Не могу вылечить Haxdoor.

[Keo]

Все темы прочитал касающиеся этого вируса, но ничего не помогло. Прощу о помощи.

[PavelA]

1.Выполнить скрипт:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('c:\windows\system32\klogini.dll','');
 QuarantineFile('c:\windows\system32\fltr.a3d','');
 QuarantineFile('c:\windows\system32\redir2.a3d','');
 QuarantineFile('c:\windows\system32\p3.ini','');
 QuarantineFile('C:\WINDOWS\system32\ovrscn.dll','');
 BC_DeleteFile('C:\WINDOWS\system32\ovrscn.dll');
 DeleteFile('C:\WINDOWS\system32\ovrscn.dll');
BC_ImportAll;
BC_Activate;
ExecuteSysClean;
RebootWindows(true);
end.

После перезагрузки загрузить карантин по ссылке вверху темы.
2.Антивирус Симантек/Нортон у Вас живой? Если нет, то нужно ставить что-нибудь для защиты.
3.Файл карантина удалите из темы.

[Макcим]

В удаленном карантине:
ovrscn.dll - Backdoor.Win32.Haxdoor.kz
qz.dll - Backdoor.Win32.Haxdoor.kz

[Keo]

1. Скрипт выполнил.
2. Нортон живой, просто удалял на время AVZ
3. Что это за файл и как его удалить?

[PavelA]

3. Что это за файл и как его удалить?

Модераторы уже сработали. THK Maxim

Карантин загрузил после скрипта?

[Макcим]

Модераторы уже сработали. THK Maxim

Всегда пожалуйста

[Keo]

Карантин загрузил. С нетерпением жду ) Спасибо.

[Макcим]

Вы сами удаляли какие-нибудь файлы с карантина?

[Keo]

Нет не удалял.

Добавлено через 44 минуты
Отправил карантин еще раз вместе с логом.

[Muzzle]

Если интересно,то вот описание вашего зверька
http://www.viruslist.com/ru/viruses/...?virusid=76809

cz.dll,drct16.dll,hz.sys,vdmt16.sys,winlow.sys,wz. sys - поищите эти файлы при помощи AVZ-- сервис --поиск фалов на диске,если найдутся то удалите их.

1.AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Надать кнопку "Запустить".

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 DeleteFile('c:\windows\system32\klogini.dll');
 DeleteFile('c:\windows\system32\fltr.a3d');
 DeleteFile('c:\windows\system32\redir2.a3d');
 DeleteFile('c:\windows\system32\p3.ini');
 DeleteFile('C:\WINDOWS\system32\qz.dll');
 DeleteFile('C:\WINDOWS\system32\ovrscn.dll');
 DeleteFile('ovrscn.dll');
 BC_DeleteFile('C:\WINDOWS\system32\ovrscn.dll');
 BC_DeleteFile('ovrscn.dll');
 BC_DeleteFile('c:\windows\system32\klogini.dll');
 BC_DeleteFile('c:\windows\system32\fltr.a3d');
 BC_DeleteFile('c:\windows\system32\redir2.a3d');
 BC_DeleteFile('c:\windows\system32\p3.ini');
 BC_DeleteFile('C:\WINDOWS\system32\qz.dll');
ExecuteSysClean;
BC_LogFile(GetAVZDirectory + 'boot_del.log');
BC_Activate;
RebootWindows(true);
end.

2.Потом второй скрипт

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 ClearQuarantine;
 QuarantineFile('c:\windows\system32\actmovie.dll','');
 QuarantineFile('C:\WINDOWS\userinit.exe','');
 DeleteFile('C:\WINDOWS\userinit.exe');
 DeleteFile('c:\windows\system32\actmovie.dll');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.
Прислать карантин согласно приложения 3 правил .
Загружать по ссылке: http://virusinfo.info/upload_virus.php?tid=11024

3.Пофиксить в HijackThis следующие строчки ( http://virusinfo.info/showthread.php?t=4491 )

O20 - Winlogon Notify: NavLogon - C:\WINDOWS\
O20 - Winlogon Notify: ovrscn - C:\WINDOWS\SYSTEM32\ovrscn.dll

4.после выполните снова логи и прикрепите файлик boot_del.log из директории AVZ.

[Keo]

А удалять файлы и выполнять скрипты в каком режиме надо делать? В безопасном или обычном? И после первого скрипта машина перезагрузится это правильно?

[Muzzle]

Скрипты выполнять в обычном режиме,после обоих скриптов машина перезагрузиться.

[Keo]

Отправил новый карантин и прикрепил новый лог от hijacka. Вроде все вычистилось.... не знаю правда надолго?


(( сеть 30 компов пришел 2 недели назад, никакой централизации.... из машин и ОС зоопарк... ужасть... не знаю за что хвататся....

делаю образ SP2 с новыми обновлениями, думаю ставить на все чистую установку.... может поможет...

[Muzzle]

c:\windows\system32\actmovie.dll - инфицирован Trojan-Spy.Win32.BZub.bm
C:\WINDOWS\userinit.exe - инфицирован Backdoor.Win32.Haxdoor.kz
(по Касперскому)
они должны были удалиться после скрипта.Вы искали файлы которые я просил?
И где новые логи?(нужны все три)
а boot_del.log тоже потеряли?

[Keo]

Файлы искал, таких файлов нет ни одного. (Возможно из за Симантека)

Логи прикрепил. правильно? Все?

Еще раз спасибо...

[Muzzle]

Главное мы сделали логи чистые,осталось только почистить мусор
пофиксите

O16 - DPF: {D30CA0FD-1CA0-11D4-AC78-006008A9A8BC} (WebBasedClientInstall Class) - file://\IsaVPHOMECLT-INSTWEBINSTwebinst.cab
O20 - Winlogon Notify: ovrscn - C:\WINDOWS\

Checkcfg - сами устанавливали?

[Keo]

Checkcfg сами.

остальное почищу...

Огромное спасибо!

Только я так и непонял, какой скрипт мне помог? или их все 4 надо запускать по очереди?

[Muzzle]

Помогли все скрипты но для каждой проблемы они индивидуальны!
Рекомендую работать под пользователем с ограниченными правами.
По возможности не использовать Internet Explorer,а пользоваться другими браузерам,например Opera,Firefox (с отключенными java скриптами)
Советуем прочитать электронную книгу)"Безопасный Интернет. Универсальная защита для Windows ME - Vista".
Вы можете нас отблагодарить,оказав нам помощь в сборе базы безопасных файлов. Мы будем Вам очень благодарны!

Удачи!

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 3
• Обработано файлов: 40
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\windows\\system32\\actmovie.dll - Trojan-Spy.Win32.BZub.bm (DrWEB: Trojan.PWS.Tanspy)
  2. c:\\windows\\system32\\ovrscn.dll - Backdoor.Win32.Haxdoor.kz (DrWEB: BackDoor.Haxdoor.440)
  3. c:\\windows\\system32\\qz.dll - Backdoor.Win32.Haxdoor.kz (DrWEB: BackDoor.Haxdoor.440)
  4. c:\\windows\\userinit.exe - Backdoor.Win32.Haxdoor.kz (DrWEB: Trojan.Packed.166)