Показано с 1 по 19 из 19.

Подцепил вирус HaxDoor Trojan. NOD32 его обнаруживает, но не лечит (заявка № 11862)

  1. #1
    Junior Member Репутация
    Регистрация
    22.08.2007
    Сообщений
    62
    Вес репутации
    34

    Thumbs up Подцепил вирус HaxDoor Trojan. NOD32 его обнаруживает, но не лечит

    Симптомы: NOD32 при проверке компа ругается, что обнаружены файлы ovrscn.dll и ovwscn.sys, зараженные HaxDoor Trojan. После чего выдает запрос на их удаление и вроде бы удаляет, но после перезагрузки все опять повторяется. Также в папке Temp личных настроек юзера появляется exe файл с неким длинным системным названием в фигурных скобках (к сожалению название не записал), также зараженный HaxDoor Trojan. Основная проблема в том, что не могу с этого компа (это мой домашний) выйти в интернет, поскольку сетевое подключение "Локальная сеть" при включении становиться "Недоступно или отсутствует" и отрисовывается с восклицательным знаком. Есть подозрение что это тоже проделки этого вируса.
    Последний раз редактировалось marvak; 24.08.2007 в 11:29.

  2. Реклама
     

  3. #2
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для Muzzle
    Регистрация
    07.02.2007
    Адрес
    Владивосток
    Сообщений
    1,068
    Вес репутации
    62
    1.AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Надать кнопку "Запустить".
    Код:
    begin
    SearchRootkit(true, true);
    SetAVZGuardStatus(True);
     QuarantineFile('r4549w32.dll','');
     QuarantineFile('ovrscn.dll','');
     QuarantineFile('C:\WINDOWS\system32\qz.sys','');
     QuarantineFile('C:\WINDOWS\system32\qz.dll','');
     QuarantineFile('C:\WINDOWS\userinit.exe','');
     QuarantineFile('C:\WINDOWS\system32\ntos.exe','');
     QuarantineFile('C:\WINDOWS\system32\ovwscn.sys','');
     DeleteFile('C:\WINDOWS\system32\ovwscn.sys');
     DeleteFile('C:\WINDOWS\system32\ntos.exe');
     DeleteFile('C:\WINDOWS\system32\rsvp32_2.dll');
     DeleteFile('C:\WINDOWS\userinit.exe');
     DeleteFile('C:\WINDOWS\system32\qz.dll');
     DeleteFile('C:\WINDOWS\system32\qz.sys');
     DeleteFile('C:\WINDOWS\system32\ovrscn.dll');
     DeleteFile('r4549w32.dll');
     ExecuteRepair(14);
    BC_ImportALL;
    ExecuteSysClean;
    BC_Activate;
    RebootWindows(true);
    end.
    После выполнения скрипта компьютер перезагрузится.
    Прислать карантин согласно приложения 3 правил .
    Загружать по ссылке: http://virusinfo.info/upload_virus.php?tid=11862
    Повторите логи
    Внимание если сеть и интернет не будут работать,то воспользуйтесь утилитой WinsockFix,она сбрасывает все настройки на дефолт,поэтому запомните свои.

  4. #3
    Junior Member Репутация
    Регистрация
    22.08.2007
    Сообщений
    62
    Вес репутации
    34

    спасибо, вечером дома проверю, завтра вышлю результаты

    спасибо, вечером дома проверю, завтра вышлю результаты

  5. #4
    Junior Member Репутация
    Регистрация
    22.08.2007
    Сообщений
    62
    Вес репутации
    34

    Сделал как было рекомендовано, результаты прилагаю

    Сделал как было рекомендовано, результаты прилагаю.
    Карантин virus.zip закачал по ссылке http://virusinfo.info/upload_virus.php?tid=11862
    Результат загрузки
    Файл сохранён как070823_065947_virus_46ccf83a05dd6.zipРазмер файла59059MD555731deb79d9448b5ddf90986308642b
    Последний раз редактировалось marvak; 24.08.2007 в 11:29.

  6. #5
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для Muzzle
    Регистрация
    07.02.2007
    Адрес
    Владивосток
    Сообщений
    1,068
    Вес репутации
    62
    1.AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Надать кнопку "Запустить".
    Код:
    begin
    SearchRootkit(true, true);
    SetAVZGuardStatus(True);
     SysCleanAddFile('ovrscn.dll');
    ExecuteRepair(6);
    ExecuteSysClean;
    RebootWindows(true);
    end.
    После выполнения скрипта компьютер перезагрузится.

    2.Пофиксить в HijackThis следующие строчки ( http://virusinfo.info/showthread.php?t=4491 )
    Код:
    O20 - Winlogon Notify: ovrscn - ovrscn.dll (file missing)
    O21 - SSODL: 629953 - {00000969-4321-1234-4321-0A1B2C3D4E99} - (no file)
    Проблема исчезла?Как я понимаю сеть теперь работает?
    Повторите логи.

  7. #6
    Junior Member Репутация
    Регистрация
    22.08.2007
    Сообщений
    62
    Вес репутации
    34

    Сеть вчера не проверял

    Сеть вчера не проверял, но при попытке открыть параметры Брандмауэра, ругается, что "невозможно открыть параметры Брандмауэра по неизвестной причине", сейчас я с работы.
    Рекомендации сделаю, только получится немного с задержкой, т.к. зараженный комп - домашний.
    А утилита, которая фиксит сеть - ее можно запускать независимо от окончания лечения от трояна, или лучше подождать?

  8. #7
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для Muzzle
    Регистрация
    07.02.2007
    Адрес
    Владивосток
    Сообщений
    1,068
    Вес репутации
    62
    Если сети не будет(но судя по логам должна уже работать),то тогда запустите утилиту и если можно скрин ошибки брандмауэра(если она снова будет).

  9. #8
    Junior Member Репутация
    Регистрация
    22.08.2007
    Сообщений
    62
    Вес репутации
    34

    Все, сеть заработала!

    Сеть заработала, после выполнения скриптов и применения winsockxpfix.exe
    Все рекомендации сделал, высылаю логи.
    Брандмауэр не запускается, скриншот ошибки не влез во вложения, в общем вылезает диалоговое окно с заголовком "Брандмауэр Windows", кнопкой "ОК" и текстом "Вследствие неопределенной ошибки не удается отобразить параметры брандмауэра Windows".

  10. #9
    Junior Member Репутация
    Регистрация
    22.08.2007
    Сообщений
    62
    Вес репутации
    34
    кстати, я могу удалить логи от 22 и 21 августа?
    а то места уже нет

  11. #10
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для Muzzle
    Регистрация
    07.02.2007
    Адрес
    Владивосток
    Сообщений
    1,068
    Вес репутации
    62
    В логах всё чисто,вот решение вашей проблемы http://support.microsoft.com/kb/920074/ru
    о результатах сообщите

  12. #11
    Junior Member Репутация
    Регистрация
    22.08.2007
    Сообщений
    62
    Вес репутации
    34

    Проблему с Брандмауэром решил, как и сказано у Майкрософта

    Прблему с брандмауэром решил, все нормально, спасибо. Сеть и интернет заработали.
    Но, кстати при проверке NOD32-ом в папке windows\system32 обнаружился файлик qy.sys зараженный все тем же Haxdoor - ом.
    После удаления и нескольких циклов Перезагрузок/проверок вроде бы больше не появлялся.
    И в папке пользователя local settings\temp был батник с длинным наименованием. после удаления вроде больше не появляется. Логи сегодня сделаю вечером и выложу еще раз.

  13. #12
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для Muzzle
    Регистрация
    07.02.2007
    Адрес
    Владивосток
    Сообщений
    1,068
    Вес репутации
    62
    Ну вот и хорошо,ждём логов,чтоб вынести окончательный вердикт

  14. #13
    Junior Member Репутация
    Регистрация
    22.08.2007
    Сообщений
    62
    Вес репутации
    34

    может это просто неудаленные следы после лечения?

    может это просто неудаленные следы после лечения?

  15. #14
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для Muzzle
    Регистрация
    07.02.2007
    Адрес
    Владивосток
    Сообщений
    1,068
    Вес репутации
    62
    Вот будут логи, тогда и узнаем.

  16. #15
    Junior Member Репутация
    Регистрация
    22.08.2007
    Сообщений
    62
    Вес репутации
    34

    Логи

    Собственно логи

  17. #16
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    03.04.2006
    Сообщений
    21,108
    Вес репутации
    2997
    Цитата Сообщение от marvak Посмотреть сообщение
    Собственно логи
    ...и вроде чистые. Проблема еще присутствует?

  18. #17
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для Muzzle
    Регистрация
    07.02.2007
    Адрес
    Владивосток
    Сообщений
    1,068
    Вес репутации
    62
    Логи чистые,для надёжности можете почистить папку пользователя local settings\temp
    Советую работать за компьютером под пользователем с ограниченными правами.
    По возможности не пользоваться Internet Explorer,а использовать альтернативные браузеры,например Firefox,Opera(с отключёнными java скриптами,разрешать их выполнение только для доверенных сайтов)
    Советую прочитать электронную книгу "Безопасный Интернет. Универсальная защита для Windows ME - Vista".

    Вы можете нас отблагодарить, оказав нам помощь в сборе базы безопасных файлов. Мы будем Вам очень благодарны!

    Удачи!

  19. #18
    Junior Member Репутация
    Регистрация
    22.08.2007
    Сообщений
    62
    Вес репутации
    34

    Большое спасибо!

    Большое спасибо!
    Насчет пополнения базы безопасных файлов - обязательно постараюсь сделать. Удачи Вам в Вашем правом деле!

  20. #19
    Cybernetic Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    29.12.2008
    Сообщений
    47,562
    Вес репутации
    942

    Итог лечения

    Статистика проведенного лечения:
    • Получено карантинов: 1
    • Обработано файлов: 16
    • В ходе лечения обнаружены вредоносные программы:
      1. c:\\windows\\userinit.exe - Backdoor.Win32.Haxdoor.kz (DrWEB: Trojan.Packed.166)


  • Уважаемый(ая) marvak, наши специалисты оказали Вам всю возможную помощь по вашему обращению.

    В целях поддержания безопасности вашего компьютера настоятельно рекомендуем:


    Надеемся больше никогда не увидеть ваш компьютер зараженным!

    Если Вас не затруднит, пополните пожалуйста нашу базу безопасных файлов.
  • Присоединяйтесь к нам в соцсетях!

    Мы делаем все возможное, чтобы помогать людям в защите и лечении компьютеров.

    Похожие темы

    1. Ответов: 5
      Последнее сообщение: 18.10.2011, 12:18
    2. Ответов: 10
      Последнее сообщение: 12.06.2009, 16:45
    3. Похоже подцепил HAXDOOR
      От sunic в разделе Помогите!
      Ответов: 5
      Последнее сообщение: 04.03.2009, 06:33
    4. Ответов: 6
      Последнее сообщение: 22.02.2009, 10:10
    5. Ответов: 8
      Последнее сообщение: 22.02.2009, 02:43

    Свернуть/Развернуть Ваши права в разделе

    • Вы не можете создавать новые темы
    • Вы не можете отвечать в темах
    • Вы не можете прикреплять вложения
    • Вы не можете редактировать свои сообщения
    •  
    Page generated in 0.01003 seconds with 21 queries