sulimo

**vl3** · 16.10.2007, 10:06

здравствуйте подскажите пожалуйста как мне удалить файл sulimo.dat и efsad.dll антивирус обнаружил но удалить не может а также пропала панель управления

Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

**drongo** · 16.10.2007, 10:11

Где 2 лога от avz ?

**vl3** · 16.10.2007, 13:03

извините

**Bratez** · 16.10.2007, 14:24

Пофиксите в HijackThis:

Код:

O2 - BHO: (no name) - {6B93D275-72FF-469D-9A07-0AA5010FDD5B} - C:\WINDOWS\system32\efsad.dll
O20 - AppInit_DLLs: C:\WINDOWS\system32\sulimo.dat

Выполните скрипт в AVZ:

Код:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\ikf32.dll','');
 QuarantineFile('C:\WINDOWS\system32\sulimo.dat','');
 QuarantineFile('C:\WINDOWS\system32\DRIVERS\tcpip.sys','');
 QuarantineFile('C:\WINDOWS\system32\DRIVERS\Qrt52.sys','');
 QuarantineFile('C:\WINDOWS\system32\efsad.dll','');
 DeleteFile('C:\WINDOWS\system32\efsad.dll');
 DeleteFile('C:\WINDOWS\system32\DRIVERS\Qrt52.sys');
 DeleteFile('C:\WINDOWS\system32\sulimo.dat');
 DeleteFile('C:\WINDOWS\ikf32.dll');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.
Пришлите карантин согласно приложению 3 правил.
Сделайте новые логи.

**vl3** · 16.10.2007, 15:46

большое спасибо файлы удалились но панель управления так и не появилась и не могу попасть в настройки постоянно выскакивает окно с сообщением что операции не могут быть выполненны.помогите

**Bratez** · 16.10.2007, 15:58

1. Пофиксите в HijackThis:

Код:

O2 - BHO: (no name) - {6B93D275-72FF-469D-9A07-0AA5010FDD5B} - C:\WINDOWS\system32\efsad.dll (file missing)

2. Очистите корзину.

3. Выполните скрипт в AVZ:

Код:

begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\system32\drivers\symavc32.sys','');
 QuarantineFile('C:\WINDOWS\system32\drivers\utaptytx.dat','');
 DeleteFile('C:\WINDOWS\system32\drivers\symavc32.sys');
BC_ImportALL;
ExecuteSysClean;
ExecuteRepair(5);
ExecuteRepair(6);
ExecuteRepair(8);
ExecuteRepair(13);
BC_Activate;
RebootWindows(true);
end.

4. Новый карантин пришлите по правилам.

**PavelA** · 16.10.2007, 15:59

AVZ -- Восст. системы -- п.5,6,8 отметить -- выполнить.

**vl3** · 16.10.2007, 16:19

ура

всё появилось всё работает огромное спасибо

**Bratez** · 16.10.2007, 16:25

В первом карантине:
sulimo.dat - not-virus:Hoax.Win32.Renos.lq
Qrt52.sys - Rootkit.Win32.Agent.jc
efsad.dll - Trojan.Win32.Delf.aim
symavc32.sys - Rootkit.Win32.Agent.jc
tcpip.sys - чистый.

Добавлено через 2 минуты

Еще не всё! Ждем второй карантин.
utaptytx.dat - похоже свеженький зловред.

**vl3** · 16.10.2007, 16:30

на радостях забыл

высылаю

**Bratez** · 16.10.2007, 16:55

Выполните скрипт в AVZ:

Код:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 DeleteFile('C:\Windows\system32\drivers\utaptytx.dat');
 BC_DeleteFile('C:\Windows\system32\drivers\utaptytx.dat');
 BC_DeleteSvc('krmhbzvc');
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

После перезагрузки сделайте новый комплект логов для контроля.

**vl3** · 16.10.2007, 18:50

новый комплект логов

**PavelA** · 16.10.2007, 18:55

Вот это нужно позакрывать, если не пользуйтесь и все будет Ок.

>> Службы: разрешена потенциально опасная служба RemoteRegistry (Remote Registry)
>> Службы: разрешена потенциально опасная служба TermService (Terminal Services)
>> Службы: разрешена потенциально опасная служба SSDPSRV (SSDP Discovery Service)
>> Службы: разрешена потенциально опасная служба Schedule ()
>> Службы: разрешена потенциально опасная служба mnmsrvc (NetMeeting Remote Desktop Sharing)
>> Службы: разрешена потенциально опасная служба RDSessMgr (Remote Desktop Help Session Manager)
> Службы: обратите внимание - набор применяемых на ПК служб зависит от области применения ПК (домашний, ПК в ЛВС компании ...)!
>> Безопасность: разрешен автозапуск программ с CDROM
>> Безопасность: разрешен административный доступ к локальным дискам (C$, D$ ...)
>> Безопасность: к ПК разрешен доступ анонимного пользователя
>>> Безопасность: В IE разрешен запуск программ и файлов в IFRAME без запроса
>> Безопасность: Разрешена отправка приглашений удаленному помошнику

**vl3** · 16.10.2007, 18:59

огромное спасибо завтра буду разбираться

**Bratez** · 16.10.2007, 18:59

utaptytx.dat - свежачок, будет называться Rootkit.Win32.Agent.kt.
А вот ikf32.dll - вообще супер зверь: на virustotal.com его никто(!) даже не заподозрил, зато из вирлаба пришел ответ "New malicious software", правда название не сообщили, наверно еще не придумали

.

Вы забыли пофиксить строчку:

Код:

O2 - BHO: (no name) - {6B93D275-72FF-469D-9A07-0AA5010FDD5B} - C:\WINDOWS\system32\efsad.dll (file missing)

А так логи чистые.

Только вот с этим неплохо бы еще разобраться:

Код:

>> Службы: разрешена потенциально опасная служба RemoteRegistry (Remote Registry)
>> Службы: разрешена потенциально опасная служба TermService (Terminal Services)
>> Службы: разрешена потенциально опасная служба SSDPSRV (SSDP Discovery Service)
>> Службы: разрешена потенциально опасная служба Schedule ()
>> Службы: разрешена потенциально опасная служба mnmsrvc (NetMeeting Remote Desktop Sharing)
>> Службы: разрешена потенциально опасная служба RDSessMgr (Remote Desktop Help Session Manager)
> Службы: обратите внимание - набор применяемых на ПК служб зависит от области применения ПК (домашний, ПК в ЛВС компании ...)!
>> Безопасность: разрешен автозапуск программ с CDROM
>> Безопасность: разрешен административный доступ к локальным дискам (C$, D$ ...)
>> Безопасность: к ПК разрешен доступ анонимного пользователя
>>> Безопасность: В IE разрешен запуск программ и файлов в IFRAME без запроса
>> Безопасность: Разрешена отправка приглашений удаленному помошнику

Что нужно - скажите, остальное отключим.

**vl3** · 16.10.2007, 19:04

спасибо беру тайм аут до завтра

**PavelA** · 16.10.2007, 19:12

@Bratez А не боишься что это ложняк (ikf32.dll)?

**Bratez** · 16.10.2007, 19:20

Уже поздно бояться

И нечего делать в папке C:\WINDOWS всяким посторонним dll-кам с неясной этиологией!

.

**vl3** · 17.10.2007, 10:46

службы отключил, строку профиксил.спасибо

**drongo** · 17.10.2007, 11:01

Надеюсь в курсе что это открыто :
Безопасность: разрешен автозапуск программ с CDROM
>> Безопасность: разрешен административный доступ к локальным дискам (C$, D$ ...)
>> Безопасность: к ПК разрешен доступ анонимного пользователя

помочь закрыть ?

Чтобы уменьшить шанс заражения, на будущее :
1) Работать за компьютером с правами ограниченного пользователя.
2) Пользоваться для хождения по интернету альтернативным браузером с отключёнными скриптами по умолчанию с лёгкостью разрешая доверенным сайтам выполнять скрипты (Firefox и Opera это позволяют делать в отличии от IE 7 ,6....)
3) Прочитать электронную книгу "Безопасный Интернет". Универсальная защита для Windows ME - Vista": http://security-advisory.newmail.ru

Вы можете нас отблагодарить, оказав нам помощь в сборе базы безопасных файлов : http://virusinfo.info/showthread.php?t=3519
Мы будем Вам очень благодарны!