Добре дошли!

Добре дошли в нашите форуми, пълни с полезна информация. Имате проблем с компютъра или телефона си? Публикувайте нова тема и ще намерите решение на всичките си проблеми. Общувайте свободно и открийте безброй нови приятели.

Моля, регистрирайте се за да публикувате тема и да получите пълен достъп до всички функции.

Заразен с ThinkPoint и последвало пренасочване на браузъра към google.com/webhp

Последователи

10 ноември 201015 г.

Здравейте, Бях се заразил с ThinkPoint, и се опитвам да го разкарам.За целта пуснах скан с Malwarebyte и това е резултата.Преди това бях изтрил HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Winlogon "Shell" ThinkPoint-a вече го няма на екрана, но профила ми се зарежда доста бавно, и след това доста бавно се връзва към нета. Както си браузвах с Файърфокса dir.bg ми се отвори някакъв таб от нищото - google/webhp. Подозирам, че не съм се изчистил добре. Така ли е?И какво да направя? Предварително ви благодаря.

mbam-log-2010-11-10 (13-16-30).zip

DDS.zip

Attach.zip

icotonev

HJT Team

Пол:Мъж
Град:гр.Ямбол
Интереси:Malware Removal, Security Analyst, Malware Hunters,Trusted Helper

10 ноември 201015 г.

Здравейте!Не ми харесват въобще нещата при вас..!Да започнем така..:

1.Изтеглете програмата AVZ 4.35 и разархивирайте avz4.zip например в папка (c:\antivir).

- стартирате AVZ и обновявате базата с данни (в меню AVZ: Файл - Обновление баз - Пуск):

Публикувано изображение

2.Затворете всички програми,временно изключете антивирусната си програма,защитната стена и друг защитен софтуер (ако имате такъв),оставете запуснат само Internet Explorer.

- докато трае сканирането и формирането на логовете изключете си интернета.

3.Стартирате AVZ,(в ОС Windows Vista стартирате с десен бутон на мишката от името на администратор),избираме от Меню - Файл - Стандартные скрипты:

Публикувано изображение

... поставете отметка на 3-ти скрипт и натискаме "Выполнить отмеченные скрипты".В резултат на изпълнение на скрипта в папката AVZ\LOG ще се създаде архив virusinfo_syscure.zip.:

Публикувано изображение

Внимание:След изпълнение на скрипта рестартирайте компютъра си!

4.Стартирате AVZ,(в ОС Windows Vista стартирате с десен бутон на мишката от името на администратор),избираме от Меню - Файл - Стандартные скрипты и поставете отметка на 2-ри скрипт,натискаме "Выполнить отмеченные скрипты".В резултат на изпълнение на скрипта в папката AVZ\LOG ще се създаде архив virusinfo_syscheck.zip.:

Публикувано изображение

5.Затворете AVZ.Включете си антивирусната програма,защитната стена и интернета.Към темата прикачете:

- virusinfo_syscure.zip

- virusinfo_syscheck.zip

Внимание!!!

Не бъркайте архива virusinfo_syscure.zip с virusinfo_cure.zip (втория за сега не ни е нужен)
Ако AVZ не се стартира преименувайте файла avz.exe в 123.com (123.pif или 123.cmd)

----------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------

За да направите програмата на руски език (препоръчително)

направете shortcut на иконката на програмата (от инсталационната папка на десктопа си)

десен бутон на иконката ==>properties ==>таб shortcut

ще видите този прозорец - направете посочените корекции:

Публикувано изображение

===========================================================================================================

1. Изтеглете Hitman Pro

За 32-битова система -
За 64-битова система -

2. Стартирайте програмата.

3. След като сте стартирали програмата ще ви се появи следния прозорец.

Намалено до 84% (от717 x 568) - Щракнете за да увеличите Публикувано изображение

4. Натиснете бутона „Next".

Намалено до 84% (от719 x 261) - Щракнете за да увеличите Публикувано изображение

5. Програмата ще започне да сканира. Времето за сканиране е около 2 минути.

6. След завършване на сканирането натиснете "Eport scan results to XML file"

Намалено до 84% (от720 x 572) - Щракнете за да увеличите Публикувано изображение

7. След това на работния ви плот ще се появи файл, който изглежда ето така.

Публикувано изображение

8. Прикачете файла в следващия си коментар.

10 ноември 201015 г.

Автор

Това са логовете от AVZ.От Хитман не можах да изкарам лог, тъй като ми искаше да го купя.Но направих сцрийншот.Знам, че не е същото, но все пак...

virusinfo_syscheck.zip

virusinfo_syscure.zip

icotonev

HJT Team

Пол:Мъж
Град:гр.Ямбол
Интереси:Malware Removal, Security Analyst, Malware Hunters,Trusted Helper

10 ноември 201015 г.

Така си и мислех че имаме работа с рооткит....Изтрий всичко намерено от Hitman Pro.Сега ми трябва малко време да разгледам логовете от АВЗ. :cool:

10 ноември 201015 г.

Автор

Пуснах този скрипт още веднъж, защото предния беше пуснат при включена антивирусна.Не знам дали има значеие. Хитман-а не ми дава опции да трия.

virusinfo_syscheck.zip

Редактирано 10 ноември 201015 г. от georgi12345 (преглед на промените)

icotonev

HJT Team

Пол:Мъж
Град:гр.Ямбол
Интереси:Malware Removal, Security Analyst, Malware Hunters,Trusted Helper

10 ноември 201015 г.

Докато преглеждам логовете изтеглете TDSSKiller.zip и го разархивирате в отделна папка на заразения компютър.Стартирате файла TDSSKiller.exe. Изчаквате да завърши сакнирането и лечението и рестартирате компютъра си.По подразбиране в директорията на системния диск(там където е инсталиана операционната система ,по правило това е C:\) ще се генерира лог имащ следния вид - Име на инструмента.Версия_Дата_Време_log.txt ...например C:\TDSSKiller.2.4.0_23.07.2010_15.31.43_log.txt ..Прикачете го в следващия си пост..!

10 ноември 201015 г.

Автор

Това е от TDSSKiller-a.

TDSSKiller.2.4.7.0_10.11.2010_16.32.51_log.txt

icotonev

HJT Team

Пол:Мъж
Град:гр.Ямбол
Интереси:Malware Removal, Security Analyst, Malware Hunters,Trusted Helper

10 ноември 201015 г.

До тук добре, убихме и Rootkit.Win32.TDSS.tdl4 ....! :blink: Сега как е системата ви...?

icotonev

HJT Team

Пол:Мъж
Град:гр.Ямбол
Интереси:Malware Removal, Security Analyst, Malware Hunters,Trusted Helper

10 ноември 201015 г.

Изключете интернет,антивирусната си програма и защитната си стена.

AVZ, меню "Файл -- Выполнить скрипт" -- Копирате долунаписания скрипт-- Натиснете бутон "Запустить".

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('c:\users\teddy\appdata\local\temp\mbr.sys','');
 QuarantineFile('c:\users\teddy\appdata\roaming\heupy\zora.exe','');
 QuarantineFile('C:\Users\Teddy\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\bouc.exe','');
 QuarantineFile('C:\Users\Teddy\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\kuvous.exe','');
 QuarantineFile('C:\Users\Teddy\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\gylai.exe','');
 QuarantineFile('C:\Users\Teddy\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\foozni.exe','');
 QuarantineFile('C:\Windows\System32\drivers\qbcnkvq.sys','');
 DeleteFile('C:\Windows\System32\drivers\qbcnkvq.sys');
BC_ImportAll;
ExecuteSysClean;
ExecuteWizard('TSW',2,3,true);
ExecuteWizard('BT',2,3,true);
ExecuteWizard('PRT',2,3,true);
ExecuteWizard('SCU',2,3,true);
BC_Activate;
RebootWindows(true);
end.

След изпълнение на скрипта компютъра ви ще се рестартира.

След рестарта изпълнете следния скрипт:

begin
 CreateQurantineArchive(GetAVZDirectory+'quarantine .zip');
end.

В резултат на изпълнение на втория скрипт ще се сформира quarantine.zip (карантина).Отправете получения файл quarantine.zip от инсталационната папка на AVZ, на [email protected]

10 ноември 201015 г.

Автор

Опитах се да изпълня скрипта, но AVZ спира да респондва. Между другото бях излязъл за половин час и на монитора ми се появи екрана от Хитман, който ми позволява са запазя лог.Прикачвам го.

log.xml

icotonev

HJT Team

Пол:Мъж
Град:гр.Ямбол
Интереси:Malware Removal, Security Analyst, Malware Hunters,Trusted Helper

10 ноември 201015 г.

Опитах се да изпълня скрипта, но AVZ спира да респондва.

Не ви разбирам..Какво значи това...!Генерира ли се някъква грешка..?

10 ноември 201015 г.

Автор

Ето това: Антивирусната и интернета са изключени.

Редактирано 10 ноември 201015 г. от georgi12345 (преглед на промените)

icotonev

HJT Team

Пол:Мъж
Град:гр.Ямбол
Интереси:Malware Removal, Security Analyst, Malware Hunters,Trusted Helper

10 ноември 201015 г.

Ама ти как изпълни скрипта...ето така ли..:

КАК ДА ИЗПЪЛНИМ СКРИПТ В AVZ

10 ноември 201015 г.

Автор

Да, точно така.

icotonev

HJT Team

Пол:Мъж
Град:гр.Ямбол
Интереси:Malware Removal, Security Analyst, Malware Hunters,Trusted Helper

10 ноември 201015 г.

Хм...за сега не го мъчи повече и опитай да направиш следното сканиране:

Изтеглете ComboFix от тук, тук или тук и го запазете на десктопа си.

1. Внимание!Задължително затворете браузера си,временно изключете антивирусната си програма,firewall и друг защитен софтуер.Не стартирайте други програми по време на работа на ComboFix.Combofix може да изключи интернета ви след известно време от началото на стартирането и.Не го включвайте докато Combofix не завърши работата си.Ако интернета не тръгне след завършване на сканирането,рестартирайте компютъра си.По време на работата на Combofix не натискайте бутоните на мишката,това може да стане причина Combofix да увисне.

2.Старирайте combofix.exe,и когат процесът на сканиране завърши,копирайте текста от C:\ComboFix.txt и го прикачете в следвашия си пост.

- ако ComboFix не се стартира преименувайте combofix.exe в combo-fix.exe.

10 ноември 201015 г.

Автор

Това е лога: Между другото след този Комбофикс, файърфокс вече не ми е дифолт браузър, ако има някакво значение.

ComboFix.txt

icotonev

HJT Team

Пол:Мъж
Град:гр.Ямбол
Интереси:Malware Removal, Security Analyst, Malware Hunters,Trusted Helper

10 ноември 201015 г.

Копирайте текста в карето на notepad и го запазваш с име CFScript.txt на десктопа си:

KILLALL::
FCOPY::
c:\windows\winsxs\x86_microsoft-windows-user32_31bf3856ad364e35_6.1.7600.16400_none_cd604238ce73b38f\user32.dll | c:\windows\System32\user32.dll
FILE::
c:\users\Teddy\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\kuvous.exe
c:\users\Teddy\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\foozni.exe
c:\users\postgres\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\StartUp\yhaf.exe
c:\users\postgres\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\StartUp\xaupog.exe
c:\users\Default\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\StartUp\yndoxo.exe
c:\users\Default\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\StartUp\akxaib.exe
c:\users\Teddy\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\gylai.exe
c:\users\Default\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\StartUp\nuur.exe
c:\users\postgres\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\StartUp\oxawxu.exe
c:\users\postgres\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\StartUp\myowl.exe
c:\users\Default\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\StartUp\vyka.exe

Reglock::
[HKEY_LOCAL_MACHINE\system\ControlSet002\Control\Class\{4D36E96D-E325-11CE-BFC1-08002BE10318}\0000\AllUserSettings]
[HKEY_LOCAL_MACHINE\system\ControlSet002\Control\Class\{4D36E96D-E325-11CE-BFC1-08002BE10318}\0001\AllUserSettings]
[HKEY_LOCAL_MACHINE\system\ControlSet002\Control\PCW\Security]

След съхранението премести CFScript.txt на иконата на ComboFix.exe

Публикувано изображение

Ще се генерира нов отчет ComboFix.txt ,прикрепете го към следващото си съобщение..!

Архивирай папката C:\Qoobox\Quarantine\ с парола virus и ми я пратете на [email protected]

10 ноември 201015 г.

Автор

Това е лога: Изпратих ти и Qoobox папката. Междувременно се наложи да си деинсталирам Avira-та, защото не можех да я настроя да не се включва автоматично при рестарт. И след тази процедура не мога да отварям приложения по нормалния начин.Опитвам да отвоя Файърфокс, ИЕ, или 7 зип и ми дава следната грешка: C:\Program files\Mozilla Firefox\firefox.exe Illegal operation attempted on a registry key that has been marked for deletion. Успявам да ги отворя, чрез таск менаджера, стартирайки съответния процес.

ComboFix.txt

Редактирано 10 ноември 201015 г. от georgi12345 (преглед на промените)

icotonev

HJT Team

Пол:Мъж
Град:гр.Ямбол
Интереси:Malware Removal, Security Analyst, Malware Hunters,Trusted Helper

10 ноември 201015 г.

И след тази процедура не мога да отварям приложения по нормалния начин.Опитвам да отвоя Файърфокс, ИЕ, или 7 зип и ми дава следната грешка:

C:\Program files\Mozilla Firefox\firefox.exe

Illegal operation attempted on a registry key that has been marked for deletion.

След като завършим и деинсталираме ComboFix всичко ще е наред...!

И какво стана с папката C:\Qoobox\Quarantine\ - не съм я получил

10 ноември 201015 г.

Автор

Пощата ми не успява да изпрати qoobox-a.

icotonev

HJT Team

Пол:Мъж
Град:гр.Ямбол
Интереси:Malware Removal, Security Analyst, Malware Hunters,Trusted Helper

10 ноември 201015 г.

Ако трябва я качи на : http://www.zippyshare.com/ и дай линк ...!

PS: Но първо архивирай папката!

10 ноември 201015 г.

Автор

Линка е премахнат => благодарим !!!

Редактирано 10 ноември 201015 г. от B-boy[StyLe]
Линка е получен и премахнат от съображения за сигурност ! (преглед на промените)

icotonev

HJT Team

Пол:Мъж
Град:гр.Ямбол
Интереси:Malware Removal, Security Analyst, Malware Hunters,Trusted Helper

10 ноември 201015 г.

Много благодаря за папката...!

Натиснете Start ==> Run ==> въведете командата Combofix /Uninstall ==> OK

Публикувано изображение

Изтеглете OTCleanIt или от тук,стартирайте и натиснете Clean up

В АВЗ изпълнете стандартен скрипт 6 с което ще деинсталирами всички драйвери и записи в регистрите които си е създал АВЗ

всичко останало изтрийте ръчно....!

10 ноември 201015 г.

Автор

Успях да го направя.Под всичко останало предполагам се има предвид програмте който изтеглих през целия процес. Благодаря ви много.Надявам се, че съм успял да се оттърва и не съм ви досадил много. Хитман-а засича само някаква тракинг бисквитка на калдата.Май всичко е ОК.

Редактирано 10 ноември 201015 г. от georgi12345 (преглед на промените)