ip6fw.sys

[bandot]

Добрый день. Касперским удалил вирусы, но с одним не может справится, при перезагрузке компьютера выскакивает сообщени обнаружено: потенциально опасное ПО Hidden object Процесс: C:\Program Files\Internet Explorer\iexplore.exe , после чего находит вирус :удалено: троянская программа Trojan-Downloader.Win32.Agent.acl Файл: c:\windows\system32\drivers\ip6fw.sys, при перезагрузке все повторяется.
Выполнил все операции описанные вами и прикрепил файлы. Жду инструкции по удалению . Спасибо.

[Bratez]

Выполните скрипт в AVZ:

begin
 BC_QrFile('C:\WINDOWS\system32\drivers\runtime2.sys');
 BC_QrFile('C:\WINDOWS\Temp\startdrv.exe');
 BC_DeleteSvc('runtime');
 BC_DeleteSvc('runtime2');
 BC_DeleteFile('C:\WINDOWS\system32\drivers\runtime2.sys');
 BC_DeleteFile('C:\WINDOWS\Temp\startdrv.exe');
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.
Пришлите карантин согласно приложению 3 правил.
Повторите логи.

[Bratez]

Карантин не сюда, а туда: http://virusinfo.info/upload_virus.php?tid=14243

[PavelA]

Зачем гадость сюда прикреплять, хоть и обезвреженную. Для ее засылки есть ссылка: http://virusinfo.info/upload_virus.php?tid=14243

Отсюда ее надо убрать.

[bandot]

закачал туда )))

[drongo]

bandot, так не удаляют, сначала удалять надо прикреплённый файл , а затем сообщение , иначе потом места не будет нужные файлы прикрепить.

[bandot]

Хорошо, что мне теперь делать? я не пойму, файл из карантина правильно загрузился или нет?

[Bratez]

Загрузился. Теперь новые логи нужны.

[bandot]

Вот новые

[Bratez]

Все нормально, осталось пофиксить в HijackThis:

O4 - HKLM\..\Run: [startdrv] C:\WINDOWS\Temp\startdrv.exe

Рекомендуется отключить все, что вам не нужно из этого:

>> Службы: разрешена потенциально опасная служба TermService (Terminal Services)
>> Службы: разрешена потенциально опасная служба SSDPSRV (SSDP Discovery Service)
>> Службы: разрешена потенциально опасная служба Schedule (Task Scheduler)
>> Службы: разрешена потенциально опасная служба mnmsrvc (NetMeeting Remote Desktop Sharing)
>> Службы: разрешена потенциально опасная служба RDSessMgr (Remote Desktop Help Session Manager)
> Службы: обратите внимание - набор применяемых на ПК служб зависит от области применения ПК (домашний, ПК в ЛВС компании ...)!
>> Безопасность: разрешен автозапуск программ с CDROM
>> Безопасность: разрешен административный доступ к локальным дискам (C$, D$ ...)
>> Безопасность: к ПК разрешен доступ анонимного пользователя
>> Безопасность: разрешен автоматический вход в систему

Добавлено через 1 минуту

Эта программа вам известна? -
C:\Program Files\ssClient\winclient\ssc.exe

Если нет - пришлите по правилам.

[bandot]

C:\Program Files\ssClient\winclient\ssc.exe да это сетевая программа, так ну пофиксел и перезагрузился, касперский молчит

Добавлено через 3 минуты

А как отлючить службы? а даже не знаю , что это за службы ))

[Bratez]

Отключить можно всё вышеуказанное, вот этим скриптом:

begin
RegKeyStrParamWrite('HKEY_LOCAL_MACHINE', 'SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon','AutoAdminLogon', '0');
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Control\LSA','RestrictAnonymous', 2);
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'System\CurrentControlSet\Services\LanmanServer\Parameters','AutoShareWks', 0);
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'System\CurrentControlSet\Services\CDROM','AutoRun', 0);
SetServiceStart('RDSessMgr', 4);
SetServiceStart('mnmsrvc', 4);
SetServiceStart('Schedule', 4);
SetServiceStart('SSDPSRV', 4);
SetServiceStart('TermService', 4);
RebootWindows(true);
end.

Если комп в локальной сети с использованием общего доступа к файлам, уберите красную строчку. Если автозапуск CD отключать неохота, уберите зеленую.

[bandot]

Спасибо

[rubin]

Советуем прочитать электронную книгу "Безопасный Интернет. Универсальная защита для Windows ME - Vista".

Вы можете нас отблагодарить, оказав нам помощь в сборе базы безопасных файлов. Мы будем Вам очень благодарны!

Удачи!

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 2
• В ходе лечения вредоносные программы в карантинах не обнаружены