Помощь в лечении систем от нечисти

**Saule** · 16 марта, 2006

Уважаемая Saule проверил свою машину AVZ . Отчет в прикрепленном файле. Посмотрите пожалуйста. Можно ли все это удалить. И вообще, что это такое? Заранее благодарю.

klif.sys - это драйвер Касперского. Перехваты каких-либо функций антивирусом - это нормально и необходимо для его нормальной работы. То же самое касается и Outpost'a.

kl1.sys - как я понимаю, тоже принадлежит Касперскому.

Что касается переводчика - qdhook.dll - то, скорее всего, с ним тоже всё ок, просто механизм работы некоторых переводчиков может быть в полне схожим с механизмом работы некоторых Keylogger'ов, поэтому у AVZ насчет него действительно могут быть подазрения. Хотя если вы всё-таки переживаете, то вышлите запакованную копию файла qdhook.dll мне на мейл (saule [at] sp0raw.ru).

И последнее: svchost.exe прослушивает этот порт из-за службы "Universal Plug and Play", это тоже нормально. А AVZ заволновался из-за того, что этот порт может также использоваться еще и некоторыми троянами (Bubbel, Back Door Setup, Sockets de Troie Socket 23), но это не ваш случай ;)

Поэтому ничего не удаляем и, если что-то обьяснила не совсем понятно, то задаем вопросы :)

Изменено 23 февраля, 2007 пользователем Saule

**valentin61** · 16 марта, 2006

Saule: Большое спасибо,все доходчиво и понятно :D

**claren** · 16 марта, 2006

Поставил антитроян Ad-adware personal, он просканировал и нашёл много записей с spysheriff и другие записи, которые заподозрил, и всё почистил!!! УрА! :)

Думаю пока всё отлично; начал искать какой-нибудь Антивирус-Программ, с лицензией на обновления и ценой не убиваюшей... (Kaspersky AntiVirus Personal 5.0 пока улибается)... . и хотел бы спросить, возможно взять одну программу и на 2 комп. поставить? или нужно тогда обязательно с 2-мя лизензиями заказывать? Может на Ваш взгляд есть более интересные программы чем Касперский? безплатные была б мечтой... . :)

Спасибо за помошь!

PS: У Нортона закончилась лицензия, и уже давно... .

**Saule** · 16 марта, 2006

Поставил антитроян Ad-adware personal, он просканировал и нашёл много записей с spysheriff и другие записи, которые заподозрил, и всё почистил!!! УрА!
Думаю пока всё отлично; начал искать какой-нибудь Антивирус-Программ, с лицензией на обновления и ценой не убиваюшей... (Kaspersky AntiVirus Personal 5.0 пока улибается)... . и хотел бы спросить, возможно взять одну программу и на 2 комп. поставить? или нужно тогда обязательно с 2-мя лизензиями заказывать? Может на Ваш взгляд есть более интересные программы чем Касперский? безплатные была б мечтой... .

Спасибо за помошь!

PS: У Нортона закончилась лицензия, и уже давно... .

Как ни странно, бесплатных (и, главное, совсем неплохих) антивирусов, предназначенных для домашнего использования, достаточно много Фирмы-производители всё-таки понимают, что не все могут себе позволить иметь антивирус за деньги, а плодить из-за этого вирусы желания ни у кого нет (если ваш компьютер заражен и его никто не лечит, то он всё-таки представляет потенциальную опасность для других компьютеров), так как в таком случае вся борьба с вирусами была бы бессмысленной (и была бы похожа на перегон тараканов из одной квартиры в другую).

Что касается Касперского, то даже у него можно установить совершенно бесплатную версию, благодаря его бета-тестированию. Почитать об этом подробнее, а также скачать можно тут:

http://www.kaspersky.ru/beta

Отзывы в принципе неплохие, особых глюков не наблюдается; только имейте в виду, что для неё нужен более-менее мощный компьютер.

Далее... лучший бесплатный антивирус на мой взгяд это Аvast! 4 Home Edition:

http://www.avast.com/eng/download-avast-home.html

Прямая ссылка на русскую версию: http://files.avast.com/iavs4pro/setuprus.exe

Единсвенное, что нужно сделать, чтобы можно было им пользоваться совершенно бесплатно, это зарегистироватся вот тут:

http://www.avast.com/i_kat_207.php?lang=RUS

и вам на мейл автоматически вышлют ключик.

Если вдруг будите устанавливать, то хочу предупредить, что после его установки первое сканирование начинаеться автоматически до загрузки операционной системы (на самом деле это очень полезная функция, которая нужна, если вы установливаете антивирус уже на зараженный вирусами компьютер). Но если времени на такое сканирование нет, и вам нужно срочно войти в систему, просто нажмите на кнопку "Esc", и оно прекратится :) Еще раз напомню, что таким немного неожиданным образом система будет сканироваться только в первый раз, все последующие вы уже будите задавать сами.

Также бесплатные версии есть у:

AVG Free edition http://free.grisoft.com/doc/2/lng/us/tpl/v5

ClamWin Free Antivirus http://www.clamwin.com/content/view/18/46/

AntiVir® PersonalEdition Classic http://free-av.com/antivirus/allinonen.html

BitDefender 8 Free Edition http://www.bitdefender.com/PRODUCT-14-en--...Edition-v7.html

Последний тоже весьма неплохой.

В любом случае любой из этих вариантов будет лучше и, главное, надежнее(!), чем Нортон без обновлений. Главное, перед установкой нового антивируса не забудьте деинсталлировать старый (uninstal). И ни в коем случае не устанавливайте 2 антивируса на 1 компьютер, так как нормально в таком случае не сможет работать ни один из них (к Ad-adware это не относится, так как антитрояны легко уживаются как между собой, так и с любым антивирусом).

Изменено 21 марта, 2006 пользователем Saule

**claren** · 16 марта, 2006

фэнкс за быстрый и информативный ответ... . Я думаю выбиру себе один из бесплатных, как раз читал о AntiVir® PersonalEdition Classic, который не плохо хвалили... посмотрю обязательно Аvast! 4 Home Edition и сегодня же... .

**Saule** · 17 марта, 2006

фэнкс за быстрый и информативный ответ... . Я думаю выбиру себе один из бесплатных, как раз читал о AntiVir® PersonalEdition Classic, который не плохо хвалили... посмотрю обязательно Аvast! 4 Home Edition и сегодня же... .

Удачи и не болейте :)

**Extacy** · 20 марта, 2006

тоже выскакивают рекламы и не работает ctrl+alt+del. Вот лог, чего делать :D

Logfile of HijackThis v1.99.1

Scan saved at 11:57:41, on 20.03.2006

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\Ati2evxx.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\WINDOWS\system32\rundll32.exe

C:\WINDOWS\system32\Ati2evxx.exe

C:\WINDOWS\Explorer.EXE

C:\Program Files\DAEMON Tools\daemon.exe

C:\WINDOWS\system32\ctfmon.exe

C:\Program Files\Messenger\msmsgs.exe

C:\Program Files\Ray Adams\ATI Tray Tools\atitray.exe

C:\Program Files\Skype\Phone\Skype.exe

C:\WINDOWS\system32\wuauclt.exe

c:\documents and settings\all users.windows\start menu\programs\startup\wmplayer.exe

C:\Program Files\mozilla.org\Mozilla\mozilla.exe

D:\install\hij\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://searchbar.findthewebsiteyouneed.com

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://searchbar.findthewebsiteyouneed.com

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://searchbar.findthewebsiteyouneed.com

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.findthewebsiteyouneed.com

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://searchbar.findthewebsiteyouneed.com

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Microsoft Internet Explorer

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName =

R3 - URLSearchHook: (no name) - - (no file)

O3 - Toolbar: Toolbar888 - {77FBF9B8-1D37-4FF2-9CED-192D8E3ABA6F} - C:\Program Files\Toolbar888\ToolBar888.dll (file missing)

O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe

O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime

O4 - HKLM\..\Run: [DAEMON Tools] "C:\Program Files\DAEMON Tools\daemon.exe" -lang 1033

O4 - HKLM\..\Run: [outlook] C:\Program Files\outlook\outlook.exe /auto

O4 - HKLM\..\Run: [winlog] winlog.exe

O4 - HKLM\..\Run: [KAVPersonal50] C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus Personal\kav.exe /minimize

O4 - HKLM\..\Run: [wmplayer] p2pnetworking.exe

O4 - HKLM\..\Run: [keyboard] C:\windows\keyboard3.exe

O4 - HKLM\..\Run: [mousepad] C:\windows\mousepad3.exe

O4 - HKLM\..\RunServices: [winlog] winlog.exe

O4 - HKLM\..\RunServices: [wmplayer] p2pnetworking.exe

O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE

O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background

O4 - HKCU\..\Run: [AtiTrayTools] "C:\Program Files\Ray Adams\ATI Tray Tools\atitray.exe"

O4 - HKCU\..\Run: [skype] "C:\Program Files\Skype\Phone\Skype.exe" /nosplash /minimized

O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Program Files\Common Files\Adobe\Calibration\Adobe Gamma Loader.exe

O4 - Global Startup: Adobe Reader Speed Launch.lnk = C:\Program Files\Adobe\Acrobat 7.0\Reader\reader_sl.exe

O4 - Global Startup: wmplayer.exe

O8 - Extra context menu item: E&xport to Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000

O9 - Extra button: Titan Poker - {49783ED4-258D-4f9f-BE11-137C18D3E543} - C:\Program Files\Titan Poker\casino.exe

O9 - Extra 'Tools' menuitem: Titan Poker - {49783ED4-258D-4f9f-BE11-137C18D3E543} - C:\Program Files\Titan Poker\casino.exe

O9 - Extra button: PartyPoker.com - {B7FE5D70-9AA2-40F1-9C6B-12A255F085E1} - C:\Program Files\PartyGaming\PartyPoker\RunApp.exe

O9 - Extra 'Tools' menuitem: PartyPoker.com - {B7FE5D70-9AA2-40F1-9C6B-12A255F085E1} - C:\Program Files\PartyGaming\PartyPoker\RunApp.exe

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O17 - HKLM\System\CCS\Services\Tcpip\..\{74CD4FD6-2716-4EC3-8122-1B2745E0ED5B}: NameServer = 193.111.244.3,193.111.244.10

O20 - Winlogon Notify: Hints - C:\WINDOWS\system32\l2r0lc9m1f.dll

O23 - Service: Adobe LM Service - Unknown owner - C:\Program Files\Common Files\Adobe Systems Shared\Service\Adobelmsvc.exe

O23 - Service: Antispyware Server Agent - Trend Micro, Inc. - C:\Program Files\Trend Micro\Antispyware\tmassa.exe

O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe

O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe

O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Common Files\InstallShield\Driver\11\Intel 32\IDriverT.exe

O23 - Service: kavsvc - Kaspersky Lab - C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus Personal\kavsvc.exe

O23 - Service: MySQL - Unknown owner - C:\TMAS\mysql\bin\mysqld-max-nt.exe (file missing)

O23 - Service: Network Monitor - Unknown owner - C:\Program Files\Network Monitor\netmon.exe (file missing)

**Saule** · 20 марта, 2006

тоже выскакивают рекламы и не работает ctrl+alt+del. Вот лог, чего делать :sm(100):

1. Временно отключаем функцию System Restore.

Кликнуть на My Computer правой кнопкой мыши и нажать на Properties. Зайти в закладку Performance. Нажать на кнопку File System. Зайти в закладку Troubleshooting и поставить галочку около 'Disable System Restore'.

2. Открываем HijackThis, нажимаем на кнопку "Do a system scan only" и отмечаем галочкой следующее:

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://searchbar.findthewebsiteyouneed.com

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://searchbar.findthewebsiteyouneed.com

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://searchbar.findthewebsiteyouneed.com

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.findthewebsiteyouneed.com

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://searchbar.findthewebsiteyouneed.com

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName =

R3 - URLSearchHook: (no name) - - (no file)

O3 - Toolbar: Toolbar888 - {77FBF9B8-1D37-4FF2-9CED-192D8E3ABA6F} - C:\Program Files\Toolbar888\ToolBar888.dll (file missing)

O4 - HKLM\..\Run: [wmplayer] p2pnetworking.exe

O4 - HKLM\..\Run: [keyboard] C:\windows\keyboard3.exe

O4 - HKLM\..\Run: [mousepad] C:\windows\mousepad3.exe

O4 - HKLM\..\RunServices: [wmplayer] p2pnetworking.exe

O9 - Extra button: Titan Poker - {49783ED4-258D-4f9f-BE11-137C18D3E543} - C:\Program Files\Titan Poker\casino.exe

O9 - Extra 'Tools' menuitem: Titan Poker - {49783ED4-258D-4f9f-BE11-137C18D3E543} - C:\Program Files\Titan Poker\casino.exe

O9 - Extra button: PartyPoker.com - {B7FE5D70-9AA2-40F1-9C6B-12A255F085E1} - C:\Program Files\PartyGaming\PartyPoker\RunApp.exe

O9 - Extra 'Tools' menuitem: PartyPoker.com - {B7FE5D70-9AA2-40F1-9C6B-12A255F085E1} - C:\Program Files\PartyGaming\PartyPoker\RunApp.exe

Затем нажимаем на кнопку "Fix Checked" (важно, чтобы при нажатии на эту кнопку, браузер был бы закрыт).

И еще, если вдруг HijackThis выдаст вам какое-либо сообщение обошибке, не волнуемся и жмем на Yes, в вашем случае такое может случится, но уверяю вас, что в этом нет ничего страшного :)

3. Удаляем:

Файлы:

C:\windows\mousepad3.exe

C:\windows\keyboard3.exe

Папки:

C:\Program Files\Titan Poker

C:\Program Files\PartyGaming\PartyPoker

(тут нужно посмотреть, возможно, можно удалить сразу всю папку PartyGaming)

Если что-то из этого откажется удаляться, то пока оставляем, вы сможете сделать это потом, после перезагрузки (пока не перезагружаемся!), тогда это будет уже полностью "обезврежено" и удалится без особых проблем.

-----------------

4. Скачиваем на рабочий стол L2MFix

http://www.downloads.subratam.org/l2mfix.exe

И инсталлируем, прямо тут же, на рабочем столе.

5. Закрываем все посторонние программы.

6. Снова открываем HijackThis, но только лишь открываем, ничего не сканируем (!).

Он должен так и оставатся открытым, пока вы будите выполнять следующее действие.

7. Открываем папку l2mfix, находим в неё файл l2mfix.bat и запускаем.

Делее нажимаем любую клавишу на клавиатуре, затем цифру 2 и Enter.

Во время того, как L2mfix будет лечить ваш компьютер, рабочий стол и иконки исчезнут (это нормально).

Когда он закончит (процесс займет у него около 5 минут), то попросит нажать любую клавишу, для того, чтобы перезагрузиться. Но (!) пока клавиатуру не трогаем, а с помощью мышки нажимаем на кнопку Do a System Scan Only в HijackThis.

Затем в его логе находим строчку, которая начинается с

O20 - Winlogon Notify:

и заканчивается dll файлом (название может быть абсолютно любое).

Отмечаем эту строчку галочкой и нажимаем кнопку Fix Checked.

8. Закрываем HijackThis и нажимаем любую клавишу, так как L2MFix всё еще этого ждет, чтобы перезагрузить вашу систему.

После перезагрузки можно будет посмотреть его лог, где будет указано всё то, что он удалил и какие ключи изменил в реестре. А также, если вдруг что-то помешает ему выполнить лечение, то по этому логу можно будет понять что именно.

9. После сделайте, пожалуйста, новый лог HijackThis и если что-то осталось покажите и лог L2MFix тоже :)

**Extacy** · 20 марта, 2006

запускаю L2Mfix.bat и пишет что другая программа уже его использует =(

**Extacy** · 20 марта, 2006

Logfile of HijackThis v1.99.1

Scan saved at 18:39:49, on 20.03.2006

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\Ati2evxx.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\Ati2evxx.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\system32\spoolsv.exe

C:\Program Files\DAEMON Tools\daemon.exe

C:\WINDOWS\system32\CTFMON.EXE

C:\Program Files\Messenger\msmsgs.exe

C:\Program Files\Ray Adams\ATI Tray Tools\atitray.exe

C:\Program Files\Skype\Phone\Skype.exe

C:\Program Files\Adobe\Acrobat 7.0\Reader\reader_sl.exe

C:\Documents and Settings\All Users.WINDOWS\Start Menu\Programs\Startup\wmplayer.exe

C:\WINDOWS\system32\wuauclt.exe

D:\install\hij\HijackThis.exe

O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe

O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime

O4 - HKLM\..\Run: [DAEMON Tools] "C:\Program Files\DAEMON Tools\daemon.exe" -lang 1033

O4 - HKLM\..\Run: [outlook] C:\Program Files\outlook\outlook.exe /auto

O4 - HKLM\..\Run: [winlog] winlog.exe

O4 - HKLM\..\Run: [KAVPersonal50] C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus Personal\kav.exe /minimize

O4 - HKLM\..\RunServices: [winlog] winlog.exe

O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe