-
Junior Member
- Вес репутации
- 58
плодится rundll32.exe
Периодически начинает плодится этот процесс
в диспечере он называется TmkQplFnfu
Происходит внезапно. Или при например втыкании флешки
Процессы плодятся до бесконечности если не убить через диспечер.
в папке c:\Documents and Settings\Администратор\Local Settings\Temp\
появляются (видимо после убийства) папки вида WER0c75.dir00
в которых обычно 4 файла
rundll32.exe.hdmp
rundll32.exe.mdmp
appcompat.txt
manifest.txt
комп не мой, когда началось - сказать не могу.
помогите с этим справиться. логи прилагаю.
-
Будь в курсе!
Будь в курсе!
Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:
-
Выполните скрипт в AVZ
Код:
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('J:\autorun.inf','');
QuarantineFile('C:\WINDOWS\system32\txyrm.exe','');
QuarantineFile('C:\Documents and Settings\Администратор\Local Settings\Application Data\smss.exe','');
QuarantineFile('C:\WINDOWS\Offline Web Pages\svchost.exe','');
DeleteService('System Scheduler');
DeleteFile('C:\WINDOWS\Offline Web Pages\svchost.exe');
DeleteFile('C:\Documents and Settings\Администратор\Local Settings\Application Data\smss.exe');
RegKeyParamDel('HKEY_USERS','.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run','Tok-Cirrhatus');
RegKeyParamDel('HKEY_USERS','S-1-5-18\Software\Microsoft\Windows\CurrentVersion\Run','Tok-Cirrhatus');
DeleteFile('C:\Documents and Settings\Администратор\Шаблоны\Brengkolang.com');
DeleteFile('C:\WINDOWS\system32\txyrm.exe');
DeleteFile('J:\autorun.inf');
DeleteFile('%windir%\Tasks\At1.job');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
Компьютер перезагрузится.
Пришлите карантин согласно Приложения 3 правил по красной ссылке Прислать запрошенный карантин вверху темы
Сделайте новые логи
Сделайте лог полного сканирования МВАМ
Сделайте лог gmer
Microsoft MVP 2012-2016 Consumer Security
Microsoft MVP 2016 Reconnect
-
-
Junior Member
- Вес репутации
- 58
скрип выполнил.
повторные логи.
лог gmer 1.log
карантин отправил
Последний раз редактировалось Stepan13; 10.04.2011 в 23:23.
-
1. Откройте Блокнот и скопируйте в него текст скрипта
Код:
hgthu03x.exe -del service ERserv
hgthu03x.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\ERserv"
hgthu03x.exe -del reg "HKLM\SYSTEM\ControlSet002\Services\ERserv"
hgthu03x.exe -reboot
2. Нажмите Файл - Сохранить как
3. Выберите папку, в которую сохранили hgthu03x.exe (gmer)
4. Укажите Тип файла - Все файлы (*.*)
5. Введите имя файла cleanup.bat и нажмите кнопку Сохранить
6. Запустите cleanup.bat
ВНИМАНИЕ: Компьютер перезагрузится!!!
Сделайте новый лог gmer
Удалите в МВАМ только указанные строки
Код:
Заражённые ключи в реестре:
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Active Setup\Installed Components\{28ABC5C0-4FCB-11CF-AAX5-81CX1C635853} (Backdoor.Agent) -> No action taken.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Stats\{FFFC57DB-1DE3-4303-B24D-CEE6DCDD3D86} (Adware.MyCentria) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\MyCentria (Adware.MyCentria) -> No action taken.
Заражённые папки:
c:\program files\mycentria (Adware.MyCentria) -> No action taken.
c:\program files\mycentria\InfoBar (Adware.MyCentria) -> No action taken.
c:\program files\mycentria\Firefox (Adware.MyCentria) -> No action taken.
c:\documents and settings\networkservice\local settings\application data\bron.tok-12-20 (Worm.Brontok) -> No action taken.
c:\documents and settings\networkservice\local settings\application data\bron.tok-12-26 (Worm.Brontok) -> No action taken.
c:\documents and settings\networkservice\local settings\application data\bron.tok-12-27 (Worm.Brontok) -> No action taken.
c:\documents and settings\networkservice\local settings\application data\bron.tok-12-3 (Worm.Brontok) -> No action taken.
c:\documents and settings\networkservice\local settings\application data\bron.tok-12-7 (Worm.Brontok) -> No action taken.
c:\documents and settings\networkservice\local settings\application data\bron.tok-12-8 (Worm.Brontok) -> No action taken.
c:\documents and settings\networkservice\local settings\application data\bron.tok-12-9 (Worm.Brontok) -> No action taken.
c:\documents and settings\networkservice\local settings\application data\bron.tok-12-16 (Worm.Brontok) -> No action taken.
c:\documents and settings\networkservice\local settings\application data\bron.tok-12-5 (Worm.Brontok) -> No action taken.
c:\documents and settings\networkservice\local settings\application data\bron.tok-12-17 (Worm.Brontok) -> No action taken.
c:\documents and settings\networkservice\local settings\application data\bron.tok-12-21 (Worm.Brontok) -> No action taken.
c:\documents and settings\networkservice\local settings\application data\bron.tok-12-4 (Worm.Brontok) -> No action taken.
c:\documents and settings\networkservice\local settings\application data\bron.tok-12-13 (Worm.Brontok) -> No action taken.
c:\documents and settings\networkservice\local settings\application data\bron.tok-12-12 (Worm.Brontok) -> No action taken.
c:\documents and settings\networkservice\local settings\application data\bron.tok-12-11 (Worm.Brontok) -> No action taken.
c:\documents and settings\networkservice\local settings\application data\bron.tok-12-19 (Worm.Brontok) -> No action taken.
c:\documents and settings\администратор\local settings\application data\bron.tok-12-28 (Worm.Brontok) -> No action taken.
c:\documents and settings\администратор\local settings\application data\bron.tok-12-11 (Worm.Brontok) -> No action taken.
c:\documents and settings\администратор\local settings\application data\bron.tok-12-30 (Worm.Brontok) -> No action taken.
c:\documents and settings\администратор\local settings\application data\bron.tok-12-2 (Worm.Brontok) -> No action taken.
c:\documents and settings\администратор\local settings\application data\bron.tok-12-1 (Worm.Brontok) -> No action taken.
c:\documents and settings\администратор\local settings\application data\bron.tok-12-3 (Worm.Brontok) -> No action taken.
c:\documents and settings\администратор\local settings\application data\bron.tok-12-4 (Worm.Brontok) -> No action taken.
c:\documents and settings\администратор\local settings\application data\bron.tok-12-5 (Worm.Brontok) -> No action taken.
c:\documents and settings\администратор\local settings\application data\bron.tok-12-8 (Worm.Brontok) -> No action taken.
c:\documents and settings\администратор\local settings\application data\bron.tok-12-9 (Worm.Brontok) -> No action taken.
c:\documents and settings\администратор\local settings\application data\bron.tok-12-10 (Worm.Brontok) -> No action taken.
c:\documents and settings\администратор\local settings\application data\bron.tok-12-12 (Worm.Brontok) -> No action taken.
c:\documents and settings\администратор\local settings\application data\bron.tok-12-13 (Worm.Brontok) -> No action taken.
c:\documents and settings\администратор\local settings\application data\bron.tok-12-14 (Worm.Brontok) -> No action taken.
c:\documents and settings\администратор\local settings\application data\bron.tok-12-15 (Worm.Brontok) -> No action taken.
c:\documents and settings\администратор\local settings\application data\bron.tok-12-16 (Worm.Brontok) -> No action taken.
c:\documents and settings\администратор\local settings\application data\bron.tok-12-17 (Worm.Brontok) -> No action taken.
c:\documents and settings\администратор\local settings\application data\bron.tok-12-18 (Worm.Brontok) -> No action taken.
c:\documents and settings\администратор\local settings\application data\bron.tok-12-19 (Worm.Brontok) -> No action taken.
c:\documents and settings\администратор\local settings\application data\bron.tok-12-20 (Worm.Brontok) -> No action taken.
c:\documents and settings\администратор\local settings\application data\bron.tok-12-21 (Worm.Brontok) -> No action taken.
c:\documents and settings\администратор\local settings\application data\bron.tok-12-22 (Worm.Brontok) -> No action taken.
c:\documents and settings\администратор\local settings\application data\bron.tok-12-23 (Worm.Brontok) -> No action taken.
c:\documents and settings\администратор\local settings\application data\bron.tok-12-24 (Worm.Brontok) -> No action taken.
c:\documents and settings\администратор\local settings\application data\bron.tok-12-25 (Worm.Brontok) -> No action taken.
c:\documents and settings\администратор\local settings\application data\bron.tok-12-27 (Worm.Brontok) -> No action taken.
c:\documents and settings\администратор\local settings\application data\bron.tok-12-26 (Worm.Brontok) -> No action taken.
c:\documents and settings\администратор\local settings\application data\bron.tok-12-31 (Worm.Brontok) -> No action taken.
c:\documents and settings\администратор\local settings\application data\bron.tok-12-6 (Worm.Brontok) -> No action taken.
c:\documents and settings\администратор\local settings\application data\bron.tok-12-7 (Worm.Brontok) -> No action taken.
c:\documents and settings\администратор\local settings\application data\bron.tok-12-29 (Worm.Brontok) -> No action taken.
Заражённые файлы:
c:\documents and settings\администратор\local settings\temporary internet files\Content.IE5\M1BSHXT9\2[1].exe (Trojan.Dropper) -> No action taken.
c:\documents and settings\администратор\local settings\temporary internet files\Content.IE5\M0S2CDN6\ww[1].exe (Trojan.Dropper) -> No action taken.
c:\documents and settings\администратор\local settings\temporary internet files\Content.IE5\SE0NNDSX\outt[1].exe (Trojan.IRCBrute) -> No action taken.
c:\documents and settings\администратор\local settings\temporary internet files\Content.IE5\SE0NNDSX\bro[1].jpg (VirTool.VBInject) -> No action taken.
c:\documents and settings\администратор\local settings\temporary internet files\Content.IE5\0LWVSVG7\cv[1].exe (Trojan.Dropper) -> No action taken.
c:\system volume information\_restore{ec8cefdf-bda7-4d4a-a40a-268cb68b3e7e}\RP384\A0174659.exe (Trojan.Dropper) -> No action taken.
c:\RECYCLER\s-51-9-25-3434476501-1642491965-601313314-1214\psdfg.exe (Trojan.IRCBrute) -> No action taken.
c:\Recycled\Dc28078.tmp (Trojan.Dropper) -> No action taken.
c:\Recycled\Dc28356.tmp (Trojan.Dropper) -> No action taken.
c:\Recycled\Dc28387.tmp (Trojan.Dropper) -> No action taken.
c:\WINDOWS\logfile32.txt (Malware.Trace) -> No action taken.
Microsoft MVP 2012-2016 Consumer Security
Microsoft MVP 2016 Reconnect
-
-
Итог лечения
Статистика проведенного лечения:
- Получено карантинов: 1
- Обработано файлов: 2
- В ходе лечения обнаружены вредоносные программы:
- c:\\windows\\system32\\txyrm.exe - Backdoor.Win32.SdBot.wac ( DrWEB: BackDoor.IRC.Bot.743, BitDefender: Backdoor.Bot.133463, NOD32: Win32/AutoRun.IRCBot.FC worm, AVAST4: Win32:VB-YLY [Trj] )
-