лечить Трояны Qhost и др.

[Vovan07]

Добрый день!
Периодически появляется сообщение:
Warning! Potencial Spyware Operation:
Your computer is making unauthorized copies of your system
ad Internet files......
Click Yes to download spyware remover.
Кроме того, NOD ловит Qhost, а также не запускается опция "Свойства" в "Мой компьютер" ( по этой причине не могу убедиться, что "Восстановление системы" отключено - отключал ранее), не могу запустить "Панель управления". Попытка восстановить способами, указанными на Вашем сайте не дает результата.
Помогите, пожалуйста!

[RiC]

http://virusinfo.info/showthread.php?t=1235

[drongo]

Уже не первый раз на форуме , с прошлого раза надо было понять что под админом нельзя сидеть в инете .А логи где?

[Vovan07]

Извиняюсь, логи добавил

[Bratez]

Пофиксите в HijackThis:

F2 - REG:system.ini: Shell=Explorer.exe C:\WINDOWS\system32\printer.exe
O4 - HKLM\..\Run: [WinAVX] C:\WINDOWS\system32\WinAvXX.exe
O4 - HKCU\..\Run: [WinAVX] C:\WINDOWS\system32\WinAvXX.exe
O4 - Startup: system.exe
O4 - Global Startup: autorun.exe

Выполните скрипт в AVZ:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\system32\WinAvXX.exe','');
 QuarantineFile('C:\WINDOWS\system32\printer.exe','');
 DeleteFile('C:\WINDOWS\system32\printer.exe');
 DeleteFile('C:\WINDOWS\system32\WinAvXX.exe');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Пришлите карантин согласно приложению 3 правил.
Сделайте новые логи.

Добавлено через 3 минуты

Дополнение:
после скрипта сделайте в AVZ: Файл - Восстановление системы - п.17 - Выполнить.

[Vovan07]

ВЫсылаю карантин и новые логи

Неправильно отправил карантин... Присылать по правилам?

[drongo]

карантин -> http://virusinfo.info/upload_virus.php?tid=13006

[Vovan07]

Загрузил карантин по правилам

[Bratez]

AVZ - Восстановление системы - п.17 выполнили?
Remote Administrator сами ставили?

Из этого списка что-то реально используется? -

>> Службы: разрешена потенциально опасная служба TermService (Службы терминалов)
>> Службы: разрешена потенциально опасная служба SSDPSRV (Служба обнаружения SSDP)
>> Службы: разрешена потенциально опасная служба Schedule (Планировщик заданий)
>> Службы: разрешена потенциально опасная служба mnmsrvc (NetMeeting Remote Desktop Sharing)
>> Службы: разрешена потенциально опасная служба RDSessMgr (Диспетчер сеанса справки для удаленного рабочего стола)
> Службы: обратите внимание - набор применяемых на ПК служб зависит от области применения ПК (домашний, ПК в ЛВС компании ...)!
>> Безопасность: разрешен автозапуск программ с CDROM
>> Безопасность: разрешен административный доступ к локальным дискам (C$, D$ ...)
>> Безопасность: к ПК разрешен доступ анонимного пользователя
>> Безопасность: Разрешена отправка приглашений удаленному помошнику

[Vovan07]

AVZ - Восстановление системы - п.17 - выполнил
Remote Administrator сам ставил.

По указанному списку могу сказать только, что если эти службы не являются частью Remote Administrator, то они не используются

[PavelA]

После перезагрузок опять проблемы не начались? Еще разок лог HijackThis сделай.

[Vovan07]

После перезагрузки симптомов заражения нет. Высылаю новый лог.

[PavelA]

Да-аа. Действительно, чисто.

[Vovan07]

Всем спасибо за решение проблемы

[Muzzle]

Советую работать за компьютером под пользователем с ограниченными правами.
По возможности не пользоваться Internet Explorer,а использовать альтернативные браузеры,например Firefox,Opera(с отключёнными java скриптами,разрешать их выполнение только для доверенных сайтов)
Советую прочитать электронную книгу "Безопасный Интернет. Универсальная защита для Windows ME - Vista".

Вы можете нас отблагодарить, оказав нам помощь в сборе базы безопасных файлов. Мы будем Вам очень благодарны!

Удачи!

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 6
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\windows\\system32\\printer.exe - Trojan.Win32.Qhost.po (DrWEB: Trojan.Fakealert.357)
  2. c:\\windows\\system32\\winavxx.exe - Trojan.Win32.Qhost.po (DrWEB: Trojan.Fakealert.357)