Проблема с антивирусами или Поймал хороший вирус

[WeB]

Ждём логи HiJackThis. Без них получается гадание на кофейной гуще.

[AlexeyAlexan]

а онлайн-сканирование на вирусы не пробовали? И линукс ставить не обязательно, есть много LiveCD систем которые с диска работают без установки

[Lamazz]

Проблема Live CD в том, что базы на них устаревшие
Вновь счачанная утилита, записанная на диск покруче будет.

[mantikora]

вот лог..сейчас ухожу поэтом чуть позже сделаю проверку доктором вебом с СD
БОЛЬШОЕ СПАСИБО ВСЕМ ЗА ПОМОЩЬ!!
Смотреть:

Цитата: Logfile of Trend Micro HijackThis v2.0.2 Scan saved at 13:10:26, on 03.01.2008 Platform: Windows XP SP2 (WinNT 5.01.2600) MSIE: Internet Explorer v7.00 (7.00.5730.0011) Boot mode: Normal Running processes: C:\WINDOWS\System32\smss.exe C:\WINDOWS\system32\csrss.exe C:\WINDOWS\system32\winlogon.exe C:\WINDOWS\system32\services.exe C:\WINDOWS\system32\lsass.exe C:\WINDOWS\system32\svchost.exe C:\Program Files\AusLogics Visual Styler\themehelpersvc.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\system32\spoolsv.exe C:\Program Files\Common Files\Microsoft Shared\VS7DEBUG\MDM.EXE C:\WINDOWS\system32\nvsvc32.exe C:\WINDOWS\system32\HPZipm12.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\Explorer.EXE C:\WINDOWS\System32\alg.exe C:\WINDOWS\RTHDCPL.EXE C:\Program Files\Java\jre1.6.0_03\bin\jusched.exe C:\WINDOWS\system32\ctfmon.exe C:\Program Files\LClock\LClock.exe C:\Program Files\uTorrent\uTorrent.exe C:\Program Files\AusLogics BoostSpeed\boostspeed.exe C:\WINDOWS\system32\RUNDLL32.EXE C:\Program Files\Opera\Opera.exe D:\ПРОИГР~1\GOMPLA~1\GOM.exe C:\Program Files\WinRAR\WinRAR.exe C:\DOCUME~1\MANTIK~2\LOCALS~1\Temp\Rar$EX00.860\Hi jackThis.exe C:\WINDOWS\system32\wbem\wmiprvse.exe R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://google.icq.com/search/search_frame.php R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896 R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.windowsxlive.net R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157 R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896 R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896 R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157 R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Int ernet Settings,ProxyServer = 61.28.1.91:8080 R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Ссылки O1 - Hosts: 64.15.158.140 img141.imagevenue.com O1 - Hosts: 72.55.148.80 www.imagevenue.com O1 - Hosts: 207.68.173.76 www.msn.com O1 - Hosts: 212.40.34.149 bizarre.com.ua O1 - Hosts: 209.85.135.103 www.google.com O1 - Hosts: 81.176.66.169 zhurnal.lib.ru O1 - Hosts: 204.9.177.18 community.livejournal.com O1 - Hosts: 64.21.16.208 www.reklama-net.ru O1 - Hosts: 87.242.72.149 city-fm.ru O1 - Hosts: 65.98.103.6 www.aphorism.ru O1 - Hosts: 195.2.70.38 sadovsky.humor.ru O1 - Hosts: 63.247.77.10 www.xoxma.od.ua O1 - Hosts: 205.188.251.118 www.icq.com O1 - Hosts: 212.42.38.194 www.playground.ru O1 - Hosts: 62.149.0.180 leo-lex.ho.com.ua O1 - Hosts: 91.198.174.2 ru.wikipedia.org O1 - Hosts: 207.46.250.101 go.microsoft.com O1 - Hosts: 207.123.33.124 runonce.msn.com O1 - Hosts: 66.132.129.194 room227.com O1 - Hosts: 217.116.231.72 www.cam4.com O1 - Hosts: 208.70.8.13 apps.userplane.com O1 - Hosts: 66.221.57.35 www.voiceandvideochat.com O1 - Hosts: 193.239.68.70 www.korrespondent.net O1 - Hosts: 216.27.179.20 lp.com O1 - Hosts: 195.14.47.213 yellowpress.ru O1 - Hosts: 88.81.154.56 router.partypoker.com O1 - Hosts: 88.81.155.144 ru.partypoker.com O1 - Hosts: 88.81.154.62 secure.partyaccount.com O1 - Hosts: 91.194.72.14 a.od.ua O1 - Hosts: 195.214.193.249 video.ukr.net O1 - Hosts: 194.67.57.126 mail.ru O1 - Hosts: 193.41.200.145 www.esl.eu O1 - Hosts: 85.214.64.189 fifabot.com O2 - BHO: Yahoo! Toolbar Helper - {02478D38-C3F9-4EFB-9B51-7695ECA05670} - C:\Program Files\Yahoo!\Companion\Installs\cpn\yt.dll O2 - BHO: XTTBPos00 - {055FD26D-3A88-4e15-963D-DC8493744B1D} - C:\PROGRA~1\ICQTOO~1\toolbaru.dll O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEHelper.dll O2 - BHO: Flashget Catch Url Class - {2F364306-AA45-47B5-9F9D-39A8B94E7EF7} - (no file) O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.6.0_03\bin\ssv.dll O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file) O3 - Toolbar: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Program Files\Yahoo!\Companion\Installs\cpn\yt.dll O3 - Toolbar: ICQ Toolbar - {855F3B16-6D32-4fe6-8A56-BBB695989046} - C:\PROGRA~1\ICQTOO~1\toolbaru.dll O3 - Toolbar: StylerToolBar - {D2F8F919-690B-4EA2-9FA7-A203D1E04F75} - C:\Program Files\Styler\TB\StylerTB.dll O4 - HKLM\..\Run: [nwiz] nwiz.exe /install O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Java\jre1.6.0_03\bin\jusched.exe" O4 - HKLM\..\Run: [BootSkin Startup Jobs] "C:\PROGRA~1\Stardock\WINCUS~1\BootSkin\BootSkin.e xe" /StartupJobs O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup O4 - HKLM\..\Run: [NvMediaCenter] RunDLL32.exe NvMCTray.dll,NvTaskbarInit O4 - HKLM\..\Run: [AVP] "C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 7.0\avp.exe" O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe O4 - HKCU\..\Run: [LClock] C:\Program Files\LClock\LClock.exe O4 - HKCU\..\Run: [uTorrent] "C:\Program Files\uTorrent\uTorrent.exe" O4 - HKCU\..\Run: [BoostSpeed] "C:\Program Files\AusLogics BoostSpeed\boostspeed.exe" /Q O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'LOCAL SERVICE') O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'NETWORK SERVICE') O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM') O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user') O4 - .DEFAULT User Startup: desktop(2).ini (User 'Default user') O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_03\bin\ssv.dll O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_03\bin\ssv.dll O9 - Extra button: Cтатистика Веб-Антивируса - {1F460357-8A94-4D71-9CA3-AA4ACF32ED8E} - C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 7.0\SCIEPlgn.dll O9 - Extra button: Mail.Ru Agent - {7558B7E5-7B26-4201-BEDB-00D5FF534523} - C:\Program Files\Mail.Ru\Agent\MAgent.exe O9 - Extra button: (no name) - {8DAE90AD-4583-4977-9DD4-4360F7A45C74} - (no file) O9 - Extra button: PartyPoker.com - {B7FE5D70-9AA2-40F1-9C6B-12A255F085E1} - C:\Program Files\PartyGaming\PartyPoker\RunApp.exe O9 - Extra 'Tools' menuitem: PartyPoker.com - {B7FE5D70-9AA2-40F1-9C6B-12A255F085E1} - C:\Program Files\PartyGaming\PartyPoker\RunApp.exe O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Program Files\ICQLite\ICQLite.exe (file missing) O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Program Files\ICQLite\ICQLite.exe (file missing) O9 - Extra button: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Program Files\ICQ6\ICQ.exe O9 - Extra 'Tools' menuitem: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Program Files\ICQ6\ICQ.exe O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe O17 - HKLM\System\CCS\Services\Tcpip\..\{38EEC763-3CC4-445B-BE4F-83A7C82B71EA}: NameServer = 217.146.241.2 217.146.240.130 O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\COMMON~1\Skype\SKYPE4~1.DLL O23 - Service: AusLogics Windows Themes Helper (ALThemeHelper) - Unknown owner - C:\Program Files\AusLogics Visual Styler\themehelpersvc.exe O23 - Service: Kaspersky Anti-Virus 7.0 (AVP) - Kaspersky Lab - C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 7.0\avp.exe O23 - Service: Журнал событий (Eventlog) - Корпорация Майкрософт - C:\WINDOWS\system32\services.exe O23 - Service: Google Updater Service (gusvc) - Google - C:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe O23 - Service: Служба COM записи компакт-дисков IMAPI (ImapiService) - Корпорация Майкрософт - C:\WINDOWS\system32\imapi.exe O23 - Service: NetMeeting Remote Desktop Sharing (mnmsrvc) - Корпорация Майкрософт - C:\WINDOWS\system32\mnmsrvc.exe O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe O23 - Service: Plug and Play (PlugPlay) - Корпорация Майкрософт - C:\WINDOWS\system32\services.exe O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\system32\HPZipm12.exe O23 - Service: Диспетчер сеанса справки для удаленного рабочего стола (RDSessMgr) - Корпорация Майкрософт - C:\WINDOWS\system32\sessmgr.exe O23 - Service: Смарт-карты (SCardSvr) - Корпорация Майкрософт - C:\WINDOWS\System32\SCardSvr.exe O23 - Service: FrontLine Drivers Auto Removal (v2) (sfrem02) - Protection Technology (StarForce) - C:\WINDOWS\system32\sfrem02.exe O23 - Service: Теневое копирование тома (VSS) - Корпорация Майкрософт - C:\WINDOWS\System32\vssvc.exe O23 - Service: Адаптер производительности WMI (WmiApSrv) - Корпорация Майкрософт - C:\WINDOWS\system32\wbem\wmiapsrv.exe -- End of file - 9706 bytes

[miLord Corwin]

Цитата: Сообщение от Lamazz Смущает наличие двух папок Recycled и Recycler

Реально не заметил... Сотри обе... на всех дисках и перегрузись.

[Lamazz]

в логе грязи много зловредрв не вижу.

проверить как я говорил
потом

Цитата: 1. Запустить проводник, включить показ скрытых и системных файлов: "Сервис" - "Свойства папки" - снять галку "Скрывать защищенные системные файлы" и отметить "Показывать скрытые файлы и папки". 2. Просмотреть корневые каталоги всех разделов на жестких дисках и всех имеющихся съемных дисков (вплоть до фотоаппаратов и мп3-плееров), а также папку Windows\System32 и удалить там все файлы с именем autorun и любым расширением. Важно: открывать указанные места исключительно щелчком в левой части окна проводника, в дереве каталогов, а не двойным по иконке диска, ибо в последнем случае, открывая зараженный диск, опять заражаете комп. 3. Запустить редактор реестра (Пуск - Выполнить - regedit.exe) и сделать две вещи: а) Раскрыть ключ HKEY_LOCAL_MACHINE/Software/Microsoft/Windows NT/Current Version/Winlogon и проверить значение параметра Userinit. В нем должно быть C:\WINDOWS\system32\userinit.exe, и ничего более. (Если система у вас установлена в другой раздел или папку, вместо C:\WINDOWS будет путь вашей системной папки). б) Удалить целиком ключ HKEY_CURRENT_USER/Software/Microsoft/Windows/Current Version/Explorer/MountPoints2. Последний пункт повторить для всех пользователей системы, затем перезагрузиться.

[Lamazz]

Прозевал в первый раз
O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)
O4 - .DEFAULT User Startup: desktop(2).ini (User 'Default user')
O9 - Extra button: (no name) - {8DAE90AD-4583-4977-9DD4-4360F7A45C74} - (no file)

выделите и пофиксите

[mantikora]

я в шоке..ну это какой-то мега вирус..
знач по порядку:
1)закинул доктор веб на диск и через безопасный режим просканил..ничего особого не нашел кроме 1-2 обычных троянов которые удалил..(кстати в безопасном режиме диск D открывается..)
но в обычном режиме нет..вирус на месте..
2)

Цитата: Смущает наличие двух папок Recycled и Recycler Реально не заметил... Сотри обе... на всех дисках и перегрузись.

удаляется только 1-н файл..2-й пишет занто процессом удаление невозможно..1-н снес перегрузил комп..не помогло..
3)

Цитата: 1. Запустить проводник, включить показ скрытых и системных файлов: "Сервис" - "Свойства папки" - снять галку "Скрывать защищенные системные файлы" и отметить "Показывать скрытые файлы и папки". 2. Просмотреть корневые каталоги всех разделов на жестких дисках и всех имеющихся съемных дисков (вплоть до фотоаппаратов и мп3-плееров), а также папку Windows\System32 и удалить там все файлы с именем autorun и любым расширением. Важно: открывать указанные места исключительно щелчком в левой части окна проводника, в дереве каталогов, а не двойным по иконке диска, ибо в последнем случае, открывая зараженный диск, опять заражаете комп. 3. Запустить редактор реестра (Пуск - Выполнить - regedit.exe) и сделать две вещи: а) Раскрыть ключ HKEY_LOCAL_MACHINE/Software/Microsoft/Windows NT/Current Version/Winlogon и проверить значение параметра Userinit. В нем должно быть C:\WINDOWS\system32\userinit.exe, и ничего более. (Если система у вас установлена в другой раздел или папку, вместо C:\WINDOWS будет путь вашей системной папки). б) Удалить целиком ключ HKEY_CURRENT_USER/Software/Microsoft/Windows/Curre nt Version/Explorer/MountPoints2. Последний пункт повторить для всех пользователей системы, затем перезагрузиться.

все это сделал..1-й ключ в норме а 2-й как и надо пустой..
итог все еще не работает диск D..
4)

Цитата: O4 - .DEFAULT User Startup: desktop(2).ini (User 'Default user')

нажал профиксить вроде успешно но потом просканил и файл снова был..
итог диск D всеравно не работает..

создатель вируса потрудился на славу..ничего его не берет..

[cinder]

Практически идентичная тема в Скорой помощи была
http://www.nowa.cc/showthread.php?t=105671

Есть решение с использованием программы antiautoran. Читайте тему.

[Lamazz]

Там тема с autorun.*
здесь тема с desktop(2).ini и реализуется запуск этого desktop(2).ini через реестр

[Rebel777]

Цитата: Сообщение от mantikora Прошу у всех помощи.. столкнулся с ТАКИМ вирусом что ужас какой-то.. Суть вируса в том что не могу зайди на диск D через обычную менюшку(могу просматривать только через ACDsee, даже проводник не берет...), но это не самое страшное.компьютер перестал воспринимать USB от моего телефона, от плеера друга и т.д...я так понял он еще поражает драйвера этих устройств..потому что флэшка(с которой я походу и принес вирус) работает на моем компьютере.. Борюсь я с этим вирусом уже пол года(если не больше..), ничего его не берет..сканировал комп при помощи нод32, касперского7, доктор вэба, авиры..ничего его не берет..и не обнаруживает..я в ужасе Пожалуйста помогите..буду очень признателен)

Увереность что это вирус, а не сбой системы?

[Lamazz]

это последствия работы вируса
А удален он или нет нужно разбираться

[WeB]

Цитата: Сообщение от mantikora я в шоке..ну это какой-то мега вирус.. знач по порядку: 1)закинул доктор веб на диск и через безопасный режим просканил..ничего особого не нашел кроме 1-2 обычных троянов которые удалил..(кстати в безопасном режиме диск D открывается..) но в обычном режиме нет..вирус на месте.. 2) удаляется только 1-н файл..2-й пишет занто процессом удаление невозможно..1-н снес перегрузил комп..не помогло.. 3) все это сделал..1-й ключ в норме а 2-й как и надо пустой.. итог все еще не работает диск D.. 4) нажал профиксить вроде успешно но потом просканил и файл снова был.. итог диск D всеравно не работает.. создатель вируса потрудился на славу..ничего его не берет..

Так начнём по порядку:
по 1 пункту: Что за обычные трояны (имена файлов, как детектировались, где находились в каком каталоге)? И что за вирус опять на месте? Ты его (файл) видишь или просто считаешь что он там есть имея ввиду то, что D:\ не можешь открыть?
по пункту 2: значит это родная корзина, она нужна и её ты не удалишь.
по пункту 4: Если воскресает, значит кто то это делает, надо разбираться кто, одного лога HiJackThis для этого не достаточно.
Кстати вопрос, в файл hosts ты всё это сам прописывал:
O1 - Hosts: 64.15.158.140 img141.imagevenue.com
O1 - Hosts: 72.55.148.80 www.imagevenue.com
O1 - Hosts: 207.68.173.76 www.msn.com
O1 - Hosts: 212.40.34.149 bizarre.com.ua
O1 - Hosts: 209.85.135.103 www.google.com
O1 - Hosts: 81.176.66.169 zhurnal.lib.ru
O1 - Hosts: 204.9.177.18 community.livejournal.com
O1 - Hosts: 64.21.16.208 www.reklama-net.ru
O1 - Hosts: 87.242.72.149 city-fm.ru
O1 - Hosts: 65.98.103.6 www.aphorism.ru
O1 - Hosts: 195.2.70.38 sadovsky.humor.ru
O1 - Hosts: 63.247.77.10 www.xoxma.od.ua
O1 - Hosts: 205.188.251.118 www.icq.com
O1 - Hosts: 212.42.38.194 www.playground.ru
O1 - Hosts: 62.149.0.180 leo-lex.ho.com.ua
O1 - Hosts: 91.198.174.2 ru.wikipedia.org
O1 - Hosts: 207.46.250.101 go.microsoft.com
O1 - Hosts: 207.123.33.124 runonce.msn.com
O1 - Hosts: 66.132.129.194 room227.com
O1 - Hosts: 217.116.231.72 www.cam4.com
O1 - Hosts: 208.70.8.13 apps.userplane.com
O1 - Hosts: 66.221.57.35 www.voiceandvideochat.com
O1 - Hosts: 193.239.68.70 www.korrespondent.net
O1 - Hosts: 216.27.179.20 lp.com
O1 - Hosts: 195.14.47.213 yellowpress.ru
O1 - Hosts: 88.81.154.56 router.partypoker.com
O1 - Hosts: 88.81.155.144 ru.partypoker.com
O1 - Hosts: 88.81.154.62 secure.partyaccount.com
O1 - Hosts: 91.194.72.14 a.od.ua
O1 - Hosts: 195.214.193.249 video.ukr.net
O1 - Hosts: 194.67.57.126 mail.ru
O1 - Hosts: 193.41.200.145 www.esl.eu
O1 - Hosts: 85.214.64.189 fifabot.com
Если нет, то зайди c:\WINDOWS\system32\drivers\etc\ и почисти файл hosts.
Ещё вопрос: Восстановление системы отключено на всех дисках? Если нет то отключи.
Диск разбит на 2 раздела или в системном блоке два диска?
Можно попробывать присвоить проблемному разделу или диску D:\ другую букву, попробуй, может откроется тогда?
Из тотал командела можно открыть D:\?
Вообще много вопросов и много тёмных мест в проблеме, поподробнее надо бы?

[Lamazz]

Поищи еще поиском файл desktop(2).ini
Если есть - давай содержимое, а сам файл сноси

[miLord Corwin]

Цитата: Сообщение от mantikora удаляется только 1-н файл..2-й пишет занто процессом удаление невозможно..1-н снес перегрузил комп..не помогло..

Ес-но не помогло... это тот авторан-вирус, который прячется в корзине... милая штучка я его даже видел. На носителе, зараженном этой бацилой, появляется папочка Recucled... снеси обе папки из-под ДОСа... потом ДОС антивирем снеси троянов...