Компьютерный "триппер". Руководство по удалению вирусов

[borislev]

Короче, вляпался я малехо, (по порносайтам не гулял, говорю сразу )

Какая то гадость стала тормозить подьем Винды - у меня XP, выбрасывает окошко, что не могу найти и после этого набор палочек типа ||||||||

Второе проявление - не менее важное, при подьеме IE поднимается несколько pop-up, домашняя страница устанавливается на www.idgsearch.com, на десктопе и в фаворитах появляются иконки ссылки на какие-то левые сайты.
В автозагрузке появились iedll и еще какая-то херня.

Пользовался Norton antivirus, IEDoctor, Ad-aware 6.0, результатов практически никаких

Люди, поможить, кто может, только недавно винду поставил...

Отредактировано модератором. В связи с тем, что данная проблема всплывает очень часто, убедительно прошу, новых тем не открывать, пользоваться приведенными ниже советами. Дополнения и другие рекомендации постить только здесь или ЗДЕСЬ

[Repressor]

Порнуху смотрим, господа? Обычно всякие Anal Fucking'и прописываются именно с порно-сайтов - знаю по собственному опыту
А если троян, надо однозначно ставить брэндмауэр, уж там идет контроль над всеми сетевыми процессами и никакая дрянь за пределы компа не вылезет, а при попытке сама себя обнаружит.

Уже устал каждый день удалять шпиена. Ad-aware находит без проблем и удаляет. И так каждый день. Активировал ad-watch, ругается об изменении реестра, блокирую. И снова повторяется. Как бы найти, откуда эта зараза лезет и польностью удалить?

[Interceptor]

djon72
Такая бяка можетпоявляться при просмотре какого-нить сайта. Или это может быть результат работы "вши" в IE - просто твоя прога не всё нашла.

Посмотри ещё эту тему: http://www.imho.ws/showthread.php?t=49145

[alexcop]

djon72
Ты очень торопишься, отсюда и результат.
1. Запомни или запиши название файла (файлов) которые нашел Ad-aware.
2. Затем через меню ПУСК -> НАЙТИ прогони эти файлы по всему компу на предмет копий.
3. Удали все файлы с расширением .tmp
4. Почисть папку с временными интернет файлами.
5. Зайди в редактор реестра и прогони поиском файлы из п. 1.) Все что найдется - удаляй.

Interceptor
Кроме как на форум, никуда не ходил. Так что это отпадает. Да и потом я не пользуюсь IE, а оперой. Короче в растерянности.

alexcop
Может я что то недопонимаю. Находятся не конкретные файлы а записи в реестре. Попробую почистить темпы. Хотя неясно почему ad-aware не находит сам файл, который эту дрянь прописывает.

[StaideR]

2 djon72
Кэп на своём сайте асто эту прогу советует с сайта _http://www.anvir.com последняя версия, по-моему 3.7.392. Прога отличная! Сидит в трее и следит за изменение автозвгр. и, даже, перед изменением тебе говорит, что мол она хочет записаться и предлагает несколько действий и полную инфу од этот файле. Так что советую (весит окло 250 кб).

StaideR
Название у проги есть? А то сайт такой не открывается.

[alexcop]

StaideR
Та дрянь, которую подцепил djon72 не садится в автозагрузку а прописывается в реестре.
djon72
просмотри внимательно на записи реестра. Там могут быть указаны ссылки на файл или адрес какого-нибудь сайта

[StaideR]

Ой! сайт не так написал, конечно же _http://www.anvir.com , а прога называется anvir. Вот её прямая ссылка _http://[покоцано модератором]anvirstp.exe .
2 alexcop
А как же она тогда загружается, если не через реестровский автозапуск? Кстати эта прога не только автозапуск выслеживает, но и ВСЕ без исключения процессы в системе и может их без проблем удалить. А так же показывает всю инфу работающего процесса.

[Interceptor]

StaideR

А как же она тогда загружается, если не через реестровский автозапуск?

Например, прицепившись к дровам. Или стартует вместе с конкретным файлом, при обращении к этому самому файлу. Из сервисов.... да много разных вариантов. Реестровской автозагрузкой даже не все тори пользуются!

djon72
Придётся тебе мониторить реестр на предмет новых записей. Есть специальные проги, которые за этим следят. Некоторые, например, даже спрашивают добавлять такую-то новую запись в реестр или нет. К сожалению, названия не помню. Можно, например, заюзать RegMon, предварительно настроив на мониторинг новых записей. В противном случае создастся нехилый log-файл, в котором нужно ещё и найти иголку в стоге сена. Хотя, если заюзать поиск, то всё будет намного проще: просто ищещь название этого ключа в логе. Тебе будет высвечено какой файл и когда создал этот ключ

[alexcop]

anvir - действительно рульная прога. Стоит у меня месяца 3 и частенько спасала, но ставить ее надо на чистый (незагаженный) комп.

[StaideR]

2 alexcop
Ну так! Кэп плохого не посоветует! У меня она уже дофига стояла и много раз спасала, даже от sasser'a спасла раз!!! Так что всем, кто её не постави -- рекомендую, тем более, как говорил КЭП (KpNemo кто не понял ) для руссских она беплатна, совсем беплатна!
З.Ы. спасает от многих Ad-aware и вирусов.

Всем
Спасибо за помощь. Проблема решилась радикально. Грохнул папку с темпами и тьфу-тьфу уже несколько часов ничего нет. Видно дрянь сидела там.

[Arc]

Сейчас я как напишу-напишу - мало не покажиться. Несколько минут разделался вот с этой дрянью- Adware.Look2Me
Сейчас опишу.
Пользуюсь оперой как браузером.
Запустил некую прогу по ослиной ссылке (емул).
После этого началась вся хрень.

Стали открываться окошки браузера ИЕ открывается всякая пурга - реклама отстойных буржуйских прог. Открывается сам ИЕ и открывает свою хрень
Иногда с переполнением буффера вылетает winlogon и комп перезагружается(((
Вирь вирем. Я бы этих кодеров подвесил за их кодеки)))

Все процы просмотрел. Несколько раз Adaware прогнал. понаходила всякого. Однако же, хотя и базы новые эту хрень не нашла.
Итак, читайте внимательно.

С помощью autoruns от sysinternals обнаружил что загружается некая дллка как winlogon notification. Попытка удаления ключа реестра была безуспешна, поскольку прога тут же мониторит этот куст
Удалить файлы, которые являются скрятыми, только для чтения и используются системным процессом Winlogon не было успешным даже в сейф моде. И понятно. Она исполняется при входе пользователя в систему.
Если включен расширенный режим (Verbose) отображения загрузки компонентов системы, то эту дллку можно увидеть при логоне.
При том файлов - копий в корне систем32 несколько. Все датируются примерно одинаковой датой создания. Называются произвольно
3wvx.dll, aoaamon.dll...
Что я делаю? нет не загружаюсь из другой ОС и не отвинчиваю винт.
Вместо того, чтобы войти в систему я удаленно подключаю реестр моей системы и удаляю злополучную ветвь, которая кажется называется IEGuardian (Гардиан какой-то, не помню точно - неважно)
Все. Далее подсовываю файлы Symantec Antivirus CE 9.0, предварительно включив опцию обнаружения Spyware и....
Он идентифицирует файлы как... Adware.Look2Me
Вот такая зараза))))

Кстати подсунул файлики Adaware - он тоже их идентифицировал
Просто когда они загружаются, к ним отсутствует доступ на чтение.
)))

[argus3010]

прога для всех начинающих юзверев
Browser Hijack Blaster - не даёт добавлять всякую пакость и менять домашнюю страницу , маленькая и сердитая .
искать в гуглу , если кто не найдет стучите на аську 6939041 , скину .... или дам ссылку на свой нттр сервер ( он просто не всегда открыт) .

[mrsbc]

Один из вариантов борьбы с триппером.
Была следующая проблема:
Короче, какой-то красавец полазил по порносайтам, в результате на машине, 2к, появилось в програм файлз папка вебсайтвюєр с двумя екзешниками 124425 и 126653temp - время от времени запускается порносайт, на рабочем столе появляется странная иконка, выдает какие-то ошибки в запуске программы (программу не указывает). Почистил в реестре через regedit все ссылки на эти заразы, через некоторое время, без перезагрузки, все появляется обратно. В run-ах ничего нету. Появились странные процессы (winad.exe, winclt.exe, twink64.exe, lpt.exe, 124425.exe), и в 2к nt server не смог определить "хозяина". В систем32 куча заразы. Возникло также подозрение, что у меня выбивает симантек антивирус корпорейт едишн (возможно это и не так). Начал юзать поиск интернета по названиям процессов и столкнулся со следующим сайтом _ttp://housecall.trendmicro.com/ там есть он лайн проверка, которая выявила кучу троянов (мой симантек ничего не нашел). В общем помогло.

[Madchild]

Вот и у меня какая-то бяка завелась.
Norton Internet security 2005 после каждой перезагрузки и входа в сеть (стрим) стал орать, что что-то там обнаруженно и заблокированно. В логах NIS появляется запись:

Rule "Default Block Bla Trojan horse" blocked (NONE-75(12.13.14.15),1042).
Inbound UDP packet.
Local address,service is (localhost,1042).
Remote address,service is (NONE-75(12.13.14.15),1042).
Process name is "N/A".

Проверка Norton Antivirus ничего не дала. Все чисто.
Ad-aware 6 тоже ничего не сказал.
Вроде эта бяка появилась после liveUpdate в NIS. Но, может я ошибаюсь. Вот и думаю, бяка это или NIS глючит.
Может у кого было что-нить подобное?

зы. NONE-75 это так у меня комп называется в свойствах системы.

[HATTIFNATTOR]

Сообщение от Madchild

Может у кого было что-нить подобное?

- Каспер с расширенными базами опознаёт Стримовский файл автоконфигуратора adiras.exe как порнозвонилку.
Конкретно как "not-a-virus:PornWare.Dialer.Generic"
По-моему ругался и на autoclk.exe(Стримовский-же), не помню точно.

P.S. Нашёл после заблокированного входящего UDP с
комментом что-то вроде "удалённая программа ищет сервер"

[Partyzan]

А что это за стримовские автоконфигураторы такие? Насколько я знаю, там все руками настраивается. Это файлы официально от стрима?