И при мен има проблем с Trojn.KillAV но на два компютъра. Както писах в темата за аваст появи се този проблем с Trojn.KillAV. След проверка с МБАМ под сейф моде намери 28611 заразани файла /и ги изчисти/. И си помислих че всичко е ок но не е така.Днес на вторият компютър в къщи / имам домашна мрежа като на комп 1 идва интернета и с втора лан карта го пускам на комп 2 този за които пиша в момента и в който намерих многото зарази / МБАМ намери същият вирус поскам лог файл от МБАМ и HJT. След намирането на многото заразани файлове комп 2 започна много да забива и преинсталирах ОС с уиндовс 7 и после с ХР но той продължи да забива и затова направих повторната проверка и открих тези резултати.Имам image файлови от акроникс и на ХР и на уиндовс 7.

Тъйкато става въпрос за два различни компа ще пусна лог файл от МБАМ и HJT в нова тема или да ги пусна в тази?

Лог файл от комп 2.

mbam-log-2010-06-06 (12-02-05).txt

LogHJT.txt

Редактирано 6 юни 201016 г. от MorTimaR (преглед на промените)

Здравей, MorTimaR!

Сега ще се опитаме да изчистим заразите. Ще ми трябват още малко логове, но нека да почнем с компютъра с Windows XP. После ще видим и този с Windows 7.

Стъпка 1

Следвайте следната инструкция за работа с DDS:

• Изтеглете DDS: от bleepingcomputer.
  
• След изтегляне на файла го запишете (бутон Save -> Save as) DDS на вашия десктоп, снимка:
  
  
• След като изтеглите DDS на десктопа, иконката на програмата би трябвало да изглежда така:
  
• Прекратете временно работата на всички скрипт блокиращи приложения, ако има такива или разрешете изпълнението на dds.scr. След това стартирайте DDS с двоен клик на иконката, като потвърдите с Run.
  
• След приключване на работата на DDS копирайте с Copy текста от двата файлови лога, които ще се появят в Notepad: DDS.txt и Attach.txt и ги запазете (бутон Save -> Save as) на десктопа.
  

Стъпка 2

Следвайте следната инструкция за работа с GMER:

• Изтеглете този файл и го разархивирайте на десктопа.
  
• Временно спрете Интернет и всички работещи програми, както и антивирусната си програма (ако има такава).
  
• Преименувайте GMER.exe на Tool.exe и го стартирайте.
  Забележка: Сканирането може да доведе до грешки, затова не предприемайте никакви действия върху редовете маркирани с "<--- ROOKIT" без да имате инструкция за това.
  
• Ако бъде открит Rootkit, ще последва въпрос дали желаете пълно сканиране на системата. Изберете NO.
  
• В десния панел на програмата ще видите какво е проверено, но не променяйте нищо. Убедете се, че на Show All няма отметка.
  
• Маркирайте всички устройства: C:, D: и пр.
  
• Натиснете бутона Scan и изчакайте програмата да завърши сканирането.
  
• Когато завърши сканирането, натиснете бутона Save и запишете (save as) резултатите на десктопа с име: Results.log
  
• Вече можете да включите Интернет.
  

Стъпка 3

Копирайте и поставете (само ако логовете не са много дълги) или прикачете в следващия си коментар (погледнете опцията "прикачени файлове", когато публикувате мнение):

• Лог от GMER: Results.log
  
• Лог от DDS: DDS.txt
  

Редактирано 6 юни 201016 г. от nologo (преглед на промените)

На комп2 съм инсталирал първо уиндовс 7 но пак забиваше но му направих image, и после на ново инсталирах ХР така че в момента е с ХР/ на комп2/ а на другият си е ХР.

п.с Нали за да пусна гмер трябва да спра антивирусната, но не мога да спра расинг АВ само съм дал всички защити да са изключени и съм пуслнал скан. Ако има проблем за това кажи как да спра АВ. Нали ти казах че има проблем и със забиване на машината, както ми написа пусках сканиране с гмер но след време май се е рестартирал компа пази ли някаде лог файл гмер или не? Ако пак стане забиване и след това рестар може ли да се пусне под сейф мод проверката с гмер.

Редактирано 6 юни 201016 г. от MorTimaR (преглед на промените)

В тази тема компа е с Windows XP Service Pack 3 и има Rising Antivirus. Сега остави GMER. Продължавай с DDS.

Ето лог файла. И продължавам с опитите с гмер.

DDS.txt

Редактирано 6 юни 201016 г. от MorTimaR (преглед на промените)

Сега следва да бъдат забранени временно CD емулиращите програми. Ето как:

Следвайте следната инструкция за работа с DeFogger:

• Изтеглете DeFogger от тук и го запазете на десктопа.
  
• Стартирайте DeFogger с двоен клик на иконата и натиснете бутона Disable, за да забраните временно CD емулиращите драйвери.
  
• След въпроса дали искате да продължите, натиснете Yes.
  
• Когато програмата завърши работата си, ще се появи надпис Finished!. Натиснете ОК за изход от програмата.
  
• Ако CD емулиращите програми са забранени, ще бъде зададен въпрос за рестарт (reboot). Разрешете рестарта с ОК.
  

P.S. Имам въпрос: Windows XP преминава ли WGA проверката? Интересува ме, защото имам намерение да заменим Rising Antivirus с програма, която ще ни свърши работа в този случай. После пак може да се върнеш на Rising.

Да преполагам защото си го ъпдейтвам от сайта на МS

Много добре. Изтегли Microsoft Security Essentials за Windows XP от този линк. Деинсталирай Rising Antivirus от Programs Add/Remove в контролния панел. След това инсталирай Microsoft Security Essentials и обнови дефинициите.

Готово.

Като станеш готов с DeFogger, деинсталирането на Rising Antivirus, инсталацията на Microsoft Security Essentials направи следното:

1. Изтрий всички точки за възстановяване. Това става с изключване на System Restore: Start -> десен клик на My Computer -> Properties -> в System Properties клик на System Restore и маркиране на Turn off System Restore on all drives, после ОК.

Засега ще оставим системата с изключен System Restore.

2. Пусни бързо сканиране (Quick Scan) с Microsoft Security Essentials и само кажи дали има резултати.

След това ще продължим.

MSE не откри нищо.

Сега следва една проверка с ComboFix, ето как:

Следвайте следната инструкция за проверка с ComboFix:

• Изтеглете ComboFix от следния мирър: от BleepingComputer. След изтегляне на файла го запишете (бутон Save -> Save as) ComboFix на вашия десктоп, снимка:
  
  След като изтеглите ComboFix на десктопа, иконката на програмата би трябвало да изглежда така:
  
  
• Затворете всички работещи приложения или отворени прозорци. Прекратете временно работата на антивирусната програма и на други програми за сигурност, ако има такива. За целта може да прегледате информацията от този линк: How To Temporarily Disable Your Anti-virus, Firewall And Anti-malware Programs.
  
• Преименувайте ComboFix.exe на ff2.exe
  
• Стартирайте с двоен клик ff2.exe. За целта използвайте YES, за да се съгласите с условията за използване на програмата. Важно: след като се стартира ComboFix не бива да се движи мишката или да се кликва върху отворения прозорец на програмата. Просто търпеливо оставете ComboFix да си свърши работата (20-30 минути), без да използвате компютъра за други цели.
  
• След като приключи сканирането на регистрите (Windows Registry) ComboFix ще провери дали има инсталирана Windows Recovery Console.
  -Ако Windows Recovery Console е инсталирана, ComboFix ще продължи работата си.
  -Ако Windows Recovery Console не е инсталирана, ще е необходимо да използвате YES за инсталация на Windows Recovery Console, виж снимката:
  
  След инсталация на Windows Recovery Console потвърдете с YES, за да продължите напред. Снимка:
  
  
• ComboFix ще спре временно Интернет връзката, но след като приключи работата на програмата тази връзка ще бъде възстановена автоматично. ComboFix ще сканира за проблеми и за заразени файлове, като това може да отнеме известно време. Моля да бъдете търпеливи. Ако има проблем с Интернет връзката, моля да прочетете това: Manually restoring the Internet connection section.
  Забележка: При проблеми с ComboFix копирайте (Copy) и поставете (Paste) съдържанието на C:\BUG.txt в следващия си коментар.
  
• Когато работата на ComboFix приключи, ще се появи текстов документ (log) в Notepad, виж снимката:
  
  
• Копирайте (Copy) и поставете (Paste) съдържанието на лога в следващия си коментар или го прикачете към коментара си.
  

Нещо много бързо приключи но ето лог файла.

logGF.txt

Добре. Следва:

Стъпка 1

Следвайте следната инструкция за работа с TFC (програмата ще премахне ненужните временни файлове):

• Изтеглете TFC (Temp File Cleaner) от тук и го запишете на десктопа
  
• Стартирайте TFC.exe
  
• Имайте търпение и изчакайте програмата да завърши работата си
  
• Ако е необходимо, потвърдете с OK за рестартиране на Windows
  

Стъпка 2

Следвайте следната инструкция за работа с OTL:

• Изтеглете OTL.exe и го запазете на десктопа.
  
• Стартирайте файла с двукратен клик на мишката.
  
• Направете следните настройки:
  

• Под с Copy/ Paste въведете следната информация от цитата по-долу:
  

netsvcs

msconfig

safebootminimal

safebootnetwork

activex

drivers32

%SYSTEMDRIVE%\*.exe

%systemroot%\*. /mp /s

%ALLUSERSPROFILE%\Application Data\*.

%ALLUSERSPROFILE%\Application Data\*.exe /s

%APPDATA%\*.

%APPDATA%\*.exe /s

/md5start

eventlog.dll

scecli.dll

netlogon.dll

cngaudit.dll

sceclt.dll

ntelogon.dll

logevent.dll

iaStor.sys

nvstor.sys

atapi.sys

beep.sys

IdeChnDr.sys

viasraid.sys

AGP440.sys

vaxscsi.sys

nvatabus.sys

viamraid.sys

nvata.sys

nvgts.sys

iastorv.sys

ViPrt.sys

eNetHook.dll

ahcix86.sys

ahcix86s.sys

KR10N.sys

nvstor32.sys

nvrd32.sys

explorer.exe

svchost.exe

userinit.exe

symmpi.sys

qmgr.dll

ws2_32.dll

proquota.exe

imm32.dll

kernel32.dll

ndis.sys

autochk.exe

spoolsv.exe

xmlprov.dll

ntmssvc.dll

mswsock.dll

ntfs.sys

tcpip.sys

termsrv.dll

sfcfiles.dll

st3shark.sys

srsvc.dll

adp3132.sys

mv61xx.sys

/md5stop

%systemroot%\system32\*.dll /lockedfiles

%systemroot%\Tasks\*.job /lockedfiles

%systemroot%\system32\drivers\*.sys /lockedfiles

%systemroot%\System32\config\*.sav

%systemroot%\system32\drivers\*.sys /90

• Натиснете маркираният в синьо бутон: .
  
• Като приключи проверката, ще се създадат два файла - OTL.Txt и Extras.Txt.
  

Стъпка 3

Прикачете в следващия си коментар (погледнете опцията "прикачени файлове", когато публикувате мнение) логовете от OTL: OTL.Txt, Extras.Txt.

Ето

OTL.Txt

Extras.Txt

Сега виж дали може да направиш това: Start -> Run -> пишеш удебеления текст (с copy/paste) C:\Documents and Settings\All Users\Application Data\Microsoft\Dr Watson и го стартираш. После дай следния лог: drwtsn32.log

P.S. Ако не става, не се мъчи. След малко ще дам една идея.

Редактирано 6 юни 201016 г. от nologo (преглед на промените)

Заповядай.

DrW.txt

Хм, сега да опитаме един начин за почистване на регистри. Може би той ще е доста трудоемък, но си струва да се опита. Преди това:

Start -> Run -> пишеш regedit -> ОК. Ще се отвори Registry Editor с два панела - папки и ключове. Трябва да отидеш до HKEY_LOCAL_MACHINE\software\. Там ще видиш папки на инсталирания софтуер. Може ли да дадеш снимка, да видим как изглеждат папките?

Качвам снимките .Надявам се че съм ги качил добре че ми е малко мътно ;)

Първи снимка.

http://img696.imageshack.us/img696/4994/reg1g.png

Втора снимка.

http://img580.imageshack.us/img580/2037/reg2e.png

P.S Ако мислиш че наистина ще отнеме много време не е проблем да преинсталирам ОС но не искам проблема да се появи отново.За това каквото и да прецениш да правим искам да ми дадеш препоръки и за двата компа.

Редактирано 6 юни 201016 г. от MorTimaR (преглед на промените)

Благодаря за снимките. Сега ще пробвам нещо по регистрите на една виртуална машина. Надявам се да помогне, но ще отнеме някой друг час. Засега няма решение на твоя проблем...

P.S. Все пак може да пробваш Dr.Web LiveCD. На този линк има упътване за работа на руски и английски (LiveCD-5.0.3-ru.pdf и LiveCD-5.0.3-en.pdf), както и мирър за изтегляне на ISO файл. Но аз се съмнявам, че Dr.Web LiveCD ще се справи 100%...

Редактирано 6 юни 201016 г. от nologo (преглед на промените)

Снощи пуснах Dr.Web LiveCD и както предположи ти не откри заплахи.

Добре. Сега:

• Изтегли ListDLLs на Mark Russinovich (Sysinternals, Technet - Microsoft).
• Разархивирай ZIP файла в папка C:\ListDLLs\
  
• След това Start -> Run -> cmd -> и отиди до папката с cd C:\ListDLLs\ (за командите използвай Copy/Paste)
  
• Въведи командата listdlls > output.txt
  
• Прикачи в следващия си коментар файла output.txt, който ще се намира в папката C:\ListDLLs\.
  

Заповядай.

P.S Имам постоянен проблем със забиване на компа възможно ли е да е от вируса ?

Или проблема е някаде другаде.

output.txt

Редактирано 7 юни 201016 г. от MorTimaR (преглед на промените)

Според мен е от тази гадина. Страшно трудно се открива, антивирусните компании имат или стари, или липсващи дефиниции...

Ако искаш, пробвай следното, да видим дали Sunbelt са в час:

Инструкция за работа с VIPRE Rescue Program:

• Изтеглете VIPRE Rescue Program. Стартирайте VIPRERescue и на въпроса Do you wish to extract the VIPRE Rescue Scanner to your computer отговорете с Yes. Препоръчително е инсталационната папка да бъде C:\VIPRERESCUE, както и да има маркиране на When done unzipping open: .\deep_scan.bat. После натиснете Unzip, снимка:
  
  
  
• След като приключи разархивирането ще се отвори команден прозорец и VIPRE Rescue Program ще започне работа, снимка:
  
  
  
• Имайте търпение, изчакайте сканирането да завърши.
  
• След завършване на сканирането може да намерите резултатите - .xml файл, който се намира в папка C:\VIPRERESCUE. Архивирайте този XML файл в ZIP формат и го прикачете към следващия си коментар. Може да качите файла на rapidshare.com и да дадете линк за изтегляне.
  

Добре сега почвам процедурата, ако мислиш че с формат на дяловете ще се оправят нещата казваи има само малко снимки и текстови документи за спасяване/естествено ако гадината не се закачва за тях/.

Да не инсталирам ъпдейти за уиндоус нали системата трябва да си остане непроменена ?

А като си помисля, че още не сме почнали с изчистването и на другият комп ми побеля косата а за теб не знам :)

Редактирано 7 юни 201016 г. от MorTimaR (преглед на промените)