Решена aadrive32.exe

Тема в разделе "Лечение компьютерных вирусов", создана пользователем Stas1969, 22 авг 2011.

Статус темы:
Закрыта.
  1. Stas1969
    Оффлайн

    Stas1969 Активный пользователь

    Сообщения:
    292
    Симпатии:
    50
    Добрый день. Помогите избавиться от aadrive32.exe
     

    Вложения:

    • info.txt
      Размер файла:
      8,9 КБ
      Просмотров:
      1
    • log.txt
      Размер файла:
      13,8 КБ
      Просмотров:
      4
    • virusinfo_syscheck.zip
      Размер файла:
      24,6 КБ
      Просмотров:
      6
    • virusinfo_syscure.zip
      Размер файла:
      30 КБ
      Просмотров:
      2
    Последнее редактирование: 22 авг 2011
  2. Farger
    Оффлайн

    Farger Активный пользователь

    Сообщения:
    205
    Симпатии:
    208
    Здравствуйте,

    Сейчас посмотрю логи...

    Добавлено через 42 минуты 56 секунд
    скачайте и установите все последние обновления для безопасности windows http://www.update.microsoft.com/windowsupdate/v6/thanks.aspx?ln=ru&&thankspage=5

    1. Скачайте ATF Cleaner на рабочий стол.
    Запустите ATF Cleaner, поставьте галочку напротив Select All и нажмите Empty Selected.
    - если вы используете Firefox, нажмите Firefox - Select All - Empty Selected;
    - нажмите No, если вы хотите оставить ваши сохраненные пароли;
    - если вы используете Opera, нажмите Opera - Select All - Empty Selected;
    - нажмите No, если вы хотите оставить ваши сохраненные пароли.

    2. Отключите:
    Антивирус/Файерволл

    AVZ, меню "Файл -> Выполнить скрипт" -> Скопировать ниже написанный
    скрипт -> Нажать кнопку "Запустить".

    Код (Text):

    begin
    ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
    ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
    SearchRootkit(true, true);
    SetAVZGuardStatus(True);
    TerminateProcessByName('c:\windows\aadrive32.exe');
    QuarantineFile('c:\windows\aadrive32.exe','');
    QuarantineFile('C:\WINDOWS\system32\76.exe','');
    QuarantineFile('C:\WINDOWS\system32\42.exe','');
    QuarantineFile('C:\WINDOWS\system32\31.exe','');
    QuarantineFile('c:\RECYCLER\R-1-5-21-1482476501-1644491937-682003330-1013\acleaner.exe','');
    QuarantineFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1830\zaberg.exe,explorer.exe,C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1413\syitm.exe,Explorer.exe','');
    QuarantineFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1830\zaberg.exe','');
    QuarantineFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1413\syitm.exe','');
    QuarantineFile('C:\Documents and Settings\user\Application Data\Obvovc.exe','');
    QuarantineFile('C:\Documents and Settings\user\Application Data\C.tmp','');
    QuarantineFile('C:\Documents and Settings\user\Application Data\B.tmp','');
    QuarantineFile('C:\Documents and Settings\user\Application Data\A.tmp','');
    QuarantineFile('C:\Documents and Settings\user\Application Data\9.tmp','');
    QuarantineFile('C:\Documents and Settings\user\Application Data\8.tmp','');
    QuarantineFile('C:\Documents and Settings\user\Application Data\1D.tmp','');
    QuarantineFile('C:\Documents and Settings\user\Application Data\7.tmp','');
    QuarantineFile('C:\Documents and Settings\user\Application Data\6.tmp','');
    QuarantineFile('C:\Documents and Settings\user\Application Data\5.tmp','');
    QuarantineFile('C:\Documents and Settings\user\Application Data\4.tmp','');
    QuarantineFile('C:\Documents and Settings\user\Application Data\3.tmp','');
    QuarantineFile('C:\Documents and Settings\user\Application Data\2.tmp','');
    DeleteFile('C:\Documents and Settings\user\Application Data\C.tmp');
    DeleteFile('C:\Documents and Settings\user\Application Data\B.tmp');
    DeleteFile('C:\Documents and Settings\user\Application Data\A.tmp');
    DeleteFile('C:\Documents and Settings\user\Application Data\9.tmp');
    DeleteFile('C:\Documents and Settings\user\Application Data\8.tmp');
    DeleteFile('C:\Documents and Settings\user\Application Data\1D.tmp');
    DeleteFile('C:\Documents and Settings\user\Application Data\7.tmp');
    DeleteFile('C:\Documents and Settings\user\Application Data\6.tmp');
    DeleteFile('C:\Documents and Settings\user\Application Data\5.tmp');
    DeleteFile('C:\Documents and Settings\user\Application Data\4.tmp');
    DeleteFile('C:\Documents and Settings\user\Application Data\3.tmp');
    DeleteFile('C:\Documents and Settings\user\Application Data\2.tmp');
    DeleteFile('c:\windows\aadrive32.exe');
    DeleteFile('C:\Documents and Settings\user\Application Data\Obvovc.exe');
    DeleteFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1413\syitm.exe');
    DeleteFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1830\zaberg.exe');
    DeleteFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1830\zaberg.exe,explorer.exe,C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1413\syitm.exe,Explorer.exe');
    DeleteFile('c:\RECYCLER\R-1-5-21-1482476501-1644491937-682003330-1013\acleaner.exe'); DeleteFile('C:\WINDOWS\system32\31.exe');
    DeleteFile('C:\WINDOWS\system32\42.exe');
    DeleteFile('C:\WINDOWS\system32\76.exe');
    RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Obvovc');
    RegKeyParamDel('HKLM', 'SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon', 'TaskMan');
    RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Tnaww');
    RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','zaber0');
    RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Microsoft Driver Setup');
    RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','Microsoft Driver Setup');
    BC_ImportAll;
    ExecuteSysClean;
    BC_Activate;
    RebootWindows(true);
    end.
     
    После выполнения скрипта компьютер перезагрузится!

    После перезагрузки выполните такой скрипт:

    AVZ, меню "Файл -> Выполнить скрипт" -> Скопировать ниже написанный
    скрипт -> Нажать кнопку "Запустить".

    Код (Text):

    begin  
    CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');  
    end.
    Полученный архив отправьте с помощью этой формы или на этот почтовый ящик: quarantine <at> safezone.cc (замените <at> на @) с указанием ссылки на тему в теме (заголовке) сообщения. с указанием пароля: virus в теле письма.

    3. Скачайте Malwarebytes' Anti-Malware или с зеркала, установите, обновите базы, выберите "Perform Full Scan", нажмите "Scan", после сканирования - Ok - Show Results (показать результаты) - Откройте лог и скопируйте в блокнот и прикрепите его к следующему посту.
    Если базы MBAM в автоматическом режиме обновить не удалось, обновите их отдельно.

    4. Загрузите SecurityCheck by screen317 отсюда или отсюда
    Сохраните на Рабочий стол.
    Запустите от имени администратора
    Когда увидите консоль, нажмите любую клавишу для продолжения сканирования
    Если увидите предупреждение от фаервола относительно программы SecurityCheck, не блокируйте ее работу
    Дождитесь окончания сканирования и вы увидите лог в блокноте с именем checkup.txt;
    Прикрепите его тоже в ваше следующее сообщение.

    5. Сделайте повторные логи AVZ и RSIT, а также HJT лог.
     
    1 человеку нравится это.
  3. Stas1969
    Оффлайн

    Stas1969 Активный пользователь

    Сообщения:
    292
    Симпатии:
    50
    Логи прикрепил
     

    Вложения:

  4. Severnyj
    Оффлайн

    Severnyj Команда форума Супер-Модератор Ассоциация VN/VIP

    Сообщения:
    7.841
    Симпатии:
    8.598
    Систему обновили?

    Закройте все программы, выгрузите антивирус, файрволл и прочее защитное ПО.

    Выполните скрипт в АВЗ (Файл - Выполнить скрипт):

    Код (Text):
    begin
    ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
    ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
    SearchRootkit(true, true);
    SetAVZGuardStatus(True);
     QuarantineFile('C:\WINDOWS\system32\68.exe','');
     QuarantineFile('C:\Documents and Settings\user\Application Data\E.tmp','');
     QuarantineFile('C:\Documents and Settings\user\Application Data\6.tmp','');
     QuarantineFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1413\syitm.exe','');
     DeleteFile('C:\WINDOWS\system32\68.exe');
     DeleteFile('C:\Documents and Settings\user\Application Data\E.tmp');
     DeleteFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1413\syitm.exe');
     DeleteFile('C:\Documents and Settings\user\Application Data\6.tmp');
     RegKeyDel('HKEY_LOCAL_MACHINE','software\microsoft\shared tools\msconfig\startupreg\Tnaww');
     RegKeyParamDel('HKEY_LOCAL_MACHINE','system\currentcontrolset\services\sharedaccess\parameters\firewallpolicy\standardprofile\authorizedapplications\list','C:\Documents and Settings\user\Application Data\6.tmp');
    BC_ImportAll;
    ExecuteSysClean;
    BC_Activate;
    RebootWindows(true);
    end.
    Компьютер перезагрузится, После перезагрузки:
    - выполните такой скрипт

    Код (Text):
    begin
    CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
    end.
    Полученный архив отправьте с помощью этой формы или на этот почтовый ящик: quarantine <at> safezone.cc (замените <at> на @) с указанием ссылки на тему в теме (заголовке) сообщения. с указанием пароля: virus в теле письма.

    Повторите логи AVZ и RSIT
     
  5. Stas1969
    Оффлайн

    Stas1969 Активный пользователь

    Сообщения:
    292
    Симпатии:
    50
    Логи прикрепил
     

    Вложения:

    • info.txt
      Размер файла:
      9 КБ
      Просмотров:
      0
    • log.txt
      Размер файла:
      18 КБ
      Просмотров:
      1
    • virusinfo_syscheck.zip
      Размер файла:
      22,1 КБ
      Просмотров:
      0
    • virusinfo_syscure.zip
      Размер файла:
      21,6 КБ
      Просмотров:
      0
  6. Severnyj
    Оффлайн

    Severnyj Команда форума Супер-Модератор Ассоциация VN/VIP

    Сообщения:
    7.841
    Симпатии:
    8.598
    Почему до сих пор?

    Platform: Windows XP SP2 (WinNT 5.01.2600)
    MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

    Гляжу выздоравливать не собираетесь!..
     
    1 человеку нравится это.
  7. Stas1969
    Оффлайн

    Stas1969 Активный пользователь

    Сообщения:
    292
    Симпатии:
    50
    Поставил sp-3 ie-8
     

    Вложения:

    • info.txt
      Размер файла:
      8,7 КБ
      Просмотров:
      1
    • log.txt
      Размер файла:
      33,1 КБ
      Просмотров:
      1
    • virusinfo_syscheck.zip
      Размер файла:
      22,2 КБ
      Просмотров:
      0
    • virusinfo_syscure.zip
      Размер файла:
      21,8 КБ
      Просмотров:
      2
  8. Severnyj
    Оффлайн

    Severnyj Команда форума Супер-Модератор Ассоциация VN/VIP

    Сообщения:
    7.841
    Симпатии:
    8.598
    Как самочувствие системы?

    Внимание! Смените все пароли ICQ, Контакт, Почта итд

    Необходимо очистить ранее созданную точку восстановления и создать новую:
    1. Нажмите Пуск- Программы – Стандартные – Служебные – Восстановление системы, выберите Создать точку восстановления, нажмите Далее, введите имя точки восстановления и нажмите Создать.
    2. Нажмите Пуск - Программы – Стандартные – Служебные – Очистка диска, выберите системный диск, на вкладке Дополнительно-Восстановление системы нажмите Очистить


    Для предотвращения заражения рекомендуется:
    - не работать за компьютером с правами администратора
    - не использовать Internet Explorer или отключить в нем ActiveX и настроить безопасность (рекомендуется использовать Firefox c плагином NoScript)
    - регулярно устанавливать обновления windows и антивирусного продукта (обновлять антивирусные базы и модули)

    Обновите до последних версий:
     
    1 человеку нравится это.
  9. Stas1969
    Оффлайн

    Stas1969 Активный пользователь

    Сообщения:
    292
    Симпатии:
    50
    Самочувствие нормальное. спасибо
     
  10. Stas1969
    Оффлайн

    Stas1969 Активный пользователь

    Сообщения:
    292
    Симпатии:
    50
    Здравствуйте. Можно узнать источник возникновения вируса. Потому что этот aadrive32 появился снова. Вопрос пока риторический логи в понедельник. За ранее спасибо.
     
    1 человеку нравится это.
  11. Severnyj
    Оффлайн

    Severnyj Команда форума Супер-Модератор Ассоциация VN/VIP

    Сообщения:
    7.841
    Симпатии:
    8.598
    Это сетевой червь проникающий через незакрытые уязвимости, необходимо ставить все критические обновления Windows
     
Статус темы:
Закрыта.

Поделиться этой страницей