Показано с 1 по 19 из 19.

Вирус на компьютере, лишённом доступа к интернету (заявка № 120284)

  1. #1
    Junior Member Репутация
    Регистрация
    14.05.2012
    Сообщений
    12
    Вес репутации
    17

    Вирус на компьютере, лишённом доступа к интернету

    Здравствуйте.
    Заразилась система, в которой, предположительно, была отключена автозагрузка с флешек, и хозяин которой говорит, что сторонние программы и файлы в ней не запускались. Стандартное сканирование и проверка в безопасном режиме CureIt-ом (dr.Web) выявило 2-3 вирусных файла (сканировались все диски). Заражение, однако, ликвидировано не было (на подключаемых флешках продолжают появляться скрытые файлы и папки).
    Также хочу попросить вас проверить этот рег-файл, направленный на отключение автозапуска с флешек:
    Windows Registry Editor Version 5.00

    Код:
    [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Cdrom]
    "AutoRun"=dword:00000000
    
    [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer]
    "NoDriveTypeAutoRun"=dword:000000ff
    
    [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\IniFileMapping\Autorun.inf]
    @="@SYS:DoesNotExist"
    
    [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\AutoplayHandlers\CancelAutoplay\Files]
    "*.*"=""
    Правильно ли он составлен? И как можно полноценно и без риска проверить защищённость системы от вирусов (например, правильно ли работают ограниченные учётные записи, вышеизложенные исправления в реестре, SuRun, etc)?

    p.s. Компьютер принадлежит соседу, и доступа к интернету у него нет — я буду переправлять сообщения ему и обратно.logpack01.7zlogpack01.7z

  2. Реклама
     

  3. #2
    Cyber Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для Info_bot
    Регистрация
    11.05.2011
    Сообщений
    2,267
    Вес репутации
    326
    Уважаемый(ая) DigitalDivide, спасибо за обращение на наш форум!

    Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

    Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

  4. #3
    Странствующий хэлпер Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для thyrex
    Регистрация
    07.03.2009
    Адрес
    Soligorsk, Belarus
    Сообщений
    90,523
    Вес репутации
    2915
    Выполните скрипт в AVZ
    Код:
    begin
    ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
    ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
    if not IsWOW64
     then
      begin
       SearchRootkit(true, true);
       SetAVZGuardStatus(True);
      end;
    QuarantineFile('C:\Documents and Settings\UserXP\vjksnu.exe','');
     DeleteFile('C:\Documents and Settings\UserXP\vjksnu.exe');
    BC_ImportAll;
    ExecuteSysClean;
    BC_Activate;
    RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Winlogon','Taskman');
    RebootWindows(true);
    end.
    Компьютер перезагрузится.

    Пришлите карантин согласно Приложения 2 правил по красной ссылке Прислать запрошенный карантин вверху темы

    Обновите базы AVZ

    Сделайте новые логи
    Microsoft MVP 2012, 2013, 2014, 2015, 2016 Consumer Security

  5. #4
    Junior Member Репутация
    Регистрация
    14.05.2012
    Сообщений
    12
    Вес репутации
    17
    Извиняюсь за двухнедельную задержку с ответом: сосед был в отпуске, а у меня не было допуска к компьютеру.
    Карантин отправил. Вот свежие логи:
    Вложения Вложения

  6. #5
    Junior Member Репутация
    Регистрация
    14.05.2012
    Сообщений
    12
    Вес репутации
    17
    Цитата Сообщение от DigitalDivide Посмотреть сообщение
    Извиняюсь за двухнедельную задержку с ответом: сосед был в отпуске, а у меня не было допуска к компьютеру.
    Карантин отправил. Вот свежие логи:
    Bump

  7. #6
    Странствующий хэлпер Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для thyrex
    Регистрация
    07.03.2009
    Адрес
    Soligorsk, Belarus
    Сообщений
    90,523
    Вес репутации
    2915
    Скачайте AVZ 4.39, прикрепите логи в том виде, как они получаются, а не в одном архиве
    Microsoft MVP 2012, 2013, 2014, 2015, 2016 Consumer Security

  8. #7
    Junior Member Репутация
    Регистрация
    14.05.2012
    Сообщений
    12
    Вес репутации
    17
    Вот новые логи.
    Я также удалил несколько строк из автозагрузки и заменил ключ диспетчера задач с ложного файла на C:\WINDOWS\system32\taskman.exe (C:\Documents and Settings\UserXP\app data\urjkje.exe и C:\Documents and Settings\UserXP\app data\selqeq.exe тоже были удалены).
    После этого скрытые папки и файлы на флешках появляться перестали, но в некоторых папках всё ещё есть файлы вида 20.exe, 30.exe, етс; и компьютер всё ещё медленно работает и реагирует.
    Вложения Вложения

  9. #8
    Senior Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для Techno
    Регистрация
    25.08.2009
    Адрес
    Россия
    Сообщений
    10,961
    Вес репутации
    379
    - Выполните в АВЗ:
    Код:
    begin
    SearchRootkit(true, true);
    SetAVZGuardStatus(True);
     QuarantineFile('C:\WINDOWS\system32\65.exe','');
     QuarantineFile('C:\WINDOWS\system32\31.exe','');
     QuarantineFile('C:\WINDOWS\csdrive32.exe','');
     QuarantineFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1830\zaberg.exe','');
     QuarantineFile('C:\Documents and Settings\UserXP\Application Data\Urjkje.exe','');
     DeleteFile('C:\Documents and Settings\UserXP\Application Data\Urjkje.exe');
     RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run-','Urjkje');
     DeleteFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1830\zaberg.exe');
     RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run-','zaber0');
     DeleteFile('C:\WINDOWS\csdrive32.exe');
     RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Microsoft Driver Setup');
     RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','Microsoft Driver Setup');
     DeleteFile('C:\WINDOWS\system32\31.exe');
     DeleteFile('C:\WINDOWS\system32\65.exe');
    BC_ImportAll;
    ExecuteSysClean;
    BC_Activate;
    RebootWindows(true);
    end.
    Компьютер перезагрузится

    После перезагрузки:
    - Выполните в АВЗ:
    Код:
    begin
     CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
    end.
    Файл quarantine.zip из папки AVZ загрузите по ссылке "Прислать запрошенный карантин" вверху темы.

    Установите новый Internet Explorer, а также все доступные обновления для Windows


    - Подключите все зараженные съемные носители и Сделайте лог полного сканирования MBAM.


  10. #9
    Junior Member Репутация
    Регистрация
    14.05.2012
    Сообщений
    12
    Вес репутации
    17
    Вот логи MBAM.
    Карантином отправил файл selqeq.exe.
    В дальнейшем проблем со скоростью реагирования быть не должно. Ещё раз извиняюсь за медлительность и благодарю за терпение.
    Вложения Вложения

  11. #10
    Странствующий хэлпер Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для thyrex
    Регистрация
    07.03.2009
    Адрес
    Soligorsk, Belarus
    Сообщений
    90,523
    Вес репутации
    2915
    Установите все новые обновления для Windows
    Установите Internet Explorer 8 (даже если им не пользуетесь)

    Удалите в МВАМ только указанные ниже записи
    Код:
    Memory Processes Detected: 1
    C:\WINDOWS\csdrive32.exe (Trojan.Agent.MSGen) -> 1144 -> No action taken.
    
    Registry Keys Detected: 1
    HKLM\System\CurrentControlSet\Enum\Root\LEGACY_WINSPOOLSVC (Trojan.Agent) -> No action taken.
    
    Registry Values Detected: 5
    HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run|zaber0 (Worm.Autorun.B) -> Data: C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1830\zaberg.exe -> No action taken.
    HKCU\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon|Shell (Worm.AutoRun) -> Data: explorer.exe,C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1830\zaberg.exe -> No action taken.
    HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon|Taskman (Trojan.Agent) -> Data: c:\RECYCLER\R-1-5-21-1482476501-1644491937-682003330-1013\avmsc.exe -> No action taken.
    HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run|Microsoft Driver Setup (Trojan.Agent.MSGen) -> Data: C:\WINDOWS\csdrive32.exe -> No action taken.
    HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run|Microsoft Driver Setup (Trojan.Agent.MSGen) -> Data: C:\WINDOWS\csdrive32.exe -> No action taken.
    
    Registry Data Items Detected: 5
    HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon|Taskman (Worm.AutoRun.Gen) -> Bad: (c:\RECYCLER\R-1-5-21-1482476501-1644491937-682003330-1013\avmsc.exe) Good: () -> No action taken.
    HKCU\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon|Shell (Hijack.Shell) -> Bad: (explorer.exe,C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1830\zaberg.exe) Good: (Explorer.exe) -> No action taken.
    
    Folders Detected: 2
    C:\RECYCLER\R-1-5-21-1482476501-1644491937-682003330-1013 (Worm.AutoRun.Gen) -> No action taken.
    C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1830 (Worm.AutoRun) -> No action taken.
    
    Files Detected: 12
    C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1830\zaberg.exe (Worm.Autorun.B) -> No action taken.
    C:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5\80JTUMEX\x[1] (Malware.Packer.Krunchy) -> No action taken.
    C:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5\SD23WPQ7\x[1] (Malware.Packer.u64) -> No action taken.
    C:\Documents and Settings\UserXP\Application Data\94.exe (Trojan.Banker) -> No action taken.
    C:\Documents and Settings\UserXP\Application Data\95.exe (Trojan.Banker) -> No action taken.
    C:\WINDOWS\csdrive32.exe (Trojan.Agent.MSGen) -> No action taken.
    C:\RECYCLER\R-1-5-21-1482476501-1644491937-682003330-1013\avmsc.exe (Worm.AutoRun.Gen) -> No action taken.
    C:\RECYCLER\R-1-5-21-1482476501-1644491937-682003330-1013\Desktop.ini (Worm.AutoRun.Gen) -> No action taken.
    C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1830\Desktop.ini (Worm.AutoRun) -> No action taken.
    Microsoft MVP 2012, 2013, 2014, 2015, 2016 Consumer Security

  12. thyrex получил(а) 2 благодарностей за это сообщение от


  13. #11
    Junior Member Репутация
    Регистрация
    14.05.2012
    Сообщений
    12
    Вес репутации
    17
    IE- и WinUpdate я установил в прошлый раз.
    Кроме
    Код:
    HKLM\System\CurrentControlSet\Enum\Root\LEGACY_WINSPOOLSVC (Trojan.Agent)
    всё (кажется) удалось удалить.
    Завтра сделаю новые логи MBAM. На что ещё нужно обратить внимание?

  14. #12
    Странствующий хэлпер Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для thyrex
    Регистрация
    07.03.2009
    Адрес
    Soligorsk, Belarus
    Сообщений
    90,523
    Вес репутации
    2915
    Пока ждем лог
    Microsoft MVP 2012, 2013, 2014, 2015, 2016 Consumer Security

  15. thyrex получил(а) благодарность за это сообщение от


  16. #13
    Junior Member Репутация
    Регистрация
    14.05.2012
    Сообщений
    12
    Вес репутации
    17
    На этот раз я ничего трогать не стал.
    Кстати, небольшой вопрос — есть ли смысл сканировать сразу все диски или на поздних этапах можно ограничиваться только системным диском (C)? Спрашиваю потому, что комп старенький, и сканирование всех дисков подряд занимает значительно больше времени.
    Вложения Вложения

  17. #14
    Senior Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для Techno
    Регистрация
    25.08.2009
    Адрес
    Россия
    Сообщений
    10,961
    Вес репутации
    379
    Удалите в MBAM:
    Код:
    HKLM\System\CurrentControlSet\Enum\Root\LEGACY_WINSPOOLSVC (Trojan.Agent) -> No action taken.
    
    C:\RECYCLER\R-1-5-21-1482476501-1644491937-682003330-1013 (Worm.AutoRun.Gen) -> No action taken.
    C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1830 (Worm.AutoRun) -> No action taken.
    
    
    C:\Documents and Settings\UserXP\Local Settings\Temp\KMP_3.2.0.0.exe (PUP.ToolbarDownloader) -> No action taken.
    C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1830\zaberg.exe (Worm.Autorun.B) -> No action taken.
    
    C:\RECYCLER\R-1-5-21-1482476501-1644491937-682003330-1013\Desktop.ini (Worm.AutoRun.Gen) -> No action taken.
    C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1830\Desktop.ini (Worm.AutoRun) -> No action taken.
    Сколько Вам надо еще раз сказать, чтобы Вы обновления поставили??? Или мы будем бесконечно Ваш компьютер лечить?

    Желательно все диски сканировать...


  18. #15
    Junior Member Репутация
    Регистрация
    14.05.2012
    Сообщений
    12
    Вес репутации
    17
    Компьютер чист, спасибо вам за вашу помощь.
    MBAB нашёл только это.
    Код:
    HKLM\SOFTWARE\Microsoft\Security Center|AntiVirusDisableNotify (PUM.Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> No action taken.
    HKLM\SOFTWARE\Microsoft\Security Center|FirewallDisableNotify (PUM.Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> No action taken.
    HKLM\SOFTWARE\Microsoft\Security Center|UpdatesDisableNotify (PUM.Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> No action taken.
    C:\Documents and Settings\UserXP\Local Settings\Temp\KMP_3.2.0.0.exe (PUP.ToolbarDownloader) -> No action taken.
    IE и обновления Windows тоже поставил. Я их пытался ставить после этого сообщения, но не заметил, что они не установились. Кстати, можете сказать как они сумеют защитить, если ничего кроме них (и антивирусов) на компьютере сделано не будет? Пользователь ведь всё равно может скачать что-то и самостоятельно установить, не поняв что делает.

  19. #16
    Странствующий хэлпер Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для thyrex
    Регистрация
    07.03.2009
    Адрес
    Soligorsk, Belarus
    Сообщений
    90,523
    Вес репутации
    2915
    Цитата Сообщение от DigitalDivide Посмотреть сообщение
    можете сказать как они сумеют защитить, если ничего кроме них (и антивирусов) на компьютере сделано не будет?
    Вы же не оставляете дверь в квартиру открытой, когда куда-то уходите.

    Так и установка обновлений позоляет закрыть дыры в безопасности системы
    Microsoft MVP 2012, 2013, 2014, 2015, 2016 Consumer Security

  20. thyrex получил(а) 2 благодарностей за это сообщение от


  21. #17
    Junior Member Репутация
    Регистрация
    14.05.2012
    Сообщений
    12
    Вес репутации
    17
    Это-то понятно.
    Мне скорее трудно, как рядовому юзеру, понять, насколько масштабными являются эти дыры в сравнении с «дырами» в человеческом поведении (человеческий фактор). То есть, какова степень риска этих системных дыр, если в качестве сравнения иметь человека, который может скачать и собственноручно активировать заражённый варёз не с того сайта (и не с того браузера) или повестись на поздравление по случаю миллионного посещения.
    правка: извиняюсь, если вопрос где-то уже задавался

  22. #18
    Странствующий хэлпер Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для thyrex
    Регистрация
    07.03.2009
    Адрес
    Soligorsk, Belarus
    Сообщений
    90,523
    Вес репутации
    2915
    Против человеческого фактора любая степень безопасности бессильна
    Microsoft MVP 2012, 2013, 2014, 2015, 2016 Consumer Security

  23. #19
    Cybernetic Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    29.12.2008
    Сообщений
    47,530
    Вес репутации
    940

    Итог лечения

    Статистика проведенного лечения:
    • Получено карантинов: 2
    • Обработано файлов: 3
    • В ходе лечения обнаружены вредоносные программы:
      1. \\quarantine\\selqeq.exe - HEUR:Worm.Win32.Generic ( DrWEB: Win32.HLLW.Autoruner.44048, BitDefender: Gen:Variant.Barys.4479, AVAST4: Win32:FoldRun-F [Trj] )


  • Уважаемый(ая) DigitalDivide, наши специалисты оказали Вам всю возможную помощь по вашему обращению.

    В целях поддержания безопасности вашего компьютера настоятельно рекомендуем:


    Надеемся больше никогда не увидеть ваш компьютер зараженным!

    Если Вас не затруднит, пополните пожалуйста нашу базу безопасных файлов.
  • Присоединяйтесь к нам в соцсетях!

    Мы делаем все возможное, чтобы помогать людям в защите и лечении компьютеров.

    Похожие темы

    1. Ответов: 6
      Последнее сообщение: 20.03.2012, 05:18
    2. Нет доступа к интернету
      От Jen2011 в разделе Помогите!
      Ответов: 4
      Последнее сообщение: 12.01.2011, 17:25
    3. Ответов: 10
      Последнее сообщение: 16.03.2010, 17:24
    4. Программы не имеют доступа к интернету
      От alien_sk8er в разделе Помогите!
      Ответов: 5
      Последнее сообщение: 12.06.2009, 14:22
    5. Запрет доступа к интернету
      От elpago в разделе Microsoft Windows
      Ответов: 7
      Последнее сообщение: 16.12.2008, 21:57

    Метки для этой темы

    Свернуть/Развернуть Ваши права в разделе

    • Вы не можете создавать новые темы
    • Вы не можете отвечать в темах
    • Вы не можете прикреплять вложения
    • Вы не можете редактировать свои сообщения
    •  
    Page generated in 0.00351 seconds with 23 queries