Зайцы убили Касперского. Need help :(

Fossa · 27-10-2008, 16:15

История коротенькая.
зашла сегодня на зайцев.нет, касперский завопил об атаке, я попросила запретить доступ, он запретил. И с этого момента начался кирдык.

Комп сам перезагрузился.
Касперского в трее уже нету, но горит красная блямба с желтой буквой Х, которая сообщает, что у меня жутко инфицирован комп и надо че то делать. И тут же без спросу качает antiSpywareXP 2009.
Я повелась, дождалась полной загрузки этого антиспая, он нашел у меня 29 вирусов и потребовал платной регистрации.

Касперский сидит как глухой в своей папки и делает вид, что его тут и не было.

Сволочной антиспай не дает пользоваться браузерами( и Оперу, и ИЕ), через каждые два переключения он открывает вместо запрошенной страницы свою страницу с угрозами и требованием заплатить. Письмо послать навозможно - на одной странице открываешь "Написать письмо", на другой прикрепляешь аттачмент, а на третьей вместо отсылки вылазит антиспай этот гpeбaный. И все сначала...

Я зашла в безопасном режиме в ключи загрузки (атос научил, гуру компьютерный

), обнаружила там загадочный файл brastsk.exe, убила нафик, поубивала на всякий случай все файлы, указанные антиспаем, в документах и локал сеттингах, потом убила сам антиспай.

В результате - файлов, указанных антиспаем нет.
Касперского по-прежнему нет.
Красная блямба в трее каждые десять минут пытается скачать антиспай.

В поиске антиспай выдал такую переписку, достаточно тревожную
http://virusinfo.info/showthread.php?t=32374

Может, если кто знает, подскажет, че мне делать?

ВО!вик · 27-10-2008, 16:19

Цитата:

Касперский

Пехотный батальон. Становится лагерем вокруг компьютера, роет окопы и противотанковые рвы, минирует все к чертовой матери, обматывает колючей проволокой в сорок рядов, распределяет сектора обстрела орудий и пулеметов. Получившуюся оборону можно прорвать лишь при пятикратном (как минимум) численном превосходстве и только после многочасовых бомбардировок. Преимущества: Враг сможет пройти лишь одним способом - превратив компьютер в выжженую пустыню.
Недостатки: Солдат надо кормить, а минные поля и окопы затрудняют перемещение гражданских, так что от ресурсов системы не остается почти ничего.

как то Forester писал

Visual · 27-10-2008, 16:23

Да, Зайцы сегодня постоянно заставляли верещать каспера. Но внимания особого не обращал, ибо Каспер прекрасно с ними справлялся. Каспер лицензионный, обновленный.

По сути решения проблемы не знаю что сказать. Я в таких случаях просто переставляю систему начисто. Это обычно получается быстрее (часа полтора), чем выковыривать заразу и искать инфу по форуму.

Jag Mort · 27-10-2008, 16:27

Цитата:

Сообщение от Visual

просто переставляю систему начисто

жесть...

Visual · 27-10-2008, 16:28

Илюх, а какие сложности-то?
Ведь в большенстве случаев это быстрее получится. Да и для профилактики полезно

aaz · 27-10-2008, 16:34

Кому как, но мне для приведения системы с нуля в потребный вид надо 2-3 дня плотной работы с нею. Ну и потом недели две эпизодического тюнинга для создания удобства и уюта. (Обжить, короче.

)

Visual · 27-10-2008, 16:36

Не понимаю я, что там 2-3 дня делать, если честно. Я за два часа уже опять готов к труду и обороне

Jag Mort · 27-10-2008, 16:43

два часа?! жесть...

aaz · 27-10-2008, 16:47

Илюх, видимо, у меня тоже финны в предках были. Нам обоим его не понять.

~GZ · 27-10-2008, 16:49

А по-моему, вы все - онанисты.

Snail · 27-10-2008, 17:22

Фотографии Джека Николсона, переустанавливающего виндовз, не хватает.

~GZ · 27-10-2008, 16:30

Чо это за зайцы такие? Дайте ссылку что ль...

Visual · 27-10-2008, 16:31

Дал в ЛС

...ссылку

~GZ · 27-10-2008, 16:41

Cходил по ссылку, скачал какую-то песенку. Никакой Касперский не верещал.

Аппарат · 27-10-2008, 18:48

Это потому что у тебя Касперского нет?

Forester · 27-10-2008, 20:01

И мне сЦылку, а то у меня нод 32, он зараза видать как Мазай, спас а потом зажарил этих зайцев сцк.

Andrezzz · 27-10-2008, 16:31

Цитата:

Сообщение от Fossa

зайцев.нет

буквы

aaz · 27-10-2008, 18:48

Зайцев там нет, это мы уже выяснили. А что там есть?

Andrezzz · 27-10-2008, 22:47

вирусы.

Fossa · 27-10-2008, 17:19

Цитата:

Сообщение от Visual

Каспер лицензионный, обновленный.

Вся обида в том, что у меня тоже. И новый ключ покупали в сентябре, и обновляется автоматически каждый день. Но вот не выжил, бедолага...

Цитата:

Сообщение от Visual

просто переставляю систему начисто.

Напоминает анекдот про детей - этих мыть не будем, лучше новых сделаем

)))
Я видимо еще больше финн, чем ааз с Яг Мортом, мне недели две надо на восстановление работающей системы. Всякие видео и аудио программы, плагины к ним отдельно ставить надо, графические программы со своими плагинами. В общем, убивать систему я могу только в глубокой депрессии. Мне бы проблему решить как нибудь так... без мазохизма...

В панели управления у меня тоже (как и у автора жалобы, на которую я дала ссылку в первом посте) появился Виндоуз Секьюрити Центер. А я так понимаю, его там быть не должно?

Voyager · 27-10-2008, 17:29

Цитата:

Сообщение от Fossa

В панели управления у меня тоже (как и у автора жалобы, на которую я дала ссылку в первом посте) появился Виндоуз Секьюрити Центер. А я так понимаю, его там быть не должно?

он там появляется вместе с SP2

Nikopol · 27-10-2008, 19:04

Acronis True Image - полезная прога. Когда ХР стоял, раз в неделю ресторился.

Seoul · 27-10-2008, 17:42

А тебе атос систему не переставлял ли тогда в конце сентября?

Fossa · 27-10-2008, 18:14

Нет, он только порты настроил. Система у меня с марта не менялась.

2Voyager
А что такое SP2 ? И какой в целом вывод из того, что они вместе появляются? То есть это безвредно? Или наоборот?

Voyager · 27-10-2008, 18:16

SP2 = Sevice Pack 2 - второй кумулятивный набор патчей от Микрософт
он тебе не помешает

Benzin95 · 28-10-2008, 02:16

Лучше уж сразу SP3 ставить...

Visual · 28-10-2008, 09:19

Цитата:

Сообщение от Benzin95

Лучше уж сразу SP3 ставить...

В ЖОПУ!

Jag Mort · 28-10-2008, 11:07

э-э-э, не путаешь?
в жопу вроде клизму, нет?
хотя я не в курсе

DmitryK · 27-10-2008, 18:42

Красиво...

А касперский вообще запущен? в процессах есть (ctrl - shift - esc -> процессы)? он вроде avp.exe обычно зовется

Он наверное прописан как сервис. Посмотри в пуск -> панель управление -> администрирование -> сервисы
В списке найди Касперского (может быть по-русски или по-английски). Напиши какой у него текущий статус и как он запускается (Авто/Вручную или еще что).

А ту фигню из трея можно отключить?
Судя по найденой тобой ссылке antiSpywareXP это собственно и есть вирус. Не у верен что его можно просто так удалить (слишком уж просто). Кстати, по той же ссылке есть скрипт:

Цитата:

QuarantineFile('C

WINDOWS\system32\wini10544.exe' ,'');
QuarantineFile('C

WINDOWS\system32\twext.exe','') ;
QuarantineFile('C

WINDOWS\System32\rs32net.exe',' ');
QuarantineFile('C

WINDOWS\System32\Drivers\Windi8 3.sys','');
QuarantineFile('C

WINDOWS\System32\Drivers\ati7ye xx.sys','');
DeleteFile('C

WINDOWS\System32\Drivers\ati7yexx.s ys');
DeleteFile('C

WINDOWS\System32\Drivers\Windi83.sy s');
DeleteFile('C

WINDOWS\System32\Drivers\Winhm62.sy s');
DeleteFile('C

WINDOWS\System32\Drivers\Winkq16.sy s');
DeleteFile('C

WINDOWS\System32\Drivers\Winkq73.sy s');
DeleteFile('C

WINDOWS\System32\rs32net.exe');
DeleteFile('C

WINDOWS\system32\twext.exe');
DeleteFile('C

WINDOWS\system32\wini10544.exe');

Судя по всему, это и есть компоненты вируса. Товарищи из того треда их убивают. Посмотри есть ли у тебя такие.

З.Ы. Как смайлы вырубить в куске текста?

aaz · 27-10-2008, 18:47

Для одних и тех же файлов - сначала карантин, потом удаление?

Напомнило метод "лечение удалением".

DmitryK · 27-10-2008, 18:51

Цитата:

Сообщение от aaz

Для одних и тех же файлов - сначала карантин, потом удаление?

Напомнило метод "лечение удалением".

есть подозрение что в некоторых случаях файлы удалить не дадут (если они например сейчас используются системой).
Как реализован механизм карантина я не знаю, но похоже в этом случае файл отвязывается от системы и его можно удалить.

Fossa · 27-10-2008, 19:20

Цитата:

Сообщение от DmitryK

Красиво...

А касперский вообще запущен? в процессах есть (ctrl - shift - esc -> процессы)? он вроде avp.exe обычно зовется

Докладываю по пунктам.

1. В процессах avp не обнаружен. Убит видимо полностью. Запуском вручную не запускается. Игнорирует меня полностью.

2. Я уже посмотрела эти файлы, которые ребята с того форума убивают. У меня таких нету. Но на всякий случай попыталась скачать AVZ. Но и тут неудача. Это вирусная сволота, видимо, выкачала весь трафик, потому что скорость у меня 0,1 кбит в лучшем случае. Страницу форума чтоб открыть - полчаса надо ждать. Хотя, может быть, дело как всегда в Storm-е

3. Нашла еще один форум с похожими жалобами. Что характерно - все жалобы свежие, датируются октябрем этого года.
http://forum.xakep.ru/m_1248314/tm.htm

Там жалуются на файл brastk.exe. Вот он то у меня и сидит, сволочь. И еще файл delself.bat. В Виндоузе и в систем32. И в автозагрузке. В безопасном режиме я все поудаляла. Зашла в обычный. Трей пока чистый, без этой красной хренотени, но брастк уже торчит в обеих папках

Где то он еще видимо прописан. Нужон профессиональный совет, где его ловить...

У ребят со второго форума еще меняется файл beep.sys на figaro.sys. У меня такого нет. У меня бип остался. Но вдруг он заражен?
В общем, хелп кто нито, а?

Заранее спасибо

DmitryK · 27-10-2008, 19:57

Также можно посмотреть здесь:
http://forum.kasperskyclub.ru/index.php?showtopic=6270
И думаю заодно можно на этом форуме запостить логи с AVZ, как это сделали в этом треде и получить скрипт для удаления этой фигни.

Описание вируса есть по найденной тобой ссылке:

Цитата:

Потом в трее выводит иконку "крестик на красном фоне" типа что заражено и т.д. при клике на нем опять пытается скачать что-то из выше перечисленного.

Чем занимается сам драйвер толком не смотрел, но скорее всего скрывает активность brastk.exe и убивает все известные антивирусные и прочие сканеры.

Также там есть и средство борьбы:

Цитата:

Скачай нормальный beep.sys
http://dump.ru/file/1123560

Замени его сначала в
C

WINDOWS\system32\dllcache
затем
C

WINDOWS\system32\drivers

потом удали из автозапуска brastk.exe

Правда это не удалит драйвер. Поэтому советую таки выкачать AVZ, снять логи, запостить их на форум касперского и получить скрипт.
Пусть трудятся, не зря же покупали у них антивирус.

Fossa · 27-10-2008, 23:02

У меня Интернет глючит, поэтому пишу абы куда

Пост ниже - это я сюда метилась, но промахнулась

В общем, спасибки огромные. Я все таки с трудом, но вылажу на форум касперского. Обе программы уже скачала (AVZ и HijackThis), щас буду логи делать и выкладывать. Авось получится вылечиться...

Fossa · 27-10-2008, 22:27

Спасибки за сцылку!

Но...

Проблема еще и в том, что у меня AVZ не запускается тоже!
Они меня замуровали!

Интернет на грани умирания, вышла через дайл-ап.
Видимо, дело идет к убийству системы

тем более, что на форуме касперского прям страхи какие то про этот вирус пишут...

IB · 27-10-2008, 22:43

Загрузить антивирус до загрузки системы нельзя?

Fossa · 27-10-2008, 23:06

Цитата:

Сообщение от IB

Загрузить антивирус до загрузки системы нельзя?

Нет, Касперского судя по всему я потеряла до полного излечения...

Вот как азартно на форуме касперского этот ужас описывает один дядька:

"много лет пользуюсь касперским, вседа служил верой и правдой, а вот сегодня обкакался он с этим brastk как малец молодой) словила моя супруга его на ноутбуке, подошёл глянуть что за чудо... и понеслось.
Касперский умирает на ура, как и писал Bob Rowsky, в safe mode не поднимается и не сканит никаким макаром, файрвол уходит курить, периодически комп ломится на http://xpas-2009.com за якобы инсталляшкой XP Antispyware какой-то там. Поробовал версию портэйбл созданную местными кудесниками - бедняга даже не может запуститься с флешки, вообщем антивирус касперского совсем ничего не смог сделать. Попробовал всякие чудо методы, один раз грохнул этот brastk но потом он опять вылез после нескольких рестаротов )))
Думал уже не париться, а повесить клон (благо был сделан до этого) и о чудо, от нефиг думаю приколюсь поставлю NOD32 всёравно ничего не теряю, лежит себе на флешке. Так вот, поставил нод ради прикола (у меня Business Edition).
Он проставился, и даже проапдейтился, ну начал сканить - через пару минут синий экран, ХР упал, рестарт, я залез в safe mode нод закричал что у него косяк с kernel )))
рестартанулся зашёл нормально, нод красный - рил тайм протэкшн не палит, но всётаки сканить начал. Уже сканил дольше, % до 30 дошёл опять рухнул ХР с синим экраном. Так было пару раз ещё, но постепенно нод доходил но конца и всётаки грохнул этот чудо вирус))
рестартанулся, загорелся зелёным - всё впорядке, всё у него включилось. На ХР файрвол сразу заработал итд, короче теперь всё летает".

Но уж больно страшно нод запускать. У него ХР постоянно падал, ну нафик, это ж скока клеток нервных при этом умирает...

Но если на форуме касперского не помогут, то буду нод32 ставить...

DmitryK · 28-10-2008, 12:02

Цитата:

Сообщение от Fossa

Спасибки за сцылку!

Но...

Проблема еще и в том, что у меня AVZ не запускается тоже!
Они меня замуровали!

Интернет на грани умирания, вышла через дайл-ап.
Видимо, дело идет к убийству системы

тем более, что на форуме касперского прям страхи какие то про этот вирус пишут...

Там в форуме с касперского, описана такая же проблема. Вроде решилась простым переименованием запускающего файла avz. Попробуй тоже его как-нибудь назвать по-другому.
Так же там есть ссылка на уже переделанную версию AVZ. Попробуй её если не прокатит переименование.

Piwis · 28-10-2008, 01:51

ловили у меня родители этот вирус, да и не только этот как в последствии оказалось и было это месяца три назад )
недели две они с ним жили и принесли ноут мне со словами "сделай что-нибудь"... стоял там в этом случае не касперский, а нортон

удалённое сканирование (другим компом по сети) дало жуткий результат и не дожидаясь конца проверки (а к тому моменту уже вирусов 10 он нашёл) я просто переставил систему, пара-тройка часов (откуда народ берёт 2 дня?!?) и чистенький комп

OlegL · 28-10-2008, 11:09

Есть утилитка ComboFix. Помогает при этой проблеме.
Обычно этот вирус проходит сковозь защиту Kaspersky Workstation Security и не проходит сквозь Kaspersky Internet Sequrity.
Из кучи подотчетных машин в нескольких конторах пострадали несколько с KWS и ни одной с KIS.

Fossa · 28-10-2008, 12:37

У меня большая просьба, кто может помочь.
На форуме Касперского врачи сказали, что нужна для лечения утилита IceSword. Ее надо скачать с рапидшары.
http://rapidshare.com/files/13306104...122en.zip.html
А у меня дайл-ап больше полутора минут не держит, вырубается. А рапидшара не дает продолжать закачку, заново надо. И все по новой.
Никто не может загрузить эту утилиту сюда? А я тогда даунлодом частями бы скачала?
Спасибо.

2005only · 28-10-2008, 13:23

Я не шмогла...

Прости! И не открывается, и не грузится у меня сюда.

Piwis · 28-10-2008, 13:30

а где территориально находишься?

Fossa · 28-10-2008, 13:39

Цитата:

Сообщение от Piwis

а где территориально находишься?

У политеха. На набережной.

Visual · 28-10-2008, 13:41

Цитата:

Сообщение от Fossa

Никто не может загрузить эту утилиту сюда? А я тогда даунлодом частями бы скачала?
Спасибо.

Сейчас загружу. Вот ведь говорил же ж проще систему снести нафиг

))

Visual · 28-10-2008, 13:43

раз..

Visual · 28-10-2008, 13:44

два..

Visual · 28-10-2008, 13:45

и три (последнее)

Piwis · 28-10-2008, 13:48

закачал сюда, если скачать не удастся - звони, заеду
p.s. расширение avi переименуй в rar

Piwis · 28-10-2008, 14:13

получилось? я сейчас рядом, могу заехать

Fossa · 28-10-2008, 14:20

Цитата:

Сообщение от Piwis

получилось?

ДА! СПАСИБО!

Касперские мне написали два листа инструкций. Щас я эту тварь буду на куски резать...

Fossa · 28-10-2008, 14:15

СПАСИБО ВСЕМ ОГРОМНОЕ!!!!!!!!!!!

~GZ · 28-10-2008, 14:56

А через неделю-другую - новое приключение, да?

Опции темы	Поиск в этой теме
Версия для печати Отправить на email	Поиск в этой теме: Расширенный поиск
Опции просмотра
Линейный вид Комбинированный вид Нитяной вид Древовидный вид

Последние сообщения с Пейджера.	Показать все
За последнее время сообщений нет.

Здесь присутствуют: 1 (пользователей - 0 , гостей - 1)