Здравейте, Лепнах си вирус - monmvr32.exe. Мога да го видя в startup програмите. Не мога да го изтрия - пробвах и под safe mode. Моля помогнете!

Здравейте,

Може ли да качите въпросния файл някъде (например тук: http://www.skatafka.com).

След това публикувайте линк за download в следвашия си пост.

След това следвайте стъпките описани тук:

Системата ми е инфектирана - Какво да правя сега?

Не мога да кача файла - избирам го, кликвам "Качи" и ми дава съобщение "не сте избрали файл за качване". Започвам скан с Malwarebytes. Когато приключи, ще кача лога тук. Благодаря!

Редактирано 12 септември 201016 г. от dalai.lamia (преглед на промените)

O.K. Продължете нататък...ще го гепим от карантините на специализираните инструменти.

Голямо сканиране падна - 1.5 часа. Ето лога - откри 9 проблема (вкл. 3-4 кийгена). След рестарта компа ми остана почти напълно нереагиращ - дори и Хрома заби като през 1-2 мин. изкарва съобщение за някакъв плъгин: the following plugin has become unresponsive: Unknown. Would you like to stop it? Нито YES, нито NO правят нещо - цикли така. Не мога да стартирам нищо, което е на таскбара, даже и минимизираните програми не мога да максимизирам... Мога единствено да стартирам/отварям неща, които са на десктопа - но там пък нямам нито един браузър. Сега проверих в startup entries - гадорията е все още там.

mbam-log-2010-09-12 (18-20-17).txt

Редактирано 12 септември 201016 г. от dalai.lamia (преглед на промените)

Хм.....да продължим така:

1.Изтеглете програмата AVZ 4.35 и разархивирайте avz4.zip например в папка (c:\antivir).

- стартирате AVZ и обновявате базата с данни (в меню AVZ: Файл - Обновление баз - Пуск):

2.Затворете всички програми,временно изключете антивирусната си програма,защитната стена и друг защитен софтуер (ако имате такъв),оставете запуснат само Internet Explorer.

- докато трае сканирането и формирането на логовете изключете си интернета.

3.Стартирате AVZ,(в ОС Windows Vista стартирате с десен бутон на мишката от името на администратор),избираме от Меню - Файл - Стандартные скрипты:

... поставете отметка на 3-ти скрипт и натискаме "Выполнить отмеченные скрипты".В резултат на изпълнение на скрипта в папката AVZ\LOG ще се създаде архив virusinfo_syscure.zip.:

Внимание:След изпълнение на скрипта рестартирайте компютъра си!

4.Стартирате AVZ,(в ОС Windows Vista стартирате с десен бутон на мишката от името на администратор),избираме от Меню - Файл - Стандартные скрипты и поставете отметка на 2-ри скрипт,натискаме "Выполнить отмеченные скрипты".В резултат на изпълнение на скрипта в папката AVZ\LOG ще се създаде архив virusinfo_syscheck.zip.:

5.Затворете AVZ.Включете си антивирусната програма,защитната стена и интернета.Към темата прикачете:

- virusinfo_syscure.zip

- virusinfo_syscheck.zip

Внимание!!!

• Не бъркайте архива virusinfo_syscure.zip с virusinfo_cure.zip (втория за сега не ни е нужен)
• Ако AVZ не се стартира преименувайте файла avz.exe в 123.com (123.pif или 123.cmd)

----------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------

За да направите програмата на руски език (препоръчително)

направете shortcut на иконката на програмата (от инсталационната папка на десктопа си)

десен бутон на иконката ==>properties ==>таб shortcut

ще видите този прозорец - направете посочените корекции:

Засега не успявам да направя нищо - който и браузър да пусна, забива на второто кликване (пиша от лаптопа на приятелката ми). Ако успея, ще редактирам това съобщение. EDIT: успях да пусна браузър, през сейф мод, сега почвам по горните инструкции. EDIT: не успях да пусна програмата на руски, но се справям и на английски. ВЪПРОС: Проблем ли е, че работя под сейф мод? EDIT: прикачам логовете.

virusinfo_syscure.zip

virusinfo_syscheck.zip

Редактирано 12 септември 201016 г. от dalai.lamia (преглед на промените)

Да пробваме да спрем monmvr32.exe така:

Изтеглете OSAM (Online Solutions Autorun Manager)

Съхранете архива на десктопа си,разархивирате и стартирате програмата.Изчаквате да завърши сканирането,след което ще ви се предложи да се извърши сканиране на файловете от startup ,чрез on-line сканер...!Съгласете се да се извърши проверката..!

След сканиранете натиснете бутона "Save Log" ,запазете го на десктопа си,архивирате и прикачате в следващия си пост..!

ВЪПРОС: Проблем ли е, че работя под сейф мод?

Ами да..проблем е ...нещата малко се променят сега ще ти опиша как да сканираш с АВЗ в безопасен режим....!Изчакай....!

Да пробваме да спрем monmvr32.exe така:

Изтеглете OSAM (Online Solutions Autorun Manager)

Съхранете архива на десктопа си,разархивирате и стартирате програмата.Изчаквате да завърши сканирането,след което ще ви се предложи да се извърши сканиране на файловете от startup ,чрез on-line сканер...!Съгласете се да се извърши проверката..!

След сканиранете натиснете бутона "Save Log" ,запазете го на десктопа си,архивирате и прикачате в следващия си пост..!

Ами да..проблем е ...нещата малко се променят сега ще ти опиша как да сканираш с АВЗ в безопасен режим....!Изчакай....!

Сканирах с OSAM - под сейф мод - прикачам лога. Забелязах, че въпросния файл/вирус не беше разпознат и програмата поиска да го изпрати за анализ, съгласих се.

Ще повторя необходимите действия, щом като сканирането под сейф мод е било проблем, просто кажете какво да направя.

osam.html

AVZ, меню "Файл -- Выполнить скрипт" -- Копирате долунаписания скрипт-- Натиснете бутон "Запустить".

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\Documents and Settings\Cheeseus\Start Menu\Programs\Startup\monmvr32.exe','');
 DeleteFile('C:\Documents and Settings\Cheeseus\Start Menu\Programs\Startup\monmvr32.exe');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

След изпълнение на скрипта компютъра ви ще се рестартира.

След рестарта изпълнете следния скрипт:

begin
 CreateQurantineArchive(GetAVZDirectory+'quarantine .zip');
end.

В резултат на изпълнение на втория скрипт ще се сформира quarantine.zip (карантина).Отправете получения файл quarantine.zip от инсталационната папка на AVZ, на [email protected]

След изпълнение на кода рестартирах в нормален режим. Всичко отново замръзна и се принудих пак да резетна и да вляза под сейф мод.

Редактирано 12 септември 201016 г. от dalai.lamia (преглед на промените)

Пробвайте да изпълните скрипта .....когато е в безопасен режим стандатен скрип 2 и 3 са некоректни....за целта:

1)AVZ => Файл => Стандартные скрипты

2)Отметнете Стандартен скрип 1 и го изпълнете

3)Изследване на системата направете съгласно снимката

Архивирайте протокола и го прикачете в следващия си пост..!

Пробвайте да изпълните скрипта .....когато е в безопасен режим стандатен скрип 2 и 3 са некоректни....за целта:

1)AVZ => Файл => Стандартные скрипты

2)Отметнете Стандартен скрип 1 и го изпълнете

3)Изследване на системата направете съгласно снимката

Архивирайте протокола и го прикачете в следващия си пост..!

Готово. Прикачам резултата.

avz_sysinfo.zip

AVZ, меню "Файл -- Выполнить скрипт" -- Копирате долунаписания скрипт-- Натиснете бутон "Запустить".

begin

SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('Tcpucidw.sys','');
 DeleteFile('Tcpucidw.sys');
 DeleteService('Tcpucidw');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

След изпълнение на скрипта компютъра ви ще се рестартира.

След рестарта изпълнете следния скрипт:

begin
 CreateQurantineArchive(GetAVZDirectory+'quarantine .zip');
end.

В резултат на изпълнение на втория скрипт ще се сформира quarantine.zip (карантина).Отправете получения файл quarantine.zip от инсталационната папка на AVZ, на [email protected]

Освен това пропуснах - използвали сте ComboFix без да са ви дадени такива указания - в системата ви има остатъци .За да ги деинсталирате направете така:

Натиснете Start ==> Run ==> въведете командата Combofix /Uninstall ==> OK

Изтеглете OTCleanIt или от тук,стартирайте и натиснете Clean up

Освен това пропуснах - използвали сте ComboFix без да са ви дадени такива указания - в системата ви има остатъци .За да ги деинсталирате направете така:

Натиснете Start ==> Run ==> въведете командата Combofix /Uninstall ==> OK

Изтеглете OTCleanIt или от тук,стартирайте и натиснете Clean up

Windows cannot find ComboFix... - Това получавам. Не знам какво е ComboFix и не съм го стартирал (възможно ли е само да се е стартирало?)

..и това задължително:

Изтеглете OTCleanIt или от тук,стартирайте и натиснете Clean up

И сега след борбата как е състоянието на системата ви..?Имате ли все още някъкви проблеми..?

Направих горното - но все така нищо. Самият файл, който първоначално се намираше в startup-a го няма, но като заредя в нормален режим и всичко замръзва както преди. Затова стартирам в сейф мод... но не знам какво да правя... Пробвах да сложа друг Уиндоус на един от другите хардове, но не става - замръзва малко след като излезе надписа "starting Windows". Предполагам този проблем е още по-труден за разрешаване, защото и преди не можех да инсталирам друга ОС (пробвал съм 5-6 пъти). Сега даже откачих и главния хард, на който ми е XP-то, но нищо... Да взема да пробвам да инсталирам върху тази инсталация на XP? Май това ми е единственият оставащ вариант...

Така ще е като още движиш с Service Pack 2....Вече три месеца е спряна поддръжката му .....затова изтеглете и инсталирайте Service Pack 3.

Така ще е като още движиш с Service Pack 2....Вече три месеца е спряна поддръжката му .....затова изтеглете и инсталирайте Service Pack 3.

Инсталирах SP3. При рестарт в нормален режим се получава същото - компютърът просто замръзва.

Надявам се да имате други идеи...

Редактирано 12 септември 201016 г. от dalai.lamia (преглед на промените)

Това е логът на DDS. Сякаш няма следи от "лошите", но пък компютърът все така забива...

DDS_logs.zip

Редактирано 12 септември 201016 г. от dalai.lamia (преглед на промените)

Добро утро!Много интересен случай.....прехвърлих всички логове...мисля че пропускаме нещо...!И най-важното че в последния лог от DDS.....единия съмнителен файл Tcpucidw все още фигурира в лога..! Можете ли да изготвите нови логове с АВЗ в нормален режим...?(по инструкциятя в пост 6)

Дано да е добро! Прикачам логовете на AVZ. Забелязвам следното: таскбара ми сега вече изцяло изчезва (черен фон), като в началото - както вчера - курсорът се обръща на часовниче. В трея се зареждат само иконките на антивирусната и понякога на мрежовата карта, но са напълно нереагиращи. Не мога да си пусна браузъра в нормален режим, защото забива веднага (пиша под сейф мод отново, но скана го извърших в нормален режим). Забелязах също така, че едно от много неща в червено, които се изписаха, докато траеше сканирането, беше някакъв файл на Традоса ми (не мисля, че е вирус).

virusinfo_syscheck.zip

virusinfo_syscure.zip

Редактирано 13 септември 201016 г. от dalai.lamia (преглед на промените)

Този файл:

C:\Program Files\SDL\SDL Trados Studio\Studio1\es\Sdl.FileTypeSupport.Filters.Verifiers.QAChecker.resources.dll

изпратете на Virus Тotal за анализ.Резултата - в следващия си пост

Този файл:

изпратете на Virus Тotal за анализ.Резултата - в следващия си пост

Този файл е част от преводаческата ми програма Традос, не може да е вирус, мисля, но ето и резултата от скана:

File name: Sdl.FileTypeSupport.Filters.Verifiers.QAChecker.resources.dll

Submission date: 2010-09-13 09:58:39 (UTC)

Current status: queued queued (#2) analysing finished

Result: 0/ 43 (0.0%)

Отрицателен на всички сканиращи ресурси.