Показано с 1 по 14 из 14.

большой файл в системной папке.. (заявка № 22135)

  1. #1
    Junior Member Репутация
    Регистрация
    23.04.2008
    Сообщений
    7
    Вес репутации
    32

    Exclamation большой файл в системной папке..

    Здравствуйте. Вдруг обнаружил, что на системном диске катастрофически не хватает места. Проверка антивирусами ничего не дала. Начал искать, что съедает пространство и обнаружил в паке Windows\Sistem32\ файл с подозрительным именем «698697763b.sys» объемом примерно 4,3 Гига, и это при том, что сама папка с Windows занимает 7,150 Гиг (вместе с этим файлом). Просто удалить не решаюсь, т.к. во-первых - расширение sys, во вторых – файл скрытый и в третьих – он постоянно обновляется (практически каждую минуту меняется время создания). При отключении от сети обновляться перестает. Посмотрел его просмотрщиком: в появившейся абракодабре ясно просматриваются ссылки Интернет сайтов и цитаты из их содержимого.

    логи прилагаю.
    Вложения Вложения

  2. Реклама
     

  3. #2
    Global Moderator Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    26.12.2006
    Адрес
    Vladivostok
    Сообщений
    23,300
    Вес репутации
    1551
    Выполните скрипт в AVZ:
    Код:
    begin
    SearchRootkit(true, true);
    SetAVZGuardStatus(True);
    QuarantineFile('C:\WINDOWS\system32\wmfhotfix.dll','');
    QuarantineFile('C:\WINDOWS\system32\AcSignExtResv.exe','');
    QuarantineFile('C:\Program Files\Common Files\Target Marketing Agency\TMAgent\tmagent.dll','');
    DeleteFile('C:\Program Files\Common Files\Target Marketing Agency\TMAgent\tmagent.dll');
    BC_ImportALL;
    ExecuteSysClean;
    DelBHO('{35A6E2B1-27A9-47D2-913C-559E1EF1D034}');
    BC_QrSvc('Brouhcoercib');
    BC_DeleteSvc('Brouhcoercib');
    BC_Activate;
    RebootWindows(true);
    end.
    Компьютер перезагрузится.
    Пришлите карантин согласно приложению 3 правил
    (загружать тут: http://virusinfo.info/upload_virus.php?tid=22135).
    I am not young enough to know everything...

  4. #3
    Junior Member Репутация
    Регистрация
    23.04.2008
    Сообщений
    7
    Вес репутации
    32
    карантин выслал.
    логи прилагаю.
    Вложения Вложения

  5. #4
    Global Moderator Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    26.12.2006
    Адрес
    Vladivostok
    Сообщений
    23,300
    Вес репутации
    1551
    Карантин пустой. Выполните скрипт в безопасном режиме:
    Код:
    begin
    ClearQuarantine;
    SearchRootkit(true, true);
    SetAVZGuardStatus(True);
    QuarantineFile('C:\WINDOWS\system32\wmfhotfix.dll','');
    QuarantineFile('C:\WINDOWS\system32\AcSignExtResv.exe','');
    BC_ImportALL;
    BC_Activate;
    RebootWindows(true);
    end.
    После перезагрузки пришлите карантин по правилам.
    При формировании архива карантина антивирус отключите.
    I am not young enough to know everything...

  6. #5
    Junior Member Репутация
    Регистрация
    23.04.2008
    Сообщений
    7
    Вес репутации
    32
    отослал карантин, но при формировании всё таки забыл выключить др. веб. Повторить архивацию без др. веба и прислать вам карантин повторно?

  7. #6
    Global Moderator Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    26.12.2006
    Адрес
    Vladivostok
    Сообщений
    23,300
    Вес репутации
    1551
    AcSignExtResv.exe - Backdoor.Win32.IRCBot.bmm
    Для удаления выполните скрипт:
    Код:
    begin
    SearchRootkit(true, true);
    SetAVZGuardStatus(True);
     DeleteFile('C:\WINDOWS\system32\AcSignExtResv.exe');
    BC_ImportDeletedList;
     BC_DeleteSvc('NetmanImapiService');
    ExecuteSysClean;
    BC_Activate;
    RebootWindows(true);
    end.
    Интересует файл C:\WINDOWS\system32\wmfhotfix.dll - попробуйте добыть его вручную.
    I am not young enough to know everything...

  8. #7
    Junior Member Репутация
    Регистрация
    23.04.2008
    Сообщений
    7
    Вес репутации
    32
    При выполнении скрипта (при выключении) комп завис. Принудительная перезагрузка. При запуске выдал сообщение "не могу создать ps.log"

    Вышеуказанный файл прилагаю.
    Последний раз редактировалось krab; 27.04.2008 в 20:31.

  9. #8
    Global Moderator Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    26.12.2006
    Адрес
    Vladivostok
    Сообщений
    23,300
    Вес репутации
    1551
    Этот файл чистый. Уберите его из сообщения.

    Удалите ваш 4gb .sys файл, перезагрузитесь и проверьте, появляется он снова или нет. Сделайте еще раз логи.
    I am not young enough to know everything...

  10. #9
    Junior Member Репутация
    Регистрация
    23.04.2008
    Сообщений
    7
    Вес репутации
    32
    1. Убрать файл из сообщения не получается: пишет - нет прав.

    2. Что за файл 4gb .sys? Поиском в компе не обнаружил.

  11. #10
    Junior Member Репутация
    Регистрация
    23.04.2008
    Сообщений
    7
    Вес репутации
    32
    Только через час, с помощью сына, понял, что имя указанного Вами файла, это его размер. Все выполнил. Файл удалил. При перезагрузке файл 698697763b.sys не появился.

    Логи прилагаю.
    Вложения Вложения

  12. #11
    Banned Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    18.11.2007
    Сообщений
    3,293
    Вес репутации
    0
    1. Убрать файл из сообщения не получается: пишет - нет прав.
    Удаляйте через мой кабинет--разное--вложения. выбираете wmfhotfix.zip и удаляете.

  13. #12
    Junior Member Репутация
    Регистрация
    23.04.2008
    Сообщений
    7
    Вес репутации
    32
    О.К. удалил.

    Так, что с моим файлом? Что это было?

  14. #13
    Global Moderator Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    26.12.2006
    Адрес
    Vladivostok
    Сообщений
    23,300
    Вес репутации
    1551
    В логах все нормально.

    Я думаю, тот большой файл создавала программа Target Marketing Agency - это что-то рекламно-шпионское (удалена первым скриптом).
    I am not young enough to know everything...

  15. #14
    Cybernetic Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    29.12.2008
    Сообщений
    47,506
    Вес репутации
    940

    Итог лечения

    Статистика проведенного лечения:
    • Получено карантинов: 2
    • Обработано файлов: 8
    • В ходе лечения обнаружены вредоносные программы:
      1. c:\\windows\\system32\\acsignextresv.exe - Backdoor.Win32.IRCBot.bmm (DrWEB: BackDoor.IRC.Nite)


  • Уважаемый(ая) krab, наши специалисты оказали Вам всю возможную помощь по вашему обращению.

    В целях поддержания безопасности вашего компьютера настоятельно рекомендуем:


    Надеемся больше никогда не увидеть ваш компьютер зараженным!

    Если Вас не затруднит, пополните пожалуйста нашу базу безопасных файлов.
  • Присоединяйтесь к нам в соцсетях!

    Мы делаем все возможное, чтобы помогать людям в защите и лечении компьютеров.

    Похожие темы

    1. Ответов: 3
      Последнее сообщение: 20.08.2011, 15:00
    2. Ответов: 6
      Последнее сообщение: 19.01.2010, 08:31
    3. Ответов: 7
      Последнее сообщение: 25.08.2009, 14:51
    4. Ответов: 15
      Последнее сообщение: 20.12.2007, 12:30
    5. Ответов: 5
      Последнее сообщение: 27.05.2007, 20:35

    Свернуть/Развернуть Ваши права в разделе

    • Вы не можете создавать новые темы
    • Вы не можете отвечать в темах
    • Вы не можете прикреплять вложения
    • Вы не можете редактировать свои сообщения
    •  
    Page generated in 0.01118 seconds with 22 queries