Помогите у меня тоже вирус GGDRIVE32.exe

[DIMKA-vrn]

Помогите у меня тоже вирус GGDRIVE32.exe :sly:

virusinfo_syscheck.zip

virusinfo_syscure.zip

hijackthis.log

virusinfo_syscheck.zip

virusinfo_syscure.zip

hijackthis.log

[edde]

i

Уведомление: Тему разделил

Выполните скрипт авз

beginSearchRootkit(true, true);SetAVZGuardStatus(True);QuarantineFile('sysdrv32.sys','');QuarantineFile('c:\recycler\r-1-5-21-1482476501-1644491937-682003330-1013\vcleaner.exe','');QuarantineFile('c:\windows\ggdrive32.exe','');QuarantineFile('C:\WINDOWS\system32\53.exe','');QuarantineFile('c:\windows\system32\gerz clock\screen.exe','');QuarantineFile('c:\RECYCLER\R-1-5-21-1482476501-1644491937-682003330-1013\vcleaner.exe','');DeleteFile('c:\RECYCLER\R-1-5-21-1482476501-1644491937-682003330-1013\vcleaner.exe');DeleteFile('c:\windows\system32\gerz clock\screen.exe');DeleteFile('C:\WINDOWS\system32\53.exe');DeleteFile('c:\windows\ggdrive32.exe');DeleteFile('sysdrv32.sys');DeleteFile('c:\recycler\r-1-5-21-1482476501-1644491937-682003330-1013\vcleaner.exe');RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Winlogon','Taskman');DeleteService('sysdrv32');BC_ImportAll;ExecuteSysClean;BC_Activate;RebootWindows(true);end.

Компьютере перезагрузится без предупреждения




выполните второй скрипт

beginCreateQurantineArchive(GetAVZDirectory+'quarantine.zip');end.

В результате выполнения скрипта будет сформирован карантин


Карантин отправьте в соответствии с формой http://www.oszone.net/virusnet/

Копию отправьте на ящик myedde@mail.ru



Повторите логи. Лог RSIT обязательно прикрепите к следующему вашему сообщению так-же.

[DIMKA-vrn]

Все выполнил. Посмотрим осталась ли проблема или нет.

[edde]

Карантин пришел в архиве Worm.Win32.AInfBot (Kaspersky)

Жду повторные логи.

[DIMKA-vrn]

GGdrive32.exe пока не замечен. Но у меня отваливатся инет. Вылезает окошко Generic Hosts for Win32 будет закрыто, и инет пропадает. Помогает только перезагрузка.

virusinfo_syscure.zip

virusinfo_syscheck.zip

virusinfo_syscure.zip

virusinfo_syscheck.zip

[edde]

Переделайте логи по правилам, обновите базы авз, лог RSIT прикрепить не забудьте

Сервер как рабочую станцию используете?

Изменено 5 апреля, 2011 пользователем edde

[Sfera]

Если у вас 32 разрядная версия windows, то скачайте Random's System Information Tool (RSIT) или с зеркала

• Если у вас 64 разрядная версия windows, то необходимо скачать эту версию Random's System Information Tool(RSIT)x64 или с зеркала

Запустите, выберите проверку файлов за последние три месяца и нажмите продолжить. Должны открыться два отчета log.txt и info.txt. Прикрепите их к следующему сообщению. Если вы их закрыли, то логи по умолчанию сохраняются в одноименной папке (RSIT) в корне системного диска.

Скачайте Malwarebytes' Anti-Malware или с зеркала, установите, обновите базы, выберите "Perform Full Scan", нажмите "Scan", после сканирования - Ok - Show Results (показать результаты) - Откройте лог и скопируйте в блокнот и прикрепите его к следующему посту.

Если базы MBAM в автоматическом режиме обновить не удалось, обновите их отдельно. http://data.mbamupda.../mbam-rules.exe Загрузить обновление MBAM

Изменено 5 апреля, 2011 пользователем edde

[DIMKA-vrn]

теперь у меня появился файл GHDRIVE32.exe :mad:

virusinfo_syscheck.zip

virusinfo_syscure.zip

info.txt

log.txt

mbam-log-2008-04-05 (00-25-35).txt

virusinfo_syscheck.zip

virusinfo_syscure.zip

info.txt

log.txt

mbam-log-2008-04-05 (00-25-35).txt

[edde]

Ничего удивительного, почему не удалили то что нашел мбам?

Учитывая серверную нагрузку , скачайте http://www.freedrweb.com/livecd/

запишите болванку и проведите проверку. подробнее... http://www.freedrweb.com/livecd/how_it_works/

[DIMKA-vrn]

все что нашел МБАМ удалил. Но вирус все равно есть.

[DIMKA-vrn]

так нашел на флешке в системной папке VCcleaner.exe. Поэтому вирус снова появился у меня. Теперь будем занового лечится.

[Tiare]

так нашел на флешке в системной папке VCcleaner.exe. Поэтому вирус снова появился у меня. Теперь будем занового лечится.

Внимание! Официальная поддержка (и выпуск обновлений) для Windows XP SP2 прекращена

Установите AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".

beginSearchRootkit(true, true);SetAVZGuardStatus(True);RegKeyIntParamWrite('HKLM','SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer','NoDriveTypeAutoRun', 221);RebootWindows(true);end.

Настоятельно рекомендую выполнить все вышеперечисленное, т.к. ваш зловред распространяется через уязвимости системы.

Делайте заново комплект логов по правилам.

Если флешку еще не форматировали, то логи AVZ выполните с подключенной зараженной флешкой

+

обязательно сделайте логи RSIT + MBAM

[DIMKA-vrn]

Переустановил систему, причем сделал полный формат диска С. Вирус все находится на компе. Откуда эта гадость вообще лезет ? из инета или после установки драйверов ?

Изменено 9 апреля, 2011 пользователем DIMKA-vrn

[Tiare]

Переустановил систему, причем сделал полный формат диска С. Вирус все находится на компе. Откуда эта гадость вообще лезет ? из инета или после установки драйверов ?

Через уязвимости в системе, заражение сменных носителей, в т.ч флешек.

Именно поэтому необходимо выполнить все то, что написано в предыдущем посте.

[Sfera]

@DIMKA-vrn,

опять SP2 поставили? :blink: значит, будете нашим постоянным пациентом, а мы будем, как Дон Кихот, сражаться с ветряными мельницами.

обновление ОС до SP3 + все обновления по ней - обязательны при заражении сетевыми червями

[DIMKA-vrn]

А если поставитть просто XP, бзе сервис паков?

А какие обновления нужно ставить для SP3 ?

Изменено 10 апреля, 2011 пользователем DIMKA-vrn

[edde]

Для сп3 нужно ставить сп3 http://xpsp.dlservice.microsoft.com/download/c/f/6/cf65d224-3ce2-4aaf-8e74-caa4987477c8/WindowsXP-KB936929-SP3-x86-RUS.exe

что с проблемами то?

[Matias]

какие обновления нужно ставить для SP3

Желательно установить все доступные обновления Windows. Есть два варианта - или включить автоматическое обновление в режим "Уведомлять, но не загружать и не устанавливать автоматически" или воспользоваться WSUS Offline Update.

[DIMKA-vrn]

Для сп3 нужно ставить сп3 http://xpsp.dlservice.microsoft.com/download/c/f/6/cf65d224-3ce2-4aaf-8e74-caa4987477c8/WindowsXP-KB936929-SP3-x86-RUS.exe

что с проблемами то?

Вылезает ghdrive32.exe. Постоянно перезапускается Опера, и доктор веб что то постоянно удаляет файлы типо X1.scr

[edde]

Проверку dr web live-cd делали для всех дисков?

С кряками аккуратнее.

Ситуация похожа на файловый вирус, выполните рекомендации.

Изменено 10 апреля, 2011 пользователем edde

[DIMKA-vrn]

Поставил себе XP SP3 с диска. Пока полет нормальный. Если будут проблемы отпишусь.

За помощь спасибо.