F.A.Q. "Лечение систем от вредоносных программ"

[regist]

Что значит "пофиксить с помощью HijackThis"?

Как сделать лог с помощью антируткита Gmer?

Как лечить файловый вирус?

Как загружаться в безопасном режиме (Safe Mode) ?

Как сделать лог программой Malwarebytes Antimalware (MBAM) ?

Как выполнить скрипт в AVZ ?

Инструкции и утилиты для полного удаления остатков антивирусных продуктов.

Злобный троян-вымогатель «Windows заблокирован, пошлите смс на номер….»

Как отключить восстановление системы ?

Как правильно искать и присылать запрошенные файлы?

Установка и работа с Combofix

Как останавливать/выгружать защитное ПО

Что делать если вирус блокирует запуск AVZ ?

Kак сделать логи с помощью утилиты RSIT ?

Как сделать лог uVS ?

Как выполнить скрипт в uVS ?

Как сделать лог uVS на неактивной системе ?

Как сделать лог утилитой GetSystemInfo (GSI) ?

Как подготовить лог OTL by OldTimer ?

Как подготовить лог MiniToolBox

Вопросы по утилите AVZ.

[regist]

Скачайте Universal Virus Sniffer (UVS) здесь или здесь, или с зеркала. Распакуйте архив в отдельную папку на рабочий стол.

1. запустите файл start.exe (в ОС Windows Vista/Seven необходимо запускать через правую кн. мыши от имени администратора).
2. открывшимся окне выберите пункт "Выбрать каталог Windows".
3. Укажите путь к каталогу с установленной Windows (например C:\Windows\)
4. Выберите пункт "Запустить под текущим пользователем" (если проблема не у текущего пользователя, а на другой учётной записи то укажите проблемную учётку).
5. Выберите меню "Файл" => "Сохранить полный образ автозапуска". Программа предложит вам указать место сохранения лога в формате "имя_компьютера_дата_сканирования".
6. Программа выдаст запрос на установку каталога цифровых подписей, нажмите "Да" и в следующем окне "Ок".
7. Дождитесь окончания работы программы и прикрепите лог к посту в теме, где вам оказывают помощь. Если файл по размеру не помещается во вложение, то загрузите его на http://rghost.ru/ и укажите ссылку на скачивание.

[regist]

1. запустите файл start.exe (в ОС Windows Vista/Seven необходимо запускать через правую кн. мыши от имени администратора).
2. В открывшимся окне выберите пункт "Выбрать каталог Windows".
3. Укажите путь к каталогу с установленной проблемной Windows (например C:\Windows\)
4. Выберите пункт "Запустить под текущим пользователем".
5. Скопируйте скрипт подготовленный для вас консультантом
6. Выберите меню "Скрипт" => Выполнить скрипт находящийся в буфере обмена..."
7. Нажмите на кнопку "Выполнить" и дождитесь окончания работы программы.
8. После выполнения скрипта зайдите в папку с UVS найдите архив имя которого отвечает дате и времени запуска скрипта (например:2012-03-10_12-04-27.7z) если архив отсутствует, то заархивруйте папку ZOO с паролем virus (в некоторых случаях карантина может не быть - папка ZOO_ не появилась или там только текстовые файлы). И отправьте на адрес в заголовке (теме) письма укажите ссылку на тему где вам оказывается помощь и ваш ник на форуме.

[regist]

1. Скачайте программу uVS или тут распакуйте из архива, запишите её на флешку.
2. Загрузитесь с любого CD диска Live CD, mini XP или аналогичных с воткнутой в компьютер флешкой. После загрузки эмулятора ОС, через её интерфейс, зайдите на флешку в папку с программой uVS, запустите файл start.exe.
3. В открывшемся меню программы выберети пункт "Выбрать каталог Windows ..." , далее выберите системный диск на котором находится ваша операционная система, на диске с ОС выбрать папку Windows - Ok, жмем Enter.
4. В меню открывшейся программы, выбрать пункт "Файл" - "Сохранить полный образ автозапуска" сохраните его на флешку.
5. Полученный образ в нормальном режиме с исправного компьютера загрузите в тему, где вам оказывают помощь.

Также вы можете скачать образ Live с CD с уже интегрированным uVS с здесь.

[regist]

Утилита GSI Parser разработана специалистами Лаборатории Касперского и позволяет собрать обширную информацию об операционной системе, установленном оборудовании и проблемах системного характера.
Все действия необходимо выполнять с правами администратора.
- Скачайте файл GetSystemInfo.ехе и сохраните его на Рабочем столе.
- Запустите утилиту двойным щелчком (для Windows Vista/7 замаркируйте файл, нажмите правую кнопку мыши и выберите пункт "Запустить от имени администратора"), прочтите лицензионное соглашение, нажмите кнопку I Agree;
- в появившемся окне нажмите кнопку Create Report и дождитесь пока программа исследует систему и сохранит отчет
(появится соответствующее окно). Отчет с именем файла GetSystemInfo_Система_ваше_имя_пользователя_дата_с канирования.zip
 сохранится на рабочий стол;
- откройте страницу автоматического анализатора протокола утилиты , нажмите кнопку Обзор и выберите файл отчета GetSystemInfo, нажмите Отправить.
 - Подождите пока автоанализатор завершит работу, затем скопируйте ссылку на отчет в Вашу тему.
- Хелпер может попросить Вас так же прикрепить также файл отчета GetSystemInfo_Система_ваше_имя_пользователя_дата_с канирования.zip.

[regist]

Подробней

Скачайте сканер OTL by OldTimer (или с зеркала) или OTL.com (или с зеркала) или OTL.scr (или с зеркала) и сохраните файл на вашем рабочем столе.

Запустите программу сделав двойной щелчок мыши.

Обратите внимание, что утилиты необходимо запускать от имени Администратора. По умолчанию в Windows XP так и есть. В Windows Vista и Windows 7 администратор понижен в правах по умолчанию, поэтому, не забудьте нажать правой кнопкой на программу, выбрать Запуск от имени Администратора, при необходимости укажите пароль администратора и нажмите "Да".

Сделайте настройки программы согласно изображения ниже:

Запустите программу сделав двойной щелчок мыши.

Обратите внимание, что утилиты необходимо запускать от имени Администратора. По умолчанию в Windows XP так и есть. В Windows Vista и Windows 7 администратор понижен в правах по умолчанию, поэтому, не забудьте нажать правой кнопкой на программу, выбрать Запуск от имени Администратора, при необходимости укажите пароль администратора и нажмите "Да".

Сделайте настройки программы согласно изображения ниже:



В окно скопируйте следующую информацию:

Для WINDOWS XP

activex
netsvcs
msconfig
safebootminimal
safebootnetwork
"%WinDir%\$NtUninstallKB*$." /30
C:\Program Files\Common Files\ComObjects\*.* /s
%SYSTEMDRIVE%\*.*
%USERPROFILE%\*.*
%USERPROFILE%\Application Data\*.*
%USERPROFILE%\Local Settings\Application Data\*.*
%AllUsersProfile%\*.*
%AllUsersProfile%\Application Data\*.*
%USERPROFILE%\My Documents\*.*
%CommonProgramFiles%\*.*
%PROGRAMFILES%\*.*
%systemroot%\system32\config\systemprofile\*.*
%windir%\ServiceProfiles\LocalService\AppData\Local\Temp\*.*
%windir%\ServiceProfiles\NetworkService\AppData\Local\Temp\*.*
%windir%\temp*.*
%windir%\system32\*.
%Temp%\smtmp\1\*.*
%Temp%\smtmp\2\*.*
%Temp%\smtmp\3\*.*
%Temp%\smtmp\4\*.*
%systemroot%\system32\DBBK\*.* /s
%systemroot%\system32\*.dll /lockedfiles
%systemroot%\Tasks\*.job /lockedfiles
%systemroot%\system32\drivers\*.sys /90
%systemroot%\system32\drivers\*.sys /lockedfiles
%systemroot%\system32\Spool\prtprocs\w32x86\*.dll
%systemroot%\*. /rp /s
%systemroot%\assembly\tmp\*.* /S /MD5
%systemroot%\assembly\temp\*.* /S /MD5
%systemroot%\assembly\GAC_32\*.* /S /MD5
%systemroot%\assembly\GAC_MSIL\*.* /S /MD5
HKEY_CLASSES_ROOT\CLSID\{F3130CDB-AA52-4C3A-AB32-85FFC23AF9C1} /s
HKEY_CURRENT_USER\Software\Classes\CLSID\{42aedc87-2188-41fd-b9a3-0c966feabec1} /s
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{F3130CDB-AA52-4C3A-AB32-85FFC23AF9C1} /s
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{42aedc87-2188-41fd-b9a3-0c966feabec1} /s
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{a2a9545d-a0c2-42b4-9708-a0b2badd77c8} /s
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{7C857801-7381-11CF-884D-00AA004B2E24} /s
HKEY_CURRENT_USER\Software\MSOLoad /s
type c:\boot.ini >> test.txt /c
>C:\commands.txt echo list vol /raw /hide /c
/wait
>C:\DiskReport.txt diskpart /s C:\commands.txt /raw /hide /c
/wait
type c:\diskreport.txt /c
/wait
erase c:\commands.txt /hide /c
/wait
erase c:\diskreport.txt /hide /c
/md5start
smss.exe
winlogon.exe
services.exe
lsass.exe
svchost.exe
explorer.exe
userinit.exe
atapi.sys
iaStor.sys
serial.sys
disk.sys
volsnap.sys
redbook.sys
i8042prt.sys
afd.sys
netbt.sys
tcpip.sys
ipsec.sys
hlp.dat
str.sys
crexv.ocx
crexvx.ocx
/md5stop

Для WINDOWS VISTA/7 x86

activex
netsvcs
msconfig
safebootminimal
safebootnetwork
"%WinDir%\$NtUninstallKB*$." /30
C:\Program Files\Common Files\ComObjects\*.* /s
%SYSTEMDRIVE%\*.*
%USERPROFILE%\*.*
%USERPROFILE%\AppData\Local\*.*
%USERPROFILE%\AppData\Roaming\*.*
%ProgramData%\*.*
%CommonProgramFiles%\*.*
%PROGRAMFILES%\*.*
%systemroot%\system32\config\systemprofile\AppData\Local\*.*
%windir%\SysWOW64\config\systemprofile\AppData\Local\*.*
%windir%\ServiceProfiles\LocalService\AppData\Local\Temp\*.*
%windir%\ServiceProfiles\NetworkService\AppData\Local\Temp\*.*
%windir%\temp\*.*
%windir%\system32\*.
%windir%\sysnative\*.
%Temp%\smtmp\1\*.*
%Temp%\smtmp\2\*.*
%Temp%\smtmp\3\*.*
%Temp%\smtmp\4\*.*
%systemroot%\system32\DBBK\*.* /s
%systemroot%\system32\*.dll /lockedfiles
%systemroot%\syswow64\*.dll /lockedfiles
%systemroot%\Tasks\*.job /lockedfiles
%systemroot%\system32\drivers\*.sys /90
%systemroot%\system32\drivers\*.sys /lockedfiles
%systemroot%\syswow64\drivers\*.sys /90
%systemroot%\syswow64\drivers\*.sys /lockedfiles
%systemroot%\system32\Spool\prtprocs\w32x86\*.dll
%systemroot%\*. /rp /s
%systemroot%\assembly\tmp\*.* /S /MD5
%systemroot%\assembly\temp\*.* /S /MD5
%systemroot%\assembly\GAC_32\*.* /S /MD5
%systemroot%\assembly\GAC_64\*.* /S /MD5
%SystemRoot%\assembly\GAC_MSIL\*.* /S /MD5
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\SubSystems /s
HKEY_CLASSES_ROOT\CLSID\{F3130CDB-AA52-4C3A-AB32-85FFC23AF9C1} /s
HKEY_CURRENT_USER\Software\Classes\CLSID\{42aedc87-2188-41fd-b9a3-0c966feabec1} /s
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{F3130CDB-AA52-4C3A-AB32-85FFC23AF9C1} /s
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{42aedc87-2188-41fd-b9a3-0c966feabec1} /s
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{a2a9545d-a0c2-42b4-9708-a0b2badd77c8} /s
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{7C857801-7381-11CF-884D-00AA004B2E24} /s
HKEY_CURRENT_USER\Software\MSOLoad /s
bcdedit /enum all /v >C:\boot.txt /c
>C:\commands.txt echo list vol /raw /hide /c
/wait
>C:\DiskReport.txt diskpart /s C:\commands.txt /raw /hide /c
/wait
type c:\diskreport.txt /c
/wait
erase c:\commands.txt /hide /c
/wait
erase c:\diskreport.txt /hide /c
/md5start
explorer.exe
lsass.exe
svchost.exe
services.exe
wininit.exe
winlogon.exe
userinit.exe
atapi.sys
iaStor.sys
serial.sys
volsnap.sys
disk.sys
redbook.sys
i8042prt.sys
afd.sys
netbt.sys
csc.sys
tcpip.sys
dfsc.sys
hlp.dat
str.sys
crexv.ocx
crexvx.ocx
/md5stop

Нажмите на кнопку
После завершения проверки, будут созданы два файла - OTL.txt и Extras.txt. Эти файлы необходимо прикрепить к своему следующему посту в той теме, где вам оказывается помощь. Если Вы закрыли эти файлы, то найти их можно в той же папке, откуда был запущен OTL by OldTimer.

[regist]

английской версией

1. Скачайте MiniToolBox.exe и сохраните на рабочем столе.
2. Запустите утилиту и отметьте для сканирования следующие пункты и нажмите кнопку "Go":
   • Report IE Proxy Settings
   • Report FF Proxy Settings
   • List content of Hosts
   • List IP configuration
   • List Winsock Entries
   • List last 10 Event Viewer log
   • List Devices
   • List Users, Partitions and Memory size.
   
   
   
   
3. После того, как утилита завершит сбор информации, будет открыт отчет Result.txt , который необходимо прикрепить в своей теме. Если вы закрыли отчет утилиты, то он будет находиться в той же папке, откуда была запущена утилита.