52 ответов в этой теме

[Romanoff]

После перезагрузки та строчка опять появилась.
Детальный лог с текущей сессией прилагается, но информации там не много.

Прикрепленные файлы:

•  spidernt_last.rar   1,35К   33 Скачано раз

[Borka]

После перезагрузки та строчка опять появилась.
Детальный лог с текущей сессией прилагается, но информации там не много.

И TDSS впридачу...
Запустите Гмера, на вкладке "Files" выставьте птицу "Only hidden", в левом окне выберите C:\WINDOWS\system32, а в правом должны быть файлы sdra64.exe и geyekrbgpjibxr.dll. Нажмите "Copy" и скопируйте их для засылки в Вирлаб. Если получится скопировать, выберите "Delete" для них.

[Romanoff]

>TDSS
что это такое?

В GMER'е дерево каталогов не раскрывается (см. скриншот).

Прикрепленные файлы:

•  gmer_screen.rar   20,02К   35 Скачано раз

[Borka]

В GMER'е дерево каталогов не раскрывается (см. скриншот).

А если снять "Only hidden"?

[Romanoff]

> sdra64.exe и geyekrbgpjibxr.dll
Поискал TotalCommander'ом - файлы не найдены

В GMER'е дерево каталогов не раскрывается (см. скриншот).

А если снять "Only hidden"?

то же самое

[Borka]

> sdra64.exe и geyekrbgpjibxr.dll
Поискал TotalCommander'ом - файлы не найдены

И не будут найдены...

[Borka]

В GMER'е дерево каталогов не раскрывается (см. скриншот).

А если снять "Only hidden"?

то же самое

И двойной клик по диску не работает?

[Romanoff]

В GMER'е дерево каталогов не раскрывается (см. скриншот).

А если снять "Only hidden"?

то же самое

И двойной клик по диску не работает?

неа, не работает

[Borka]

В GMER'е дерево каталогов не раскрывается (см. скриншот).

А если снять "Only hidden"?

то же самое

И двойной клик по диску не работает?

неа, не работает

Идей нет. Попробуйте запустить РкУ и сканер.

[Romanoff]

>загрузиться в внешнего носителя - LiveCD, BartPE, WinPE
Какой способ порекомендуете? Где эти диски лучше качать?
И что можно будет сделать если получится загрузиться?

[Borka]

>загрузиться в внешнего носителя - LiveCD, BartPE, WinPE
Какой способ порекомендуете? Где эти диски лучше качать?
И что можно будет сделать если получится загрузиться?

Попробуйте вот это: http://www.freedrweb.com/livecd/

[Romanoff]

Запустил РкУ см. отчет.

Прикрепленные файлы:

•  RKU.rar   5,58К   89 Скачано раз

[Borka]

Запустил РкУ см. отчет.

Гут! Еще один кандидат:
C:\DOCUME~1\Romanoff\LOCALS~1\Temp\asliahmy.sys

В РкУ можете работать в файловом менеджере? Если да, то нужно в меню "Tools" выбрать "Wipe/Copy File" и скопировать эти три файла:
C:\DOCUME~1\Romanoff\LOCALS~1\Temp\asliahmy.sys
C:\WINDOWS\system32\sdra64.exe
C:\WINDOWS\system32\geyekrbgpjibxr.dll

Еще один:
C:\WINDOWS\system32\DRIVERS\rimmptsk.sys

Сообщение было изменено Borka: 18 Июль 2009 - 00:52
добавлено

[Romanoff]

Запустил РкУ см. отчет.

Гут! Еще один кандидат:
C:\DOCUME~1\Romanoff\LOCALS~1\Temp\asliahmy.sys

В РкУ можете работать в файловом менеджере? Если да, то нужно в меню "Tools" выбрать "Wipe/Copy File" и скопировать эти три файла:
C:\DOCUME~1\Romanoff\LOCALS~1\Temp\asliahmy.sys
C:\WINDOWS\system32\sdra64.exe
C:\WINDOWS\system32\geyekrbgpjibxr.dll

Еще один:
C:\WINDOWS\system32\DRIVERS\rimmptsk.sys

Из всех перечисленных удалось найти только один:
C:\WINDOWS\system32\DRIVERS\rimmptsk.sys
Но РкУ выдает сообщение "Unable to copy file".

[Romanoff]

Записал LiveCD и попытался загрузиться - вроде работает.
Поставлю на ночь, пусть проверяет на вирусы.
Спасибо за помощь.
У вас уже поздно, завтра отпишусь по результатам проверки.

[Borka]

Записал LiveCD и попытался загрузиться - вроде работает.
Поставлю на ночь, пусть проверяет на вирусы.

Вы не посмотрели эти файлы с помощью ЛивЦД?

[Romanoff]

LiveCD никаких вирусов не нашел.

В Midnight Commander'е переместил подозрительные файлы в другую папку (C:\viruses):
C:\WINDOWS\system32\DRIVERS\rimmptsk.sys
C:\WINDOWS\system32\sdra64.exe
C:\WINDOWS\system32\geyekrbgpjibxr.dll
и
C:\WINDOWS\system32\geyekraevcrxnj.dat
C:\WINDOWS\system32\geyekrbgpjibxr.dll
C:\WINDOWS\system32\geyekrptxmarap.dat

Загрузил Winwows. Файлов geyekr* ни Проводник, ни far не показывают.
Позапускал HiJackThis, GMER, RkU. Подозрительное сообщение выдал только RkU ("паразит внутри"). А при генерации отчета - вылетел.

Загрузился в LiveCD опять. Файлы geyekr* опять появились и показываются в C:\WINDOWS\system32 и C:\viruses.

[sleb]

В Midnight Commander'е переместил подозрительные файлы в другую папку (C:\viruses):
C:\WINDOWS\system32\DRIVERS\rimmptsk.sys
C:\WINDOWS\system32\sdra64.exe
C:\WINDOWS\system32\geyekrbgpjibxr.dll
и
C:\WINDOWS\system32\geyekraevcrxnj.dat
C:\WINDOWS\system32\geyekrbgpjibxr.dll
C:\WINDOWS\system32\geyekrptxmarap.dat

В вирлаб эти файлы отправили?

[mrbelyash]

LiveCD никаких вирусов не нашел.

В Midnight Commander'е переместил подозрительные файлы в другую папку (C:\viruses):
C:\WINDOWS\system32\DRIVERS\rimmptsk.sys
C:\WINDOWS\system32\sdra64.exe
C:\WINDOWS\system32\geyekrbgpjibxr.dll
и
C:\WINDOWS\system32\geyekraevcrxnj.dat
C:\WINDOWS\system32\geyekrbgpjibxr.dll
C:\WINDOWS\system32\geyekrptxmarap.dat

Загрузил Winwows. Файлов geyekr* ни Проводник, ни far не показывают.
Позапускал HiJackThis, GMER, RkU. Подозрительное сообщение выдал только RkU ("паразит внутри"). А при генерации отчета - вылетел.

Загрузился в LiveCD опять. Файлы geyekr* опять появились и показываются в C:\WINDOWS\system32 и C:\viruses.

Экспортируйте реестр.сожмите и приложите сюда..Если это не файловый вирус то можно выявить откуда вредонос стартует.


http://wiki.drweb.com/index.php/Userinit2

http://wiki.drweb.com/index.php/Userinit

[Romanoff]

В Midnight Commander'е переместил подозрительные файлы в другую папку (C:\viruses):
C:\WINDOWS\system32\DRIVERS\rimmptsk.sys
C:\WINDOWS\system32\sdra64.exe
C:\WINDOWS\system32\geyekrbgpjibxr.dll
и
C:\WINDOWS\system32\geyekraevcrxnj.dat
C:\WINDOWS\system32\geyekrbgpjibxr.dll
C:\WINDOWS\system32\geyekrptxmarap.dat

В вирлаб эти файлы отправили?

Только что отправил:
C:\WINDOWS\system32\DRIVERS\rimmptsk.sys
C:\WINDOWS\system32\sdra64.exe

С остальными проблема.
В LiveCD у меня сети нету, а windows geyekr* не видит.
А Можно как-то в LiveCD архив сделать?

Кстати, РкУ показывает файл:
C:\DOCUME~1\Romanoff\LOCALS~1\Temp\asliahmy.sys
но его ни windows, ни LiveCD не показывают.

Прилагаю скриншот, при генерации отчета РкУ вылетает.

Прикрепленные файлы:

•  rku_screen.rar   282,7К   36 Скачано раз