Компьютерный "триппер". Руководство по удалению вирусов

[borislev]

Короче, вляпался я малехо, (по порносайтам не гулял, говорю сразу )

Какая то гадость стала тормозить подьем Винды - у меня XP, выбрасывает окошко, что не могу найти и после этого набор палочек типа ||||||||

Второе проявление - не менее важное, при подьеме IE поднимается несколько pop-up, домашняя страница устанавливается на www.idgsearch.com, на десктопе и в фаворитах появляются иконки ссылки на какие-то левые сайты.
В автозагрузке появились iedll и еще какая-то херня.

Пользовался Norton antivirus, IEDoctor, Ad-aware 6.0, результатов практически никаких

Люди, поможить, кто может, только недавно винду поставил...

Отредактировано модератором. В связи с тем, что данная проблема всплывает очень часто, убедительно прошу, новых тем не открывать, пользоваться приведенными ниже советами. Дополнения и другие рекомендации постить только здесь или ЗДЕСЬ

[Cartman]

Degger, скорее всего это какая-то плугина под IE. Поставь MyIE, в нем будет возможность его отключить и отследить, кто это делает.
Скорее всего...

[alexcop]

Degger
Не поленись заглянуть в C:\Program Files\...
Некоторые search там открыто прописываются. Если найдешь, сноси нафик, ну и поиском в реестре, разумеется, этот search прогони.

[HATTIFNATTOR]

Degger
Проверь BHO/тулбары (в ИЕ -Сервис-управление надстройками)
Проверь файл hosts (без расширения, по умолчанию содержит только 127.0.0.1 localhost)
Посмотри \Program Files\Internet Explorer\Plugins- не завалялось ли чего лишнего.
Проверь, не появились ли левые адреса в Trusted zone
Проверь Windows\Downloaded program files
Посмотри HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings- не включён ли там какой ProxyServer
Проверь HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\URL\Prefi xes-нет ли под видом префиксов "левых" сайтов
Просмотри ветку HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters\ Interfaces -не прописаны ли левые DNS-(NameServer=)
Проверь HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Main
- Start Page , Local Page, Default_Page _URL, Default_ Searsh_URL, Search Page.
Подозрительные файлы- на онлайн сканирование.

Для того, чтобы меньше цеплять компьютерного
"трипера" предлагаю радикальное средство - НЕ ВХОДИТЬ в инет под учётной записью с правами АДМИНИСТРАТОРА, если вы собираетесь сёрфить в непонятных местах. Создайте себе запись с ОГРАНИЧЕННЫМИ правами для этих целей. В этом случае система САМА не даст прописаться триперу и изменить настройки. Но загрузится он сможет, поэтому обязателен Outpost (блокируйте моментально запросы на непонятные соединения) и после каждого сёрфа проверка Ad-aware + антивирус (у меня например NAV 2004). И только после этого перегружаться в другую учётную записть с правами администратора

[Tr@NceR]

alt
Это понятно, но данный метод хорош только тогда, когда сам лазишь "в непонятных местах" (что бывает КРАЙНЕ редко или никогда), а что делать если ты, например, пошел на обед, а в твое отсутствие кто-то посещает "непонятные места" - сомневаюсь, что они будут проделывать описанные выше действия.

[Degger]

Наткнулся случайно на форум где уже подобная тема обсуждалась

оттуда узнал про одну полезную софтинку:
HijackThis examines certain key areas of the Registry and Hard Drive and lists their contents and provides the ability to remove any unwanted stuff.. These areas are used by both legitimate applications and hijackers.

с помощью её и вывел нечисть

[tim9900]

Недавно, небольшая сеть, из двадцати компьютеров, схватила очередную разновидность червяка (W32.Explet.A@mm(symantec), I-Worm.Plexus.a [Kaspersky], WORM_PLEXUS.A [Trend], Win32.Mimail.W [Computer Associates], W32/Plexus@MM [McAfee]). Способ лечения известен - обновить антивирусные базы, загрузиться в safemode, полное сканирование дисков, правка реестра, правка файла hosts. Но! это же не один компьютер, это двадцать! За один день можно и не управиться, а именно столько времени будет у меня, и не больше. Может знающие люди подскажут, есть ли способ автомотизировать эту нудную операцию, что б не нужно было у каждого компа штаны отирать. Буду рад любой информации на данную тему. Заранее спасибо.

P.S.Первое упоминание о нем на нортоновском сайте от 2.06.04.

Hi люди, встал вот сегодня с утра и к компу. А там Нортоновский антивирь - красное окно virus alert. High risk. Нашел Trojan.Webus.D.
При попытке убить выдал сообщение что допуск к файлу запрещен.
Почитал инфу про трояна этого - не густо, а главное нигде нет указявки как его убить Отсюда два вопроса:
1. Как удалить эту мразь с машины?
2. Как я мог зацепить этого трояна? Сижу вроде за стенкой, нежелательную почту удаляю не читая, вообще стараюсь никуда не лазить, мля, и тут такое
Спасибо

[Merlin Cori]

Читай здесь...
_http://www.bullguard.com/forum/10/Need-Help-removing---trojanddo_6887.html

[Demonius]

Посмотри
_http://virusinfo.info/index.php?board=26;action=display;threadid=20

[repeek]

Уже как две недели сидят у меня 3 трояна которые я никак не могу убрать, не одна из моих антивирусных программ их не находит, у меня в данный момент установлены с новыми базами такие проги как: Nod32, TrojanRemover, Spy_Sweeper, но не одна из ни их эти вирусы не видит!

Их находит только Trend Micro Haus Call 2004 это Антивирус сканер котоая работает в режиме онлайн на странице:http://de.trendmicro-europe.com

Вот эти суки:

CHN_CODEBASE.A
TROJA_DELF.HC
TROJA_DLOADER.BC

Эксперты по вирусам помогите sos!

Repeek

[Link]

Качай этот антивирь - ставь и удаляй
И посмотри в сети маленькие програмки есть по удалению конкретных вируов мож и на эти найдется
.

repeek:
проги как: Nod32, TrojanRemover, Spy_Sweeper, но не одна из ни их эти вирусы не видит!

дык антивирь то один по сути - NOD так что пробуй другие например Dr.Web или KAV

[Rollers]

repeek
тем подобных на форуме полно, зачем ещё одну создавать, а что по вопросу так воспользуйся последней сборкой "Stinger" от Маккафи

[hempsmoke]

может немного не в тему, хотел спросить, что за :

ДъєГЈє
ОТКЗЙоЫЪКРІэВЎКµТµУРПЮ№«ЛѕµДЎЈОТЛѕКµБ¦РЫєсЈ¬УРЧЕБјєГµДЙз
»б№ШПµЎЈТтЅшПоЅП¶аПЦНкіЙІ»БЛГїФВПъКЫ¶о¶ИЈ¬ГїФВУРТ»Ії·ЦФцЦµЛ°
µзДФ·ўЖ±ЈЁ5%ЧуУТЈ©єНЖХНЁЙМЖ·ПъКЫЛ°·ўЖ±№ъЛ°ЎўµШЛ°ЈЁФЛКдЎў№гёж
·юОсТµЎўЅЁЦю°ІЧ°µИ1.5%ЧуУТЈ©УЕ»ЭґъїЄ»тєПЧчЈ¬µгКэЅПµНЈ¬»№їЙТФ
ёщѕЭЛщЧцКэБї¶о¶ИµДґуРЎАґЙММЦУЕ»ЭµДµгКэЎЈ№«ЛѕіЙБў¶аДкТ»Ц±ТФіП
РЕОЄёщ±ѕБўУЪЙМіЎЦРЎЈ±ѕ№«ЛѕЦЈЦШіРЕµЛщУГѕш¶ФКЗХжЖ±ЈЎЖЪґэУлДгµД
єПЧчЈЎ
ЎЎЎЎИз№ы№уЛѕФЪ·ўЖ±µДХжО±·ЅГжУРИОТЙОК»тµЈРДЈ¬їЙЙПНшІйЦ¤»тОТЛѕ
Ц±ЅУУл№уЛѕИҐЛ°ОсѕЦµЦїЫєЛ¶ФЎЈ
±ЛґЛєПЧчТ»ґОЈ¬±ШіЙУАѕГЕуУСЈЎ
ґЛРЕПўі¤ЖЪУРР§Ј¬ИзРлЅшТ»ІЅЗўЙМ:
ПкЗйЗлµзЈЁ24РЎК±ТµОсИИПЯЈ©Јє13824320805
УК ПдЈєasaqwq@163.com
БЄПµИЛЈєіВОДєй

ЎЎЛіЧЈЙМмчЈЎ

ЎЎЎЎЎЎЎЎЎЎЎЎЎЎЎЎЎЎЎЎЎЎЎЎЎЎЎЎЎЎЎЎЎЎЎЎЎЎЎЎЎЎ ІэВЎКµТµУРПЮ№«Лѕ

на почту приходит раз в два - три дня в 2-3 копиях сразу.

[Cartman]

hempsmoke:
163.com

По моему китайцы какие-то...
Засветился скорее всего, и "трипер" тут не при чем.

[HATTIFNATTOR]

2niktih -решение "http://www.hotoffers.info"

1) Запускаем Ad-Aware и ничего не сканируем.
2) вызываем task manager (Control-Shift-ESC)
3) прибиваем процесс explorer.exe
4) прибиваем процесс systr.dll (именно это и есть загрузчик
трояна, но он не резидентный и его может и не быть в списке
процессов)
5) переключаемся в Ad-Aware , включаем сканирование и
благополучно прибиваем трояна
6) запускаем снова explorer.exe (с помощью того же task
manager'a) -"файл"-"новая задача(выполнить)"- explorer
7) удаляем %SystemRoot%\system32\systr.dll
8) правим в настройках браузера стартовую страницу на
свою.

Источник -http://forum.drweb.ru/view/97928

[HATTIFNATTOR]

2 vavan
Возможно ты пропустил winerdir.exe
Mitglied также умеет бороться с AVP (отключать обновление). Кроме того если включено восстановление
системы копии могут быть и там. Попробуй отключить восстановление системы, загрузиться в безопасном
режиме и просканировать диски.

Подробнее о Mitglieder посмотри здесь - http://securityresponse.symantec.com/avcenter/venc/data/trojan.mitglieder.o.html

[Tr@NceR]

Попросили меня посмотреть один ноутбук, сказали: "что-то там не так". Посмотрел... Рабочий стол красного фона а посередине черный квадрат с надписью что-то типа на вашем компе обнаружено Spyware кликните "сюда" или "туда"... Проверил список процессов, и как ожидал увидел много "левых". NAV ругается что не может включить автопротект т.к. его настройки были изменены извне. Прегрузился в безопасный режим, вычистил в реестре все лишнее из автозагрузки НАВом проверил на вирусы ничего не нашел. Удалил все файлы, что упоминались в автозагрузке. Перезагрузил комп, в реестре ничего лишнего не появилось, а вот рабочий стол остался прежним -> нашел на компе файл desktop.htm, убил его, прежний (нормальный) рабочий стол не появился. Посмотрел папку "Рабочий стол" в Documents and Settings - все наместе. На диске "С" нашел папку Desktop откуда и "берется" внешний вид (ярлыки) рабочего стола. Папку не удалить. Причем свойства рабочего стола не посмотреть (используя правую кнопку мыши). Подозреваю, что все-таки какая-то зараз осталась... Как от нее избавится?

PS OS - WinXP HE

[alexcop]

TraNceR-SPb
Была похожая фигня на компе одного товарища.
Вылечилось очень просто: банальным откатом системы на день, предшествующий появлению заразы.
Если не поможет (такое тоже может случиться) - удаляй все что считаешь нужным из под DOS'a. Также реестр незабудь почистить.

[Tr@NceR]

alexcop
Хоть это и банально но я никогда его никогда не делал... и насколько я знаю заморочки начались 4-го числа - возможно ли будет сделать откат более чем на день. И кстати как его сделать. А насчет лишнего я даже не знаю... прикладываю скрин процессов. Меня очень смущает такое количество svhost.exe или так и должно быть?