сканиране с МБАМ (не забравяйте да обновите базата данни)..

А какво е моментното състояние на системата ви...Проблемът още ли е налице..?

Обнових МБАМ, сканирах, намери троянец и го затри.

След това пуснах скан с Авира - и намери ето това:

The file 'C:\Users\Ivo\AppData\Roaming\Auslogics\Rescue\One Button Checkup\101008131538852.rsc'

contained a virus or unwanted program 'TR/Proxy.Agent.ddo' [trojan]

Action(s) taken:

The file was moved to the quarantine directory under the name '4abb91e0.qua'.

Деинсталирайте OTL. Ето как:

Стартирайте OTL.exe още веднъж и натиснете бутона CleanUp!

Ще последва рестарт на Windows.

Следвайте следната инструкция за проверка с Kaspersky Online Scanner:

• Отидете на тази страница.
• Прочетете условията за използване и се съгласете с натискане на Accept.
• Ще последва изтегляне и инсталиране на скенера и дефинициите. Потвърдете с Run инсталацията.
• След като приключи инсталацията, отидете на Settings. Проверете дали има отметки на следното: Spyware, Adware, Dialers, and other potentially dangerous programs, Archives и Mail databases.

  Ако няма отметки, поставете ги и натиснете бутона Save.

• Стартирайте сканирането (My Computer под Scan). Когато сканирането завърши, отидете на View Scan Report. Натиснете Save Report As и изберете формат на изходния файл - TXT. Запишете го (save as) на място, където може да го намерите.
• Копирайте съдържанието на лог файла и го поставете в следващия си коментар.

  Забележка: сканирането продължава доста, обикновено над един час.

Ето малко помощ за работата с Kaspersky Online Scanner:

Когато сканирането завърши, отидете на View Scan Report. Натиснете Save Report As и изберете формат на изходния файл - TXT. Запишете го (save as) на място, където може да го намерите.[*]Копирайте съдържанието на лог файла и го поставете в следващия си коментар.

--------------------------------------------------------------------------------

KASPERSKY ONLINE SCANNER 7.0: scan report

Thursday, October 14, 2010

Operating system: Microsoft (build 7600)

Kaspersky Online Scanner version: 7.0.26.13

Last database update: Thursday, October 14, 2010 13:01:18

Records in database: 4192730

--------------------------------------------------------------------------------

Scan settings:

scan using the following database: extended

Scan archives: yes

Scan e-mail databases: yes

Scan area - My Computer:

A:\

C:\

D:\

E:\

X:\

Scan statistics:

Objects scanned: 107094

Threats found: 3

Infected objects found: 4

Suspicious objects found: 0

Scan duration: 01:44:13

File name / Threat / Threats count

D:\Flashcard 28 07 2009\Software\daemon tool 4.0.9\DAEMON Tools v4.09.1 X86 32 Bits.exe Infected: not-a-virus:WebToolbar.Win32.WhenU.a 1

D:\My Documents\Win 7\Активатори за Windows 7\Активатори\активаторы\Vista7_Slic_Ldr247.rar Infected: Trojan-Dropper.Win32.VB.anqi 1

D:\Software\keyfinder.exe Infected: not-a-virus:PSWTool.Win32.RAS.a 2

Selected area has been scanned.

Обнових МБАМ, сканирах, намери троянец и го затри.

След това пуснах скан с Авира - и намери ето това:

The file 'C:\Users\Ivo\AppData\Roaming\Auslogics\Rescue\One Button Checkup\101008131538852.rsc'

contained a virus or unwanted program 'TR/Proxy.Agent.ddo' [trojan]

Action(s) taken:

The file was moved to the quarantine directory under the name '4abb91e0.qua'.

Прилича ми на FP.....!

След всички сканирания какво е състоянието на системата ви...?

Прилича ми на FP.....!

След всички сканирания какво е състоянието на системата ви...?

Днес не засече мръсотийки. Струва ми се, че системата се е подобрила с една идея. Ще видим утре какво ще засече.

Радвам се......Предлагам да я наблюдавате 2-3 дни и ако имате проблеми пишете....!Темата остава отворена..!Лека вечер..!

Радвам се......Предлагам да я наблюдавате 2-3 дни и ако имате проблеми пишете....!Темата остава отворена..!Лека вечер..!

До тази сутрин всичко беше наред. Или поне така изглеждаше на пръв поглед, но ето че отново AVIRA засече троянец.

Хм....Тогава да направим една проверка с Hitman Pro 35 - (64-bit) С програмата се работи много лесно.....!Задайте да направи стандартно сканиране.....!