что-то подцепил

**Vladneg** · 10.09.2007, 01:08

Уважаемые эксперты, помогите "вылечиться".
Ситуация: WindowsXP Prof SP2 (в защищенном режиме не стартует, нет ни одной точки сохранения), Касперский 5 (kav.exe пропал, даже если создать файл с именем kav.exe и попытаться запустить, то он удаляется). Internet Explorer 6 (сразу виснет).
Вторая операционка Windows 2003, уже давно не запускал.

Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

**Bratez** · 10.09.2007, 02:56

Выполните скрипт в AVZ:

Код:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\svchost.exe','');
 QuarantineFile('c:\windows\system32\drivers\hidr.exe','');
 QuarantineFile('c:\documents and settings\nvm\application data\m\flec006.exe','');
 QuarantineFile('C:\WINDOWS\SYSTEM32\ftpsapi232.dll','');
 QuarantineFile('C:\WINDOWS\copyfstq.exe','');
 DeleteFile('c:\windows\system32\drivers\hidr.exe');
 DeleteFile('C:\WINDOWS\svchost.exe');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.
Пришлите карантин согласно приложению 3 правил.

**Vladneg** · 11.09.2007, 00:05

Выполнил. Посылаю "карантин". (Переписку веду с другого компьютера.)
Выкладывать карантин запрещено. Читайте правила.
Выложил его за вас.
Файл сохранён как 070910_133146_virus_46e58d921f31b.zip
Размер файла 32353
MD5 ce30183edc14eb7eab9353b4ff10e996

Добавлено через 2 часа 9 минут

А что было не так? Я создал zip-файл в AVZ, как указано в правилах. И вложил в "Управление вложениями".

**drongo** · 11.09.2007, 00:07

Сообщение от Vladneg

И вложил в "Управление вложениями".

вот это не то

Правила нужно внимательней прочитать .

**Alex_Goodwin** · 11.09.2007, 00:26

И вложил в "Управление вложениями".

хотя сказано, что надо отправить!

**Vladneg** · 11.09.2007, 00:27

Семён Семёныч!..

**drongo** · 11.09.2007, 00:30

бабе цветы, детям мороженное

**Alex_Goodwin** · 11.09.2007, 00:36

Проехали, ждем ответа вирлаба. Карантин я за вас уже выложил, так что не закачивайте теперь

**Vladneg** · 11.09.2007, 22:57

может я могу предоставить еще какую-то информацию?

**V_Bond** · 12.09.2007, 00:52

из попавших в карантин ...
C:\WINDOWS\SYSTEM32\ftpsapi232.dll Trojan.Win32.Agent.bjs (свежий совсем)
C:\WINDOWS\copyfstq.exe -чистый
выполните скрипт....

Код:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\WINDOWS\SYSTEM32\ftpsapi232.dll');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

flec006.exe -попробуйте поискать через AVZ - поиск файлов на диске ... если найдется пришлите по правилам...
повторите логи...

**Vladneg** · 12.09.2007, 02:58

Сделал.

**Bratez** · 12.09.2007, 03:21

В AVZ включите AVZPM, перезагрузитесь и сделайте логи заново,
+ дополнительный лог.

**Vladneg** · 12.09.2007, 23:00

Сделано.

**V_Bond** · 12.09.2007, 23:29

пофиксите...

Код:

O20 - Winlogon Notify: ftpsapi232 - ftpsapi232.dll (file missing)

выполните скрипт...

Код:

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(true);
 QuarantineFile('C:\WINDOWS\system32\drivers\srosa.sys','');
 QuarantineFile('\WINDOWS\system32\ntoskrnl.exe','');
 QuarantineFile('c:\windows\system32\wintems.exe','');
 QuarantineFile('c:\windows\system32\drivers\hidr.exe','');
 DeleteFile('C:\WINDOWS\SYSTEM32\ftpsapi232.dll');
 DeleteFile('c:\windows\system32\drivers\hidr.exe');
 DeleteFile('c:\windows\system32\wintems.exe');
 BC_ImportAll;
 BC_Activate;
 ExecuteSysClean;
 RebootWindows(true);
end.

пришлите карантин согласно приложения 3 правил...

**PavelA** · 13.09.2007, 10:23

Vladneg, готовьте диск с дистрибутивом. Может понадобиться,
не для переустановки ХР.

**Vladneg** · 13.09.2007, 22:49

Все сделал. Карантин отправил.

**PavelA** · 14.09.2007, 10:06

C:\WINDOWS\system32\drivers\srosa.sys - Email-Worm.Win32.Bagle.jo(по Касперскому)
Выполнить скрипт:

Код:

begin
 BC_DeleteFile('C:\WINDOWS\system32\drivers\srosa.sys');
 BC_DeleteSvc('srosa');                                      
 BC_Activate;
 RebootWindows(true);
end.

Прислать комплект логов +доп.лог.

**Vladneg** · 14.09.2007, 22:56

Сделал.

**V_Bond** · 14.09.2007, 23:29

Сообщение от PavelA

Vladneg, готовьте диск с дистрибутивом. Может понадобиться,
не для переустановки ХР.

выполните скрипт....

Код:

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(true);
 DeleteFile('c:\documents and settings\nvm\application data\m\flec006.exe');
 DeleteFile('\Device\HarddiskVolume1\Documents and Settings\NVM\Application Data\m\flec006.exe');
 DeleteFile('\Device\HarddiskVolume1\WINDOWS\system32\drivers\hidr.exe');
 DeleteFile('c:\windows\system32\drivers\hidr.exe');
 DeleteFile('C:\WINDOWS\system32\drivers\srosa.sys');
 BC_DeleteSvc('srosa');   
 DeleteFile('C:\WINDOWS\svchost');     
 BC_ImportDeletedList;
 BC_Activate;
 ExecuteSysClean;
 RebootWindows(true);
end.

**Vladneg** · 15.09.2007, 20:16

Сделал. После окончания скрипта комп повис. Голый экран с обоями и никакой реакции. Минут через 10 сам перегрузился. Я для проверки создал текстовый файл "kav.exe", попытался запустить, файл мгновенно исчез. В защищенном режиме не загружается.
?