Удалить вирус mdelk.exe???

Apr. 13th, 2008 12:00 am
[identity profile] allek-san-derr.livejournal.com posting in [community profile] useful_faq
Как мне удалить вирус mdelk.exe, получается только использовать Kaspersky Online Scanner
ни один антивирус запустить не удается...


ОТЧЕТ KASPERSKY ONLINE SCANNER
10 Апрель 2008 г. 10:23:55
Операционная система: Microsoft Windows XP Professional, Service Pack 2 (Build 2600)
Версия Kaspersky Online Scanner: 5.0.98.0
Последнее обновление антивирусных баз: 9/04/2008
Число записей в антивирусных базах: 692913

Параметры проверки
Проверять, используя следующий набор антивирусных баз расширенный набор
Проверять архивы да
Проверять почтовые базы да

Объект проверки Важные объекты
C:\WINDOWS
C:\DOCUME~1\ALEKSA~1\LOCALS~1\Temp\

Результаты проверки
Всего проверено объектов 22375
Найдено вирусов 1
Найдено зараженных объектов 1
Найдено подозрительных объектов 0
Время проверки 08:04:46

Имя зараженного объекта Имя вируса Последнее действие
C:\WINDOWS\$hf_mig$\KB890859\SP2QFE\ntoskrnl.exe Объект заблокирован пропустить

C:\WINDOWS\$hf_mig$\KB929338\SP2QFE\ntoskrnl.exe Объект заблокирован пропустить

C:\WINDOWS\$hf_mig$\KB931784\SP2QFE\ntoskrnl.exe Объект заблокирован пропустить

C:\WINDOWS\$NtUninstallKB890859$\ntoskrnl.exe Объект заблокирован пропустить

C:\WINDOWS\$NtUninstallKB929338$\ntoskrnl.exe Объект заблокирован пропустить

C:\WINDOWS\$NtUninstallKB931784$\ntoskrnl.exe Объект заблокирован пропустить

C:\WINDOWS\CSC\00000001 Объект заблокирован пропустить

C:\WINDOWS\Debug\PASSWD.LOG Объект заблокирован пропустить

C:\WINDOWS\Driver Cache\i386\ntoskrnl.exe Объект заблокирован пропустить

C:\WINDOWS\SchedLgU.Txt Объект заблокирован пропустить

C:\WINDOWS\Sti_Trace.log Объект заблокирован пропустить

C:\WINDOWS\system32\CatRoot2\edb.log Объект заблокирован пропустить

C:\WINDOWS\system32\CatRoot2\tmp.edb Объект заблокирован пропустить

C:\WINDOWS\system32\config\AppEvent.Evt Объект заблокирован пропустить

C:\WINDOWS\system32\config\default Объект заблокирован пропустить

C:\WINDOWS\system32\config\default.LOG Объект заблокирован пропустить

C:\WINDOWS\system32\config\Internet.evt Объект заблокирован пропустить

C:\WINDOWS\system32\config\ODiag.evt Объект заблокирован пропустить

C:\WINDOWS\system32\config\OSession.evt Объект заблокирован пропустить

C:\WINDOWS\system32\config\SAM Объект заблокирован пропустить

C:\WINDOWS\system32\config\SAM.LOG Объект заблокирован пропустить

C:\WINDOWS\system32\config\SecEvent.Evt Объект заблокирован пропустить

C:\WINDOWS\system32\config\SECURITY Объект заблокирован пропустить

C:\WINDOWS\system32\config\SECURITY.LOG Объект заблокирован пропустить

C:\WINDOWS\system32\config\software Объект заблокирован пропустить

C:\WINDOWS\system32\config\software.LOG Объект заблокирован пропустить

C:\WINDOWS\system32\config\SysEvent.Evt Объект заблокирован пропустить

C:\WINDOWS\system32\config\system Объект заблокирован пропустить

C:\WINDOWS\system32\config\system.LOG Объект заблокирован пропустить

C:\WINDOWS\system32\drivers\sptd.sys Объект заблокирован пропустить

C:\WINDOWS\system32\h323log.txt Объект заблокирован пропустить

C:\WINDOWS\system32\LogFiles\WUDF\WUDFTrace.etl Объект заблокирован пропустить

C:\WINDOWS\system32\mdelk.exe Зараженный объект: Email-Worm.Win32.Bagle.of пропустить

C:\WINDOWS\system32\wbem\Repository\FS\INDEX.BTR Объект заблокирован пропустить

C:\WINDOWS\system32\wbem\Repository\FS\INDEX.MAP Объект заблокирован пропустить

C:\WINDOWS\system32\wbem\Repository\FS\MAPPING.VER Объект заблокирован пропустить

C:\WINDOWS\system32\wbem\Repository\FS\MAPPING1.MAP Объект заблокирован пропустить

C:\WINDOWS\system32\wbem\Repository\FS\MAPPING2.MAP Объект заблокирован пропустить

C:\WINDOWS\system32\wbem\Repository\FS\OBJECTS.DATA Объект заблокирован пропустить

C:\WINDOWS\system32\wbem\Repository\FS\OBJECTS.MAP Объект заблокирован пропустить

C:\WINDOWS\wiadebug.log Объект заблокирован пропустить

C:\WINDOWS\wiaservc.log Объект заблокирован пропустить

C:\DOCUME~1\ALEKSA~1\LOCALS~1\Temp\~DFE044.tmp Объект заблокирован пропустить

C:\DOCUME~1\ALEKSA~1\LOCALS~1\Temp\~DFE0C6.tmp Объект заблокирован пропустить

C:\DOCUME~1\ALEKSA~1\LOCALS~1\Temp\~DFE110.tmp Объект заблокирован пропустить

C:\DOCUME~1\ALEKSA~1\LOCALS~1\Temp\~DFE147.tmp Объект заблокирован пропустить

C:\DOCUME~1\ALEKSA~1\LOCALS~1\Temp\~DFE252.tmp Объект заблокирован пропустить

C:\DOCUME~1\ALEKSA~1\LOCALS~1\Temp\~DFE2E9.tmp Объект заблокирован пропустить

C:\DOCUME~1\ALEKSA~1\LOCALS~1\Temp\~DFE365.tmp Объект заблокирован пропустить

C:\DOCUME~1\ALEKSA~1\LOCALS~1\Temp\~DFE3AD.tmp Объект заблокирован пропустить

C:\DOCUME~1\ALEKSA~1\LOCALS~1\Temp\~DFE3FD.tmp Объект заблокирован пропустить

C:\DOCUME~1\ALEKSA~1\LOCALS~1\Temp\~DFE47F.tmp Объект заблокирован пропустить

C:\DOCUME~1\ALEKSA~1\LOCALS~1\Temp\~DFE4BF.tmp Объект заблокирован пропустить

C:\DOCUME~1\ALEKSA~1\LOCALS~1\Temp\~DFE502.tmp Объект заблокирован пропустить

C:\DOCUME~1\ALEKSA~1\LOCALS~1\Temp\~DFE534.tmp Объект заблокирован пропустить

C:\DOCUME~1\ALEKSA~1\LOCALS~1\Temp\~DFE5BA.tmp Объект заблокирован пропустить

C:\DOCUME~1\ALEKSA~1\LOCALS~1\Temp\~DFE627.tmp Объект заблокирован пропустить

C:\DOCUME~1\ALEKSA~1\LOCALS~1\Temp\~DFE64B.tmp Объект заблокирован пропустить

C:\DOCUME~1\ALEKSA~1\LOCALS~1\Temp\~DFE6AB.tmp Объект заблокирован пропустить

C:\DOCUME~1\ALEKSA~1\LOCALS~1\Temp\~DFE6DC.tmp Объект заблокирован пропустить

C:\DOCUME~1\ALEKSA~1\LOCALS~1\Temp\~DFE6F3.tmp Объект заблокирован пропустить

C:\DOCUME~1\ALEKSA~1\LOCALS~1\Temp\~DFE70A.tmp Объект заблокирован пропустить

C:\DOCUME~1\ALEKSA~1\LOCALS~1\Temp\~DFE735.tmp Объект заблокирован пропустить

C:\DOCUME~1\ALEKSA~1\LOCALS~1\Temp\~DFE779.tmp Объект заблокирован пропустить

C:\DOCUME~1\ALEKSA~1\LOCALS~1\Temp\~DFE7B7.tmp Объект заблокирован пропустить

C:\DOCUME~1\ALEKSA~1\LOCALS~1\Temp\~DFE7D8.tmp Объект заблокирован пропустить

C:\DOCUME~1\ALEKSA~1\LOCALS~1\Temp\~DFE7EF.tmp Объект заблокирован пропустить

C:\DOCUME~1\ALEKSA~1\LOCALS~1\Temp\~DFE857.tmp Объект заблокирован пропустить

C:\DOCUME~1\ALEKSA~1\LOCALS~1\Temp\~DFE8A6.tmp Объект заблокирован пропустить

C:\DOCUME~1\ALEKSA~1\LOCALS~1\Temp\~DFE8C7.tmp Объект заблокирован пропустить

C:\DOCUME~1\ALEKSA~1\LOCALS~1\Temp\~DFE8F8.tmp Объект заблокирован пропустить

C:\DOCUME~1\ALEKSA~1\LOCALS~1\Temp\~DFE91A.tmp Объект заблокирован пропустить

C:\DOCUME~1\ALEKSA~1\LOCALS~1\Temp\~DFE94B.tmp Объект заблокирован пропустить

C:\DOCUME~1\ALEKSA~1\LOCALS~1\Temp\~DFE985.tmp Объект заблокирован пропустить

C:\DOCUME~1\ALEKSA~1\LOCALS~1\Temp\~DFE9BF.tmp Объект заблокирован пропустить

C:\DOCUME~1\ALEKSA~1\LOCALS~1\Temp\~DFE9EB.tmp Объект заблокирован пропустить

C:\DOCUME~1\ALEKSA~1\LOCALS~1\Temp\~DFEA0D.tmp Объект заблокирован пропустить

C:\DOCUME~1\ALEKSA~1\LOCALS~1\Temp\~DFEA32.tmp Объект заблокирован пропустить

C:\DOCUME~1\ALEKSA~1\LOCALS~1\Temp\~DFEA69.tmp Объект заблокирован пропустить

C:\DOCUME~1\ALEKSA~1\LOCALS~1\Temp\~DFEAA3.tmp Объект заблокирован пропустить

C:\DOCUME~1\ALEKSA~1\LOCALS~1\Temp\~DFEAC3.tmp Объект заблокирован пропустить

C:\DOCUME~1\ALEKSA~1\LOCALS~1\Temp\~DFEADA.tmp Объект заблокирован пропустить

C:\DOCUME~1\ALEKSA~1\LOCALS~1\Temp\~DFEAF6.tmp Объект заблокирован пропустить

C:\DOCUME~1\ALEKSA~1\LOCALS~1\Temp\~DFEB40.tmp Объект заблокирован пропустить

C:\DOCUME~1\ALEKSA~1\LOCALS~1\Temp\~DFEB7F.tmp Объект заблокирован пропустить

C:\DOCUME~1\ALEKSA~1\LOCALS~1\Temp\~DFEB9F.tmp Объект заблокирован пропустить

C:\DOCUME~1\ALEKSA~1\LOCALS~1\Temp\~DFEBB6.tmp Объект заблокирован пропустить

C:\DOCUME~1\ALEKSA~1\LOCALS~1\Temp\~DFEBE4.tmp Объект заблокирован пропустить

C:\DOCUME~1\ALEKSA~1\LOCALS~1\Temp\~DFEC1A.tmp Объект заблокирован пропустить

C:\DOCUME~1\ALEKSA~1\LOCALS~1\Temp\~DFEC55.tmp Объект заблокирован пропустить

C:\DOCUME~1\ALEKSA~1\LOCALS~1\Temp\~DFEC74.tmp Объект заблокирован пропустить

C:\DOCUME~1\ALEKSA~1\LOCALS~1\Temp\~DFEC8C.tmp Объект заблокирован пропустить

C:\DOCUME~1\ALEKSA~1\LOCALS~1\Temp\~DFECAD.tmp Объект заблокирован пропустить

C:\DOCUME~1\ALEKSA~1\LOCALS~1\Temp\~DFECDD.tmp Объект заблокирован пропустить

C:\DOCUME~1\ALEKSA~1\LOCALS~1\Temp\~DFED48.tmp Объект заблокирован пропустить

C:\DOCUME~1\ALEKSA~1\LOCALS~1\Temp\~DFED7A.tmp Объект заблокирован пропустить

C:\DOCUME~1\ALEKSA~1\LOCALS~1\Temp\~DFED91.tmp Объект заблокирован пропустить

C:\DOCUME~1\ALEKSA~1\LOCALS~1\Temp\~DFEDAD.tmp Объект заблокирован пропустить

Проверка завершена.
  • Add Memory
  • Share This Entry
Flat | Top-Level Comments Only

Date: 2008-04-12 08:56 pm (UTC)
From: [identity profile] haviras.livejournal.com
C LiveCD залезть по прибивать зараженные файлы из темпов, а нужные из систем32 заменить целыми легитимными.

Хотя вообще проблем не виду. Use unlocker и через него дропайте

Date: 2008-04-12 09:02 pm (UTC)
From: [identity profile] allek-san-derr.livejournal.com
не понял с "заменой" ???

Date: 2008-04-12 09:05 pm (UTC)
From: [identity profile] haviras.livejournal.com
Если файлы из системных папок и есть на ЦЕЛОЙ НОВОЙ СИСТЕМЕ, то взять скопировать их и заменит пораженные.

В вашем списке я таких вроде не нашел.

Date: 2008-04-12 09:13 pm (UTC)
From: [identity profile] allek-san-derr.livejournal.com
так что мне менять мне надо удалять

Date: 2008-04-12 09:21 pm (UTC)
From: [identity profile] haviras.livejournal.com
Удалить можно несколькими способами
а) Выставить в gpedit.msc разрешение на доступ из рекавери консоль не только к системному разделу
Удалить из рекавери консоль
б) с ливсд (в т.ч нортон на дискете или флешке)
в) принести к доброй душе и с ее системы убить файлы (есть вариант поражения второй системы)
г) format c:\

gpedit.msc

Date: 2008-04-12 09:27 pm (UTC)
From: [identity profile] allek-san-derr.livejournal.com
gpedit.msc что это?

Re: gpedit.msc

Date: 2008-04-12 09:36 pm (UTC)
From: [identity profile] haviras.livejournal.com
Остнаска редактирования GPO (Group Policy Object)
Вызывать
Пуск - выполнить - gpedit.msc

Date: 2008-04-12 09:34 pm (UTC)
From: [identity profile] uniqknown.livejournal.com
Откровенно не помню, как добавил тебя в друзья, видимо, человек ты интересный, но это не важно :)
Идея разрешить комментарии только для друзей хороша, если подобные вопросы пишутся только под замком, ибо меня тянет на них ответить, а оказывается, что мне не дают это сделать.

http://soft.mail.ru/pressrl_page.php?id=15847
"Mitglieder.IZ – это троян, внедряемый в системы червем Bagle.JG, который пытается скачать на пораженную систему файлы, выдающие себя за файлы JPG и PHP, но в действительности являющиеся обновлениями Bagle.JG. С этой целью он подключается к нескольким веб-сайтам для того, чтобы искать сетевые серверы eDonkey и копировать себя в сеть. Троян копирует себя в систему под именем Mdelk.exe и создает ключ реестра (Hkey_Current_User\Software\Microsoft\Windows\CurrentVersion\Run), указывающий на mdelk.exe с целью запуска при каждом старте системы."

Загружаешь систему (лучше, наверное, в безопасном режиме - при загрузке нажми F8, должно появиться меню, в котором выбери "Безопасный режим" или "Safe mode"), в нём запускаешь Task Manager (Alt+Ctrl+Del или Пуск \ Выполнить - taskmgr), переходишь на вкладку "Процессы", ищешь там MDelk.exe, убиваешь его (клац по кнопке "Завершить процесс" \ End process), потом RegEdit'ом (Пуск \ Выполнить, в окошке вводишь regedit и нажимаешь Enter), ищешь ключ реестра по указанному адресу (Hkey_Current_User\Software\Microsoft\Windows\CurrentVersion\Run), который эту гадость запускает (можно просто нажать Ctrl+F и сказать ему "Mdelk.exe"), смотришь, по какому адресу расположен этот файл, удаляешь ключ реестра. Далее, соответственно, удаляешь файл по найденному адресу.
Это - моё обобщённое предсталвение о том, как его убивать. Может не сработать. Гуглом была найдена статейка http://www.spyware-techie.com/mdelkexe-removal-guide/ , где инструкция несколько иная.

И первая, и вторая статья была найдена при помощи Яндекса и Гугла по запросу "Mdelk.exe" в первых результатах. Для более быстрых решений проблем советую впредь пользоваться подобным несложным способом :)

Date: 2008-04-13 01:38 pm (UTC)
From: [identity profile] met0.livejournal.com
Алекса же удаляется Lavasoft Ad-Aware, которую в торрентах найдете вместе с ключами.
  • Add Memory
  • Share This Entry
Flat | Top-Level Comments Only