Страница 1 из 2 12 Последняя
Показано с 1 по 20 из 29.

Трояны после переустановки системы (заявка № 12451)

  1. #1
    Junior Member Репутация
    Регистрация
    18.01.2007
    Сообщений
    91
    Вес репутации
    37

    Thumbs up Трояны после переустановки системы

    После заражения троянами, была переустановлена система. Потом отсканировал её антивирусом NOD32, который продолжает находить вирусы, в том числе и в оперативной памяти. Некоторые файлы NOD удалил, некоторые отправил в карантин.
    E:\autorun.inf Win32/PSW.Agent.NDP trojan
    D:\autorun.inf Win32/PSW.Agent.NDP trojan
    C:\autorun.inf Win32/PSW.Agent.NDP trojan
    и другие
    Это офисный запущенный компьютер без внимательного хозяина. Помогите разобраться. Посмотрите, пожалуйста, логи. Спасибо.
    Вложения Вложения

  2. Реклама
     

  3. #2
    Global Moderator Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    12.10.2004
    Адрес
    Смоленск
    Сообщений
    6,179
    Вес репутации
    3380
    Выполните скрипт AVZ (при отключенном мониторе NOD32):
    Код:
    begin
     QuarantineFile('C:\WINDOWS\system32\avpo.exe','');
     QuarantineFile('C:\WINDOWS\system32\wincab.sys','');
     QuarantineFile('\SystemRoot\System32\Drivers\aagz1p0z.SYS','');
     QuarantineFile('C:\WINDOWS\system32\avpo0.dll','');
     BC_ImportAll;
     BC_Activate;
     RebootWindows(true);
    end.
    и пришлите согласно правилам содержимое карантина

  4. #3
    Junior Member Репутация
    Регистрация
    18.01.2007
    Сообщений
    91
    Вес репутации
    37
    Скрипт выполнил успешно. Выслал по правилам карантин
    Файл сохранён как
    070914_061740_virus_46ea6dd4a78d3.zip

    Размер файла181922
    MD5
    4725278f6a61c7ab8ded5d3b427f7748


    Жду дальнейших указаний

    Добавлено через 1 минуту

    Виноват, не отключил NOD32. Повторить скрипт?

    Добавлено через 1 час 26 минут

    Еще раз выполнил скрипт при выключенном NOD и снова выслал карантин.
    Файл сохранён как 070914_074744_virus_46ea82f026881.zip
    Размер файла 2311
    MD5 2b50b6b0fe12de9759691afdba3d4eca
    Последний раз редактировалось zmirno; 14.09.2007 в 16:49. Причина: Добавлено

  5. #4
    VIP Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    07.07.2005
    Адрес
    Moscow region
    Сообщений
    30,463
    Вес репутации
    2495
    Карантины пустые. Нод, наверное, постарался.

    Выполнять в Safe Mode при выключенном антивирусе.
    Код:
    begin
     Clearquarantine;
     QuarantineFile('C:\WINDOWS\system32\avpo.exe','');
     QuarantineFile('C:\WINDOWS\system32\wincab.sys','');
     QuarantineFile('\SystemRoot\System32\Drivers\aagz1p0z.SYS','');
     QuarantineFile('C:\WINDOWS\system32\avpo0.dll','');
     BC_ImportAll;
     BC_Activate;
     RebootWindows(true);
    end.
    Павел
    AVZ HijackThis помощь с 10-00 до 18-00МСК

    Windows7, SEP(work)
    WindowsXP KIS(home)

    На up не реагирую

  6. #5
    Junior Member Репутация
    Регистрация
    18.01.2007
    Сообщений
    91
    Вес репутации
    37
    Выполнил все в безопасном режиме, выслал карантин.
    Получилось

    Файл сохранён как 070914_090831_virus_46ea95df4ca5a.zip
    Размер файла 2311
    MD5 ce259f975cebc10c7d0246ca69909dc6

  7. #6
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для AndreyKa
    Регистрация
    08.01.2005
    Адрес
    Россия
    Сообщений
    13,624
    Вес репутации
    1287
    Цитата Сообщение от zmirno Посмотреть сообщение
    выслал карантин.
    Снова пусто.

  8. #7
    Junior Member Репутация
    Регистрация
    18.01.2007
    Сообщений
    91
    Вес репутации
    37
    Что-нибудь можно предпринять? Добавить файлы в карантин по списку?

  9. #8
    Global Moderator Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    26.12.2006
    Адрес
    Vladivostok
    Сообщений
    23,300
    Вес репутации
    1551
    Похоже всю компанию прикрывает этот wincab.sys.
    Сделайте дополнительный лог в безопасном режиме.
    I am not young enough to know everything...

  10. #9
    VIP Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    07.07.2005
    Адрес
    Moscow region
    Сообщений
    30,463
    Вес репутации
    2495
    Ага. Искать естественно через AVZ.
    Павел
    AVZ HijackThis помощь с 10-00 до 18-00МСК

    Windows7, SEP(work)
    WindowsXP KIS(home)

    На up не реагирую

  11. #10
    Global Moderator Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    26.12.2006
    Адрес
    Vladivostok
    Сообщений
    23,300
    Вес репутации
    1551
    И еще пришлите файлы
    D:\autorun.inf
    E:\autorun.inf
    I am not young enough to know everything...

  12. #11
    Junior Member Репутация
    Регистрация
    18.01.2007
    Сообщений
    91
    Вес репутации
    37
    Выполнил скрипты в безопасном режиме. Высылаю логи.
    Вложения Вложения

  13. #12
    Junior Member Репутация
    Регистрация
    18.01.2007
    Сообщений
    91
    Вес репутации
    37
    Не смог добавить в карантин по списку нужные файлы. Сообщение:

    [IОшибка карантина файла, попытка прямого чтения (D:\autorun.inf)
    Карантин с использованием прямого чтения - ошибка
    Ошибка карантина файла, попытка прямого чтения (E:\autorun.inf)
    Карантин с использованием прямого чтения - ошибка

    и так далее

    Как это сделать правильно?

    Попытался найти файлы через AVZ-сервис-поиск файлов на диске
    Но найдено - 0 файлов
    Последний раз редактировалось zmirno; 14.09.2007 в 18:54.

  14. #13
    Global Moderator Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    26.12.2006
    Адрес
    Vladivostok
    Сообщений
    23,300
    Вес репутации
    1551
    Нет его в драйверах! Вот чудо в перьях
    Кстати, только сейчас заметил, что в скриптах карантина выше не был включен антируткит! Давайте попробуем такой скрипт:
    Код:
    begin
    ClearQuarantine;
    SearchRootkit(true, true);
    SetAVZGuardStatus(True);
     QuarantineFile('C:\WINDOWS\system32\avpo.exe','');
     QuarantineFile('C:\WINDOWS\system32\wincab.sys','');
     QuarantineFile('C:\WINDOWS\system32\avpo0.dll','');
     QuarantineFile('C:\WINDOWS\System32\Drivers\AC2003.sys','');
     QuarantineFile('D:\autorun.inf','');
     QuarantineFile('E:\autorun.inf','');
    BC_ImportQuarantineList;
    BC_Activate;
    RebootWindows(true);
    end.
    Может теперь что-то поймается?
    Последний раз редактировалось Bratez; 14.09.2007 в 19:02. Причина: добавил
    I am not young enough to know everything...

  15. #14
    Junior Member Репутация
    Регистрация
    18.01.2007
    Сообщений
    91
    Вес репутации
    37
    Не выполняется скрипт.
    Ошибка - not enough actual parameters в позиции 9:16

  16. #15
    Global Moderator Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    26.12.2006
    Адрес
    Vladivostok
    Сообщений
    23,300
    Вес репутации
    1551
    Исправил, пробуйте снова.
    I am not young enough to know everything...

  17. #16
    Junior Member Репутация
    Регистрация
    18.01.2007
    Сообщений
    91
    Вес репутации
    37
    Скрипт выполнил успешно. Пробую выслать карантин

    Файл сохранён как 070914_100719_virus_46eaa3a7ad794.zip
    Размер файла 5764
    MD5 d07a9a74debbed2470fbae39c3452e27

  18. #17
    Global Moderator Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    26.12.2006
    Адрес
    Vladivostok
    Сообщений
    23,300
    Вес репутации
    1551
    Попал только ac2003.sys (чистый). Может эту троицу НОД уже прибил, а мы зря стараемся. Выполните этот скрипт:
    Код:
    begin
    SearchRootkit(true, true);
    SetAVZGuardStatus(True);
     DeleteFile('C:\WINDOWS\system32\avpo.exe');
     DeleteFile('C:\WINDOWS\system32\wincab.sys');
     DeleteFile('C:\WINDOWS\system32\avpo0.dll');
    BC_ImportDeletedList;
    ExecuteSysClean;
    BC_Activate;
    RebootWindows(true);
    end.
    и сделайте новые логи, как в первом сообщении.
    I am not young enough to know everything...

  19. #18
    Junior Member Репутация
    Регистрация
    18.01.2007
    Сообщений
    91
    Вес репутации
    37
    Выполнил скрипт, сделал логи. Жду результата. Спасибо.

    Взгляните, пожалуйста, на логи.
    Вложения Вложения
    Последний раз редактировалось zmirno; 14.09.2007 в 19:55.

  20. #19
    Senior Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    10.01.2007
    Сообщений
    22,817
    Вес репутации
    1497
    все три явные злодеи ..... на время выполнения скрипта отключите нод ...
    или выполните его в в SAFE MODE ....
    выполните скрипт...
    Код:
    begin
    ClearQuarantine;
    SearchRootkit(true, true);
    SetAVZGuardStatus(True);
     QuarantineFile('C:\autorun.inf','');
     QuarantineFile('D:\autorun.inf','');
     QuarantineFile('E:\autorun.inf','');
    BC_ImportQuarantineList;
    BC_Activate;
    RebootWindows(true);
    end.
    пришлите карантин согласно приложения 3 правил ...

  21. #20
    Junior Member Репутация
    Регистрация
    18.01.2007
    Сообщений
    91
    Вес репутации
    37
    Пока ожидал помощи, выполнил сканирование NOD. В протоколе:

    C:\autorun.inf - Win32/PSW.Agent.NDP trojan – deleted

    C:\System Volume Information\_restore{F1092840-5CEE-44D4-A422-AA4360C3521D}\RP1\A0000003.inf - Win32/PSW.Agent.NDP trojan – deleted

    D:\autorun.inf - Win32/PSW.Agent.NDP trojan – deleted

    D:\System Volume Information\_restore{F1092840-5CEE-44D4-A422-AA4360C3521D}\RP1\A0000007.inf - Win32/PSW.Agent.NDP trojan – deleted

    D:\warez\supervisor.zip »ZIP »supervisor/provider.exe - probably unknown NewHeur_PE virus – скопирован в карантин

    E:\autorun.inf - Win32/PSW.Agent.NDP trojan – deleted

    E:\System Volume Information\_restore{F1092840-5CEE-44D4-A422-AA4360C3521D}\RP1\A0000008.inf - Win32/PSW.Agent.NDP trojan – deleted

    E:\Мои документы\Володина\Тема\SOS\avz4\Quarantine\2007-09-14\bcqr00011.dta - Win32/PSW.Agent.NDP trojan – deleted

    E:\Мои документы\Володина\Тема\SOS\avz4\Quarantine\2007-09-14\bcqr00012.dta - Win32/PSW.Agent.NDP trojan - deleted

    Выполнил скрипт в AVZ c выключенным NOD, посылаю карантин, но, кажется, он пустой.

    Файл сохранён как 070914_114110_virus_46eab9a6b601c.zip
    Размер файла 1636
    MD5 83c2b7ea0b126e51f82820a9479111c7


    Ответ смогу посмотреть только завтра. Спасибо за помощь.

  • Уважаемый(ая) zmirno, наши специалисты оказали Вам всю возможную помощь по вашему обращению.

    В целях поддержания безопасности вашего компьютера настоятельно рекомендуем:


    Надеемся больше никогда не увидеть ваш компьютер зараженным!

    Если Вас не затруднит, пополните пожалуйста нашу базу безопасных файлов.
  • Присоединяйтесь к нам в соцсетях!

    Мы делаем все возможное, чтобы помогать людям в защите и лечении компьютеров.

    Страница 1 из 2 12 Последняя

    Похожие темы

    1. Ответов: 2
      Последнее сообщение: 03.12.2011, 23:55
    2. Ответов: 8
      Последнее сообщение: 01.07.2011, 00:19
    3. После переустановки операционной системы (заявка №4584)
      От CyberHelper в разделе Отчеты сервиса лечения VirusInfo
      Ответов: 3
      Последнее сообщение: 12.02.2010, 00:01
    4. Ответов: 1
      Последнее сообщение: 16.03.2009, 13:06
    5. Трояны! Вылетает Opera после переустановки!
      От Vanhelsing в разделе Помогите!
      Ответов: 11
      Последнее сообщение: 22.02.2009, 01:46

    Свернуть/Развернуть Ваши права в разделе

    • Вы не можете создавать новые темы
    • Вы не можете отвечать в темах
    • Вы не можете прикреплять вложения
    • Вы не можете редактировать свои сообщения
    •  
    Page generated in 0.00614 seconds with 24 queries