Показано с 1 по 19 из 19.

Вирус на компьютере, лишённом доступа к интернету (заявка № 120284)

  1. #1
    Junior Member Репутация
    Регистрация
    14.05.2012
    Сообщений
    12
    Вес репутации
    44

    Вирус на компьютере, лишённом доступа к интернету

    Здравствуйте.
    Заразилась система, в которой, предположительно, была отключена автозагрузка с флешек, и хозяин которой говорит, что сторонние программы и файлы в ней не запускались. Стандартное сканирование и проверка в безопасном режиме CureIt-ом (dr.Web) выявило 2-3 вирусных файла (сканировались все диски). Заражение, однако, ликвидировано не было (на подключаемых флешках продолжают появляться скрытые файлы и папки).
    Также хочу попросить вас проверить этот рег-файл, направленный на отключение автозапуска с флешек:
    Windows Registry Editor Version 5.00

    Код:
    [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Cdrom]
    "AutoRun"=dword:00000000
    
    [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer]
    "NoDriveTypeAutoRun"=dword:000000ff
    
    [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\IniFileMapping\Autorun.inf]
    @="@SYS:DoesNotExist"
    
    [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\AutoplayHandlers\CancelAutoplay\Files]
    "*.*"=""
    Правильно ли он составлен? И как можно полноценно и без риска проверить защищённость системы от вирусов (например, правильно ли работают ограниченные учётные записи, вышеизложенные исправления в реестре, SuRun, etc)?

    p.s. Компьютер принадлежит соседу, и доступа к интернету у него нет — я буду переправлять сообщения ему и обратно.logpack01.7zlogpack01.7z

  2. Будь в курсе!
    Реклама на VirusInfo

    Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

    Anti-Malware Telegram
     

  3. #2
    Cyber Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для Info_bot
    Регистрация
    11.05.2011
    Сообщений
    2,287
    Вес репутации
    378
    Уважаемый(ая) DigitalDivide, спасибо за обращение на наш форум!

    Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

    Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

  4. #3
    Невымерший Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для thyrex
    Регистрация
    07.03.2009
    Адрес
    Soligorsk, Belarus
    Сообщений
    99,211
    Вес репутации
    3104
    Выполните скрипт в AVZ
    Код:
    begin
    ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
    ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
    if not IsWOW64
     then
      begin
       SearchRootkit(true, true);
       SetAVZGuardStatus(True);
      end;
    QuarantineFile('C:\Documents and Settings\UserXP\vjksnu.exe','');
     DeleteFile('C:\Documents and Settings\UserXP\vjksnu.exe');
    BC_ImportAll;
    ExecuteSysClean;
    BC_Activate;
    RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Winlogon','Taskman');
    RebootWindows(true);
    end.
    Компьютер перезагрузится.

    Пришлите карантин согласно Приложения 2 правил по красной ссылке Прислать запрошенный карантин вверху темы

    Обновите базы AVZ

    Сделайте новые логи
    Microsoft MVP 2012-2016 Consumer Security
    Microsoft MVP 2016 Reconnect

  5. #4
    Junior Member Репутация
    Регистрация
    14.05.2012
    Сообщений
    12
    Вес репутации
    44
    Извиняюсь за двухнедельную задержку с ответом: сосед был в отпуске, а у меня не было допуска к компьютеру.
    Карантин отправил. Вот свежие логи:
    Вложения Вложения

  6. #5
    Junior Member Репутация
    Регистрация
    14.05.2012
    Сообщений
    12
    Вес репутации
    44
    Цитата Сообщение от DigitalDivide Посмотреть сообщение
    Извиняюсь за двухнедельную задержку с ответом: сосед был в отпуске, а у меня не было допуска к компьютеру.
    Карантин отправил. Вот свежие логи:
    Bump

  7. #6
    Невымерший Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для thyrex
    Регистрация
    07.03.2009
    Адрес
    Soligorsk, Belarus
    Сообщений
    99,211
    Вес репутации
    3104
    Скачайте AVZ 4.39, прикрепите логи в том виде, как они получаются, а не в одном архиве
    Microsoft MVP 2012-2016 Consumer Security
    Microsoft MVP 2016 Reconnect

  8. #7
    Junior Member Репутация
    Регистрация
    14.05.2012
    Сообщений
    12
    Вес репутации
    44
    Вот новые логи.
    Я также удалил несколько строк из автозагрузки и заменил ключ диспетчера задач с ложного файла на C:\WINDOWS\system32\taskman.exe (C:\Documents and Settings\UserXP\app data\urjkje.exe и C:\Documents and Settings\UserXP\app data\selqeq.exe тоже были удалены).
    После этого скрытые папки и файлы на флешках появляться перестали, но в некоторых папках всё ещё есть файлы вида 20.exe, 30.exe, етс; и компьютер всё ещё медленно работает и реагирует.
    Вложения Вложения

  9. #8
    Senior Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для Techno
    Регистрация
    25.08.2009
    Адрес
    Россия
    Сообщений
    10,965
    Вес репутации
    406
    - Выполните в АВЗ:
    Код:
    begin
    SearchRootkit(true, true);
    SetAVZGuardStatus(True);
     QuarantineFile('C:\WINDOWS\system32\65.exe','');
     QuarantineFile('C:\WINDOWS\system32\31.exe','');
     QuarantineFile('C:\WINDOWS\csdrive32.exe','');
     QuarantineFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1830\zaberg.exe','');
     QuarantineFile('C:\Documents and Settings\UserXP\Application Data\Urjkje.exe','');
     DeleteFile('C:\Documents and Settings\UserXP\Application Data\Urjkje.exe');
     RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run-','Urjkje');
     DeleteFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1830\zaberg.exe');
     RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run-','zaber0');
     DeleteFile('C:\WINDOWS\csdrive32.exe');
     RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Microsoft Driver Setup');
     RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','Microsoft Driver Setup');
     DeleteFile('C:\WINDOWS\system32\31.exe');
     DeleteFile('C:\WINDOWS\system32\65.exe');
    BC_ImportAll;
    ExecuteSysClean;
    BC_Activate;
    RebootWindows(true);
    end.
    Компьютер перезагрузится

    После перезагрузки:
    - Выполните в АВЗ:
    Код:
    begin
     CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
    end.
    Файл quarantine.zip из папки AVZ загрузите по ссылке "Прислать запрошенный карантин" вверху темы.

    Установите новый Internet Explorer, а также все доступные обновления для Windows


    - Подключите все зараженные съемные носители и Сделайте лог полного сканирования MBAM.


  10. #9
    Junior Member Репутация
    Регистрация
    14.05.2012
    Сообщений
    12
    Вес репутации
    44
    Вот логи MBAM.
    Карантином отправил файл selqeq.exe.
    В дальнейшем проблем со скоростью реагирования быть не должно. Ещё раз извиняюсь за медлительность и благодарю за терпение.
    Вложения Вложения

  11. #10
    Невымерший Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для thyrex
    Регистрация
    07.03.2009
    Адрес
    Soligorsk, Belarus
    Сообщений
    99,211
    Вес репутации
    3104
    Установите все новые обновления для Windows
    Установите Internet Explorer 8 (даже если им не пользуетесь)

    Удалите в МВАМ только указанные ниже записи
    Код:
    Memory Processes Detected: 1
    C:\WINDOWS\csdrive32.exe (Trojan.Agent.MSGen) -> 1144 -> No action taken.
    
    Registry Keys Detected: 1
    HKLM\System\CurrentControlSet\Enum\Root\LEGACY_WINSPOOLSVC (Trojan.Agent) -> No action taken.
    
    Registry Values Detected: 5
    HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run|zaber0 (Worm.Autorun.B) -> Data: C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1830\zaberg.exe -> No action taken.
    HKCU\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon|Shell (Worm.AutoRun) -> Data: explorer.exe,C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1830\zaberg.exe -> No action taken.
    HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon|Taskman (Trojan.Agent) -> Data: c:\RECYCLER\R-1-5-21-1482476501-1644491937-682003330-1013\avmsc.exe -> No action taken.
    HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run|Microsoft Driver Setup (Trojan.Agent.MSGen) -> Data: C:\WINDOWS\csdrive32.exe -> No action taken.
    HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run|Microsoft Driver Setup (Trojan.Agent.MSGen) -> Data: C:\WINDOWS\csdrive32.exe -> No action taken.
    
    Registry Data Items Detected: 5
    HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon|Taskman (Worm.AutoRun.Gen) -> Bad: (c:\RECYCLER\R-1-5-21-1482476501-1644491937-682003330-1013\avmsc.exe) Good: () -> No action taken.
    HKCU\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon|Shell (Hijack.Shell) -> Bad: (explorer.exe,C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1830\zaberg.exe) Good: (Explorer.exe) -> No action taken.
    
    Folders Detected: 2
    C:\RECYCLER\R-1-5-21-1482476501-1644491937-682003330-1013 (Worm.AutoRun.Gen) -> No action taken.
    C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1830 (Worm.AutoRun) -> No action taken.
    
    Files Detected: 12
    C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1830\zaberg.exe (Worm.Autorun.B) -> No action taken.
    C:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5\80JTUMEX\x[1] (Malware.Packer.Krunchy) -> No action taken.
    C:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5\SD23WPQ7\x[1] (Malware.Packer.u64) -> No action taken.
    C:\Documents and Settings\UserXP\Application Data\94.exe (Trojan.Banker) -> No action taken.
    C:\Documents and Settings\UserXP\Application Data\95.exe (Trojan.Banker) -> No action taken.
    C:\WINDOWS\csdrive32.exe (Trojan.Agent.MSGen) -> No action taken.
    C:\RECYCLER\R-1-5-21-1482476501-1644491937-682003330-1013\avmsc.exe (Worm.AutoRun.Gen) -> No action taken.
    C:\RECYCLER\R-1-5-21-1482476501-1644491937-682003330-1013\Desktop.ini (Worm.AutoRun.Gen) -> No action taken.
    C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1830\Desktop.ini (Worm.AutoRun) -> No action taken.
    Microsoft MVP 2012-2016 Consumer Security
    Microsoft MVP 2016 Reconnect

  12. Это понравилось:


  13. #11
    Junior Member Репутация
    Регистрация
    14.05.2012
    Сообщений
    12
    Вес репутации
    44
    IE- и WinUpdate я установил в прошлый раз.
    Кроме
    Код:
    HKLM\System\CurrentControlSet\Enum\Root\LEGACY_WINSPOOLSVC (Trojan.Agent)
    всё (кажется) удалось удалить.
    Завтра сделаю новые логи MBAM. На что ещё нужно обратить внимание?

  14. #12
    Невымерший Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для thyrex
    Регистрация
    07.03.2009
    Адрес
    Soligorsk, Belarus
    Сообщений
    99,211
    Вес репутации
    3104
    Пока ждем лог
    Microsoft MVP 2012-2016 Consumer Security
    Microsoft MVP 2016 Reconnect

  15. Это понравилось:


  16. #13
    Junior Member Репутация
    Регистрация
    14.05.2012
    Сообщений
    12
    Вес репутации
    44
    На этот раз я ничего трогать не стал.
    Кстати, небольшой вопрос — есть ли смысл сканировать сразу все диски или на поздних этапах можно ограничиваться только системным диском (C)? Спрашиваю потому, что комп старенький, и сканирование всех дисков подряд занимает значительно больше времени.
    Вложения Вложения

  17. #14
    Senior Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для Techno
    Регистрация
    25.08.2009
    Адрес
    Россия
    Сообщений
    10,965
    Вес репутации
    406
    Удалите в MBAM:
    Код:
    HKLM\System\CurrentControlSet\Enum\Root\LEGACY_WINSPOOLSVC (Trojan.Agent) -> No action taken.
    
    C:\RECYCLER\R-1-5-21-1482476501-1644491937-682003330-1013 (Worm.AutoRun.Gen) -> No action taken.
    C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1830 (Worm.AutoRun) -> No action taken.
    
    
    C:\Documents and Settings\UserXP\Local Settings\Temp\KMP_3.2.0.0.exe (PUP.ToolbarDownloader) -> No action taken.
    C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1830\zaberg.exe (Worm.Autorun.B) -> No action taken.
    
    C:\RECYCLER\R-1-5-21-1482476501-1644491937-682003330-1013\Desktop.ini (Worm.AutoRun.Gen) -> No action taken.
    C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1830\Desktop.ini (Worm.AutoRun) -> No action taken.
    Сколько Вам надо еще раз сказать, чтобы Вы обновления поставили??? Или мы будем бесконечно Ваш компьютер лечить?

    Желательно все диски сканировать...


  18. #15
    Junior Member Репутация
    Регистрация
    14.05.2012
    Сообщений
    12
    Вес репутации
    44
    Компьютер чист, спасибо вам за вашу помощь.
    MBAB нашёл только это.
    Код:
    HKLM\SOFTWARE\Microsoft\Security Center|AntiVirusDisableNotify (PUM.Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> No action taken.
    HKLM\SOFTWARE\Microsoft\Security Center|FirewallDisableNotify (PUM.Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> No action taken.
    HKLM\SOFTWARE\Microsoft\Security Center|UpdatesDisableNotify (PUM.Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> No action taken.
    C:\Documents and Settings\UserXP\Local Settings\Temp\KMP_3.2.0.0.exe (PUP.ToolbarDownloader) -> No action taken.
    IE и обновления Windows тоже поставил. Я их пытался ставить после этого сообщения, но не заметил, что они не установились. Кстати, можете сказать как они сумеют защитить, если ничего кроме них (и антивирусов) на компьютере сделано не будет? Пользователь ведь всё равно может скачать что-то и самостоятельно установить, не поняв что делает.

  19. #16
    Невымерший Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для thyrex
    Регистрация
    07.03.2009
    Адрес
    Soligorsk, Belarus
    Сообщений
    99,211
    Вес репутации
    3104
    Цитата Сообщение от DigitalDivide Посмотреть сообщение
    можете сказать как они сумеют защитить, если ничего кроме них (и антивирусов) на компьютере сделано не будет?
    Вы же не оставляете дверь в квартиру открытой, когда куда-то уходите.

    Так и установка обновлений позоляет закрыть дыры в безопасности системы
    Microsoft MVP 2012-2016 Consumer Security
    Microsoft MVP 2016 Reconnect

  20. Это понравилось:


  21. #17
    Junior Member Репутация
    Регистрация
    14.05.2012
    Сообщений
    12
    Вес репутации
    44
    Это-то понятно.
    Мне скорее трудно, как рядовому юзеру, понять, насколько масштабными являются эти дыры в сравнении с «дырами» в человеческом поведении (человеческий фактор). То есть, какова степень риска этих системных дыр, если в качестве сравнения иметь человека, который может скачать и собственноручно активировать заражённый варёз не с того сайта (и не с того браузера) или повестись на поздравление по случаю миллионного посещения.
    правка: извиняюсь, если вопрос где-то уже задавался

  22. #18
    Невымерший Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для thyrex
    Регистрация
    07.03.2009
    Адрес
    Soligorsk, Belarus
    Сообщений
    99,211
    Вес репутации
    3104
    Против человеческого фактора любая степень безопасности бессильна
    Microsoft MVP 2012-2016 Consumer Security
    Microsoft MVP 2016 Reconnect

  23. #19
    Cybernetic Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    29.12.2008
    Сообщений
    48,233
    Вес репутации
    977

    Итог лечения

    Статистика проведенного лечения:
    • Получено карантинов: 2
    • Обработано файлов: 3
    • В ходе лечения обнаружены вредоносные программы:
      1. \\quarantine\\selqeq.exe - HEUR:Worm.Win32.Generic ( DrWEB: Win32.HLLW.Autoruner.44048, BitDefender: Gen:Variant.Barys.4479, AVAST4: Win32:FoldRun-F [Trj] )


  • Уважаемый(ая) DigitalDivide, наши специалисты оказали Вам всю возможную помощь по вашему обращению.

    В целях поддержания безопасности вашего компьютера настоятельно рекомендуем:

     

     

    Чтобы всегда быть в курсе актуальных угроз в области информационной безопасности и сохранять свой компьютер защищенным, рекомендуем следить за последними новостями ИТ-сферы портала Anti-Malware.ru:

     

     

    Anti-Malware VK

     

    Anti-Malware Telegram

     

     

    Надеемся больше никогда не увидеть ваш компьютер зараженным!

     

    Если Вас не затруднит, пополните пожалуйста нашу базу безопасных файлов.

  • Похожие темы

    1. Ответов: 6
      Последнее сообщение: 20.03.2012, 05:18
    2. Нет доступа к интернету
      От Jen2011 в разделе Помогите!
      Ответов: 4
      Последнее сообщение: 12.01.2011, 17:25
    3. Ответов: 10
      Последнее сообщение: 16.03.2010, 17:24
    4. Программы не имеют доступа к интернету
      От alien_sk8er в разделе Помогите!
      Ответов: 5
      Последнее сообщение: 12.06.2009, 14:22
    5. Запрет доступа к интернету
      От elpago в разделе Microsoft Windows
      Ответов: 7
      Последнее сообщение: 16.12.2008, 21:57

    Метки для этой темы

    Свернуть/Развернуть Ваши права в разделе

    • Вы не можете создавать новые темы
    • Вы не можете отвечать в темах
    • Вы не можете прикреплять вложения
    • Вы не можете редактировать свои сообщения
    •  
    Page generated in 0.00006 seconds with 18 queries