Jump to content
СофтФорум - всё о компьютерах и не только

Подозрение на вирусы

Flank
 Share

Recommended Posts

Flank

Flank

Posted
Posted

Здравствуйте, пару дней назад компьютер начал очень сильно тормозить и довольно часто зависать. Сегодян мой антивирус нашел какой-то Backdoor.W32.Delf.SCV (Backdoor) но удалить процесс не смог ( хз почему до этого не находил и после находки так же больше не обнаруживал). Так же постоянно вылазит непонятный процесс servises.exe (он у меян заблокирован анивирусом но видно как он просит доступ постоянно). В диспетчере задач в процессах целых 4 servises.exe ( только 1 работает от имени SYSTEM - остальные от имени пользователя). В папке system32 от куда родом servises.exe почему-то 2 таких фаила. Вообщем посмотрите, пожалуйста, логи а то задолбало перезагружаться каждые полчаса.

И еще при попытке завершить процессы servises.exe (которые о тимени пользователя) - комп перезагружается. А когда servises.exe начинается долбиться об защиту в реальном времени на антивире - сильно нагружается процессор.

Link to comment
Share on other sites
Alex56

Alex56

Posted
Posted

1. AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт -- Нажать кнопку "Запустить"

beginSearchRootkit(true, true);SetAVZGuardStatus(True);TerminateProcessByName('c:\windows\system32\servises.exe');QuarantineFile('c:\windows\system32\servises.exe','');QuarantineFile('C:\WINDOWS\system32\eykfcqc.dll','');DeleteFile('c:\windows\system32\servises.exe');DeleteFile('C:\WINDOWS\system32\eykfcqc.dll');RegKeyIntParamWrite('HKLM','SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer','NoDriveTypeAutoRun', 221);BC_ImportALL;ExecuteSysClean;ExecuteRepair(6);BC_Activate;RebootWindows(true);end.

После выполнения скрипта компьютер перезагрузится.

Выполните еще этот скрипт

beginCreateQurantineArchive(GetAVZDirectory+'quarantine.zip');end.

quarantine.zip отправьте на orsk_alex@mail.ru

2. Пофиксить в HijackThis следующие строчки

O4 - HKLM\..\Run: [servises] C:\WINDOWS\system32\servises.exeO4 - HKCU\..\Policies\Explorer\Run: [servises] C:\WINDOWS\system32\servises.exe

3. Скачайте OTMoveIt3 by OldTimer или с зеркала и сохраните на рабочий стол.

Запустите OTMoveIt3 (в ОС Windows Vista необходимо запускать через правую кн. мыши от имени администратора)

временно выключите антивирус, firewall и другое защитное программное обеспечение. Выделите и скопируйте текст ниже (Ctrl+C)

:Processesexplorer.exe:Services:FilesD:\RECYCLER\S-1-6-21-2434476501-1644491937-600003330-1213\autorunyu.exeD:\SYSTEM\S-1-5-21-1482476501-1644491937-682003330-1013\system32.exeC:\SYSTEM\S-1-5-21-1482476501-1644491937-682003330-1013\system32.exe:Reg[-HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{5e35b5c0-0b24-11de-812f-0018f375cf38}][-HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{c76a06e8-0b12-11de-812e-0018f375cf38}][HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run]"servises"=-:Commands[purity][emptytemp][start explorer][Reboot]

В OTMoveIt3 под панелью "Paste Instructions for Items to be Moved" (под желтой панелью) вставьте скопированный текст и нажмите кнопку "MoveIt!". Выделите (Ctrl+A) и скопируйте (Ctrl+C) текст из окна под панелью "Results" (правая зеленая панель) в следующее сообщение.

Прим: Если файлы и папки не могут быть перемещены немедленно и появиться запись <deleted on reboot>, потребуется перезагрузка. После перезагрузки откройте папку "C:\_OTMoveIt\MovedFiles", найдите последний .log файл (лог в формате mmddyyyy_hhmmss.log), откройте и скопируйте текст из него в следующее сообщение.

Повторите логи

Link to comment
Share on other sites
Alex56

Alex56

Posted
Posted

Не забудьте обновить базы AVZ (Файл-Обновление баз-ПУСК) и выложить новые логи после всех рекомендаций

Link to comment
Share on other sites
Flank

Flank

Posted
  • Author
Posted

========== PROCESSES ==========

Process explorer.exe killed successfully.

========== SERVICES/DRIVERS ==========

========== FILES ==========

File/Folder D:\RECYCLER\S-1-6-21-2434476501-1644491937-600003330-1213\autorunyu.exe not found.

File/Folder D:\SYSTEM\S-1-5-21-1482476501-1644491937-682003330-1013\system32.exe not found.

File/Folder C:\SYSTEM\S-1-5-21-1482476501-1644491937-682003330-1013\system32.exe not found.

========== REGISTRY ==========

Registry key HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{5e35b5c0-0b24-11de-812f-0018f375cf38}\\ deleted successfully.

Registry key HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{c76a06e8-0b12-11de-812e-0018f375cf38}\\ deleted successfully.

Registry key HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run not found.

========== COMMANDS ==========

File delete failed. C:\DOCUME~1\1\LOCALS~1\Temp\etilqs_H7QRlQvcbl6GHvgKzHSr scheduled to be deleted on reboot.

File delete failed. C:\DOCUME~1\1\LOCALS~1\Temp\etilqs_H7QRlQvcbl6GHvgKzHSr-journal scheduled to be deleted on reboot.

User's Temp folder emptied.

User's Temporary Internet Files folder emptied.

User's Internet Explorer cache folder emptied.

Local Service Temp folder emptied.

File delete failed. C:\Documents and Settings\LocalService\Local Settings\Temporary Internet Files\Content.IE5\index.dat scheduled to be deleted on reboot.

Local Service Temporary Internet Files folder emptied.

Windows Temp folder emptied.

FireFox cache emptied.

Temp folders emptied.

Explorer started successfully

OTMoveIt3 by OldTimer - Version 1.0.8.0 log created on 05092009_144821

Files moved on Reboot...

File C:\DOCUME~1\1\LOCALS~1\Temp\etilqs_H7QRlQvcbl6GHvgKzHSr not found!

File C:\DOCUME~1\1\LOCALS~1\Temp\etilqs_H7QRlQvcbl6GHvgKzHSr-journal not found!

File move failed. C:\Documents and Settings\LocalService\Local Settings\Temporary Internet Files\Content.IE5\index.dat scheduled to be moved on reboot.

Поповоду servises.exe то я не удержался - переименовал и удалил еще до рекомендаций и реестр от него очистил...

Вот еще 1 фаил не влез почему-то в этот раз

========== PROCESSES ==========

Process explorer.exe killed successfully.

========== SERVICES/DRIVERS ==========

========== FILES ==========

File/Folder D:\RECYCLER\S-1-6-21-2434476501-1644491937-600003330-1213\autorunyu.exe not found.

File/Folder D:\SYSTEM\S-1-5-21-1482476501-1644491937-682003330-1013\system32.exe not found.

File/Folder C:\SYSTEM\S-1-5-21-1482476501-1644491937-682003330-1013\system32.exe not found.

========== REGISTRY ==========

Registry key HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{5e35b5c0-0b24-11de-812f-0018f375cf38}\\ deleted successfully.

Registry key HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{c76a06e8-0b12-11de-812e-0018f375cf38}\\ deleted successfully.

Registry key HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run not found.

========== COMMANDS ==========

File delete failed. C:\DOCUME~1\1\LOCALS~1\Temp\etilqs_H7QRlQvcbl6GHvgKzHSr scheduled to be deleted on reboot.

File delete failed. C:\DOCUME~1\1\LOCALS~1\Temp\etilqs_H7QRlQvcbl6GHvgKzHSr-journal scheduled to be deleted on reboot.

User's Temp folder emptied.

User's Temporary Internet Files folder emptied.

User's Internet Explorer cache folder emptied.

Local Service Temp folder emptied.

File delete failed. C:\Documents and Settings\LocalService\Local Settings\Temporary Internet Files\Content.IE5\index.dat scheduled to be deleted on reboot.

Local Service Temporary Internet Files folder emptied.

Windows Temp folder emptied.

FireFox cache emptied.

Temp folders emptied.

Explorer started successfully

OTMoveIt3 by OldTimer - Version 1.0.8.0 log created on 05092009_144821

Files moved on Reboot...

File C:\DOCUME~1\1\LOCALS~1\Temp\etilqs_H7QRlQvcbl6GHvgKzHSr not found!

File C:\DOCUME~1\1\LOCALS~1\Temp\etilqs_H7QRlQvcbl6GHvgKzHSr-journal not found!

File move failed. C:\Documents and Settings\LocalService\Local Settings\Temporary Internet Files\Content.IE5\index.dat scheduled to be moved on reboot.

Поповоду servises.exe то я не удержался - переименовал и удалил еще до рекомендаций и реестр от него очистил...

А как у вас сообщения редактировать?

вот еще 1 невлезший фаил

епрст так фаил и не прикрепляется...

Link to comment
Share on other sites
thyrex

thyrex

Posted
Posted

Возможность редактирования появится после достижения рубежа в 100 сообщений

Не нужно было выкладывать htm- и xml-файлы :no:

Link to comment
Share on other sites
Alex56

Alex56

Posted
Posted

1. AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт -- Нажать кнопку "Запустить"

beginRegKeyIntParamWrite('HKLM','SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer','NoDriveTypeAutoRun', 221);end.

2. Запустите OTMoveIt3 (в ОС Windows Vista необходимо запускать через правую кн. мыши от имени администратора)

временно выключите антивирус, firewall и другое защитное программное обеспечение. Выделите и скопируйте текст ниже (Ctrl+C)

:Processesexplorer.exe:Services:FilesC:\WINDOWS\system32\01.tmp:Reg:Commands[purity][emptytemp][start explorer][Reboot]

В OTMoveIt3 под панелью "Paste Instructions for Items to be Moved" (под желтой панелью) вставьте скопированный текст и нажмите кнопку "MoveIt!". Выделите (Ctrl+A) и скопируйте (Ctrl+C) текст из окна под панелью "Results" (правая зеленая панель) в следующее сообщение.

Прим: Если файлы и папки не могут быть перемещены немедленно и появиться запись <deleted on reboot>, потребуется перезагрузка. После перезагрузки откройте папку "C:\_OTMoveIt\MovedFiles", найдите последний .log файл (лог в формате mmddyyyy_hhmmss.log), откройте и скопируйте текст из него в следующее сообщение.

Что с проблемами?

Link to comment
Share on other sites
Flank

Flank

Posted
  • Author
Posted

========== PROCESSES ==========

Process explorer.exe killed successfully.

========== SERVICES/DRIVERS ==========

========== FILES ==========

C:\WINDOWS\system32\01.tmp moved successfully.

========== REGISTRY ==========

========== COMMANDS ==========

File delete failed. C:\DOCUME~1\1\LOCALS~1\Temp\etilqs_MOYeA6BrfvJP3azqa9iX scheduled to be deleted on reboot.

File delete failed. C:\DOCUME~1\1\LOCALS~1\Temp\etilqs_MOYeA6BrfvJP3azqa9iX-journal scheduled to be deleted on reboot.

User's Temp folder emptied.

User's Temporary Internet Files folder emptied.

User's Internet Explorer cache folder emptied.

Local Service Temp folder emptied.

File delete failed. C:\Documents and Settings\LocalService\Local Settings\Temporary Internet Files\Content.IE5\index.dat scheduled to be deleted on reboot.

Local Service Temporary Internet Files folder emptied.

Windows Temp folder emptied.

FireFox cache emptied.

Temp folders emptied.

Explorer started successfully

OTMoveIt3 by OldTimer - Version 1.0.8.0 log created on 05102009_195632

Files moved on Reboot...

File C:\DOCUME~1\1\LOCALS~1\Temp\etilqs_MOYeA6BrfvJP3azqa9iX not found!

File C:\DOCUME~1\1\LOCALS~1\Temp\etilqs_MOYeA6BrfvJP3azqa9iX-journal not found!

File move failed. C:\Documents and Settings\LocalService\Local Settings\Temporary Internet Files\Content.IE5\index.dat scheduled to be moved on reboot.

Что касается проблем то servises.exe больше не беспокоит, но компьютер все равно подтормаживает...

Link to comment
Share on other sites
Alex56

Alex56

Posted
Posted

Скачайте Gmer, запустите программу. После автоматической экспресс-проверки, отметьте галочкой системный диск и нажмите на кнопку "Scan". После окончания проверки сохраните его лог (нажмите на кнопку Save) и вложите в сообщение. Если не будет запускаться, попробуйте переименовать gmer.exe, например, в game.exe.

Link to comment
Share on other sites
long.

long.

Posted
Posted

Хм я почему-то не могу добавить фаил

Посмотрите в своих личных данных – Настройки – Прикрепленные файлы. Там показано сколько «Вами использовано... из допустимых...» или «Вами загружено... файлов (...% использовано)».

Может нужно очистить.

Link to comment
Share on other sites
Flank

Flank

Posted
  • Author
Posted

Все разобрался

А еще вопрос - надо ли было отключать антивирь обновление сисиемы и т д перед сканированием GMERом?

восстановление системы*

_____.log

_____.log

Link to comment
Share on other sites
Alex56

Alex56

Posted
Posted

Антивирус отключить, восстановление системы отключить.

Сохраните текст ниже как cleanup.bat в ту же папку, где находится gmer.exe

gmer.exe -del file "C:\WINDOWS\system32\eykfcqc.dll"gmer.exe -del reg "HKLM\SYSTEM\ControlSet002\Services\avymoatic\Parameters@ServiceDll"gmer.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\avymoatic\Parameters@ServiceDll"gmer -reboot

И запустите cleanup.bat

Сделайте новый лог Gmer

Link to comment
Share on other sites
Alex56

Alex56

Posted
Posted

1. AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт -- Нажать кнопку "Запустить"

beginSearchRootkit(true, true);SetAVZGuardStatus(true);QuarantineFile('C:\WINDOWS\system32\eykfcqc.dll',' ');DeleteFile('C:\WINDOWS\system32\eykfcqc.dll');BC_ImportALL;ExecuteSysClean;BC_Activate;RebootWindows(true);end.

После выполнения скрипта компьютер перезагрузится.

Выполните еще этот скрипт

beginCreateQurantineArchive(GetAVZDirectory+'quarantine.zip');end.

quarantine.zip отправьте на newvirus@kaspersky.com

Повторите лог Gmer

Link to comment
Share on other sites
thyrex

thyrex

Posted
Posted

Сохраните текст ниже как cleanup.bat в ту же папку, где находится gmer.exe

gmer.exe -del service avymoaticgmer.exe -del file "C:\WINDOWS\system32\eykfcqc.dll"gmer.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\avymoatic"gmer.exe -del reg "HKLM\SYSTEM\ControlSet002\Services\avymoatic"gmer -reboot

И запустите cleanup.bat

Повторите лог gmer

Link to comment
Share on other sites
Flank

Flank

Posted
  • Author
Posted

На данный момент вроде нет, спасибо за помощь! :)

Кстати а че это все-таки было ( я про вторую проблему найденную в GMER-е)

Link to comment
Share on other sites

Create an account or sign in to comment

You need to be a member in order to leave a comment

Create an account

Sign up for a new account in our community. It's easy!

Register a new account

Sign in

Already have an account? Sign in here.

Sign In Now
 Share
Go to topic listing

  • Recently Browsing   0 members

    • No registered users viewing this page.
×
×
  • Create New...