Постоянно рождается эта зараза в файле WinNT32.dll Каспер 7 бессилен...
Постоянно рождается эта зараза в файле WinNT32.dll Каспер 7 бессилен...
Отключив интернет и антивирус -
Пофиксите в HijackThis:
Выполните скрипт в AVZ:Код:O2 - BHO: Std plugin - {FFFFFFFF-08DF-483c-BD3A-99CBCF44E4DC} - knmld.dll (file missing) O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k O20 - Winlogon Notify: WinCtrl32 - C:\WINDOWS\SYSTEM32\WinCtrl32.dll
Компьютер перезагрузится.Код:begin SearchRootkit(true, true); SetAVZGuardStatus(True); QuarantineFile('C:\Windows\system32\WinNt32.dll',''); QuarantineFile('C:\WINDOWS\System32\Drivers\Winsw36.sys',''); QuarantineFile('C:\WINDOWS\system32\drivers\nmeuqm.sys',''); QuarantineFile('C:\WINDOWS\system32\drivers\services.exe',''); QuarantineFile('C:\Documents and Settings\Пользователь\ie_updates3r.exe',''); QuarantineFile('C:\WINDOWS\System32\CcEvtSvc.exe',''); QuarantineFile('C:\WINDOWS\system32\Drivers\Rux14.sys',''); QuarantineFile('C:\WINDOWS\system32\knmld.dll',''); DeleteFile('C:\WINDOWS\system32\knmld.dll'); DeleteFile('C:\WINDOWS\system32\Drivers\Rux14.sys'); DeleteFile('C:\WINDOWS\System32\CcEvtSvc.exe'); DeleteFile('C:\Documents and Settings\Пользователь\ie_updates3r.exe'); DeleteFile('C:\WINDOWS\system32\drivers\services.exe'); DeleteFile('C:\WINDOWS\system32\drivers\nmeuqm.sys'); DeleteFile('C:\WINDOWS\System32\Drivers\Winsw36.sys'); DeleteFile('C:\Documents and Settings\LocalService\Local Settings\Temporary Internet Files\Content.IE5\DLTXHT3Y\s234[1].exe'); DeleteFile('C:\Windows\system32\WinNt32.dll'); DelBHO('{92780B25-18CC-41C8-B9BE-3C9C571A8263}'); DelBHO('{1F460357-8A94-4D71-9CA3-AA4ACF32ED8E}'); DelBHO('{FFFFFFFF-08DF-483c-BD3A-99CBCF44E4DC}'); BC_ImportALL; BC_DeleteSvc('Winsw36'); BC_DeleteSvc('aic32p'); BC_DeleteSvc('Rux14'); BC_DeleteSvc('Schedule'); BC_DeleteSvc('Google Online Services'); BC_DeleteSvc('CcEvtSvc'); ExecuteSysClean; BC_Activate; RebootWindows(true); end.
Пришлите карантин согласно приложению 3 правил
(загружать тут: http://virusinfo.info/upload_virus.php?tid=24767).
Сделайте новые логи, начиная с п.10 правил.
I am not young enough to know everything...
Ок. Карантин выслал.
Осталось немного
Скачайте Ice Sword: http://mail.ustc.edu.cn/~jfpan/downl...Sword122en.zip,
распакуйте, запустите, слева внизу нажмите File, найдите файл
C:\WINDOWS\system32\Drivers\Rux14.sys
нажмите его правой кнопкой и выберите Force Delete.
Затем выполните скрипт в AVZ:
Компьютер перезагрузится.Код:begin SearchRootkit(true, true); SetAVZGuardStatus(True); DeleteFile('C:\WINDOWS\System32\Drivers\Rux14.sys'); BC_ImportALL; ExecuteSysClean; BC_DeleteSvc('Rux14'); BC_Activate; RebootWindows(true); end.
Сделайте еще раз новые логи, начиная с п.10 правил.
I am not young enough to know everything...
Ок. К сожалению, все по-прежнему.
Последний раз редактировалось q75; 17.06.2008 в 16:40.
Выполните такой скрипт:
Повторите лог HijackThis.Код:begin BC_DeleteSvc('FCI'); BC_Activate; RebootWindows(true); end.
Какие проблемы остались? Вроде всех прибили.
I am not young enough to know everything...
Этот файл в архиве, если что...
http://www.sendspace.com/file/v5egc8
Резюме.
Каждый раз после ребута при проверке компа, Каспер находит см. скрин.
Спасибо.
Последний раз редактировалось q75; 17.06.2008 в 18:17.
Посмотри нет ли такого C:\Windows\system32\WinNt32.dl_. Если есть, то его надо удалить.
Полную проверку антивирусом давно делали?
Павел
AVZ HijackThis помощь с 10-00 до 18-00МСК
Windows7, SEP(work)
WindowsXP KIS(home)
На up не реагирую
Завтра с утра посмотрю.
Полную проверку делал раз 5 наверное... Постоянно рождается этот зловред. Сценарий: полная проверка компа, обнаружение, удаление, ручная перезагрузка, полная проверка компа, и опять обнаружение...
Поскольку файл в одной папке, последний раз проверял именно ее, чтобы не тратить время зря.
C:\Windows\system32\WinNt32.dl_ не существует.
Что же делать?
Выполните тогда пункт 2 правил
Большое спасибо. Помогло. Моя ошибка в том, что я запускал Касп. на проверку не с максимальными настройками защиты, вот он и не видел зловредов. CUREIT опознал некоторых, т.к. как я понимаю, по умолчанию стоит на проверке ВСЕХ файлов. На всякий случай выкладываю, что он нашел.
Проблема решена. Еще раз благодарю за помощь.
DrWeb.csv
http://www.sendspace.com/file/2no1oz
Статистика проведенного лечения:
- Получено карантинов: 1
- Обработано файлов: 5
- В ходе лечения обнаружены вредоносные программы:
- c:\\windows\\system32\\drivers\\winsw36.sys - Trojan-Downloader.Win32.Mutant.aim
- c:\\windows\\system32\\knmld.dll - Trojan-Spy.Win32.Agent.cxm (DrWEB: BackDoor.Banker.1)
- c:\\windows\\system32\\winnt32.dll - Trojan-Downloader.Win32.Mutant.acm (DrWEB: BackDoor.Bulknet.206)
Уважаемый(ая) q75, наши специалисты оказали Вам всю возможную помощь по вашему обращению.
В целях поддержания безопасности вашего компьютера настоятельно рекомендуем:
Чтобы всегда быть в курсе актуальных угроз в области информационной безопасности и сохранять свой компьютер защищенным, рекомендуем следить за последними новостями ИТ-сферы портала Anti-Malware.ru:
Надеемся больше никогда не увидеть ваш компьютер зараженным!
Если Вас не затруднит, пополните пожалуйста нашу базу безопасных файлов.