PDA

Просмотр полной версии : Есть подозрение


pomy
22.03.2008, 14:42
Есть подозрение на вирусы. IE тормозит в сети.
wise-wistful
22.03.2008, 15:36
w32sys6.exe - поищите при помощи АВЗ, сервис--поиск файлов на диске найдите и пришлите согласно приложения 2 правил.
В хост файл Вы "поэму" записали или Вы ни причём?
pomy
22.03.2008, 15:46
Файл w32sys6.exe я не нашел. А что за "поэма", я не понял, можно поподробнее.
wise-wistful
22.03.2008, 15:55
Выполните в АВЗ

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\WINDOWS\system32\w32sys6.exe');
BC_ImportDeletedList;
BC_DeleteSvc('RpcLocatorSchedule');
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
Повторите логи.
pomy
22.03.2008, 16:31
По-моему ничего не изменилось
wise-wistful
22.03.2008, 16:33
Так знакома Вам эта запись в Хост файле?
pomy
22.03.2008, 16:37
Нет не знакома.

Добавлено через 2 минуты

Нет не знакома. А что надо с ней делать и где она находится.
wise-wistful
22.03.2008, 16:43
Отключите восстановление системы.
Выполните в АВЗ

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DelBHO('{A5366673-E8CA-11D3-9CD9-0090271D075B}');
QuarantineFile('C:\Documents and Settings\Администратор\Шаблоны\Brengkolang.com','' );
QuarantineFile('C:\WINDOWS\system32\kdecb.exe','') ;
QuarantineFile('C:\WINDOWS\system32\AccuJetK.sys', '');
DeleteFile('C:\WINDOWS\system32\kdecb.exe');
DeleteFile('C:\Documents and Settings\Администратор\Шаблоны\Brengkolang.com');
BC_ImportAll;
ExecuteSysClean;
ExecuteRepair(13);
BC_Activate;
RebootWindows(true);
end.
Загрузите карантин согласно приложения 3 правил..
Повторите логи...
pomy
22.03.2008, 17:14
Посмотрите
wise-wistful
22.03.2008, 17:52
Панель управления - Назначенные задания. Там удалить задание по имени At1, которое запускает (запускало) ныне покойный Brengkolang.com.
После этого выполните в АВЗ

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('kdecb.exe','');
DeleteFile('C:\WINDOWS\system32\kdecb.exe');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
Загрузите карантин согласно приложения 3 правил.
Повторите логи.
pomy
22.03.2008, 19:57
Сделал все, как сказали.
wise-wistful
22.03.2008, 20:13
н-да. Попробуйте так.

begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(true);
DeleteFile('kdecb.exe');
DeleteFile('C:\WINDOWS\system32\kdecb.exe');
DelWinlogonNotifyByFileName('kdecb.exe');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
Повторите логи.
pomy
22.03.2008, 20:36
Вот смотрите
wise-wistful
22.03.2008, 20:48
Хух. Искоренили.
pomy
22.03.2008, 21:34
А вот это что?


Функция NtCreateKey (29) перехвачена (80622048->BA6AA0E0), перехватчик spub.sys
Функция NtEnumerateKey (47) перехвачена (80622888->BA6C7CA2), перехватчик spub.sys
Функция NtEnumerateValueKey (49) перехвачена (80622AF2->BA6C8030), перехватчик spub.sys
Функция NtOpenKey (77) перехвачена (806233DE->BA6AA0C0), перехватчик spub.sys
Функция NtQueryKey (A0) перехвачена (80623702->BA6C8108), перехватчик spub.sys
Функция NtQueryValueKey (B1) перехвачена (80620102->BA6C7F88), перехватчик spub.sys
Функция NtSetValueKey (F7) перехвачена (80620708->BA6C819A), перехватчик spub.sys

9. Мастер поиска и устранения проблем
>> Разрешен автозапуск с HDD
>> Разрешен автозапуск с сетевых дисков
>> Разрешен автозапуск со сменных носителей
wise-wistful
22.03.2008, 21:36
spub.sys - это от диамона\алкоголя.


>> Разрешен автозапуск с HDD
>> Разрешен автозапуск с сетевых дисков
>> Разрешен автозапуск со сменных носителей
Это решается через АВЗ файл-Мастер поиска и устранения проблем.