Показано с 1 по 9 из 9.

Троян, зараза. (заявка № 25080)

  1. #1
    Junior Member Репутация
    Регистрация
    21.06.2008
    Сообщений
    5
    Вес репутации
    31

    Question Троян, зараза.

    NOD32 последней версии нашел Win32/PSW.Agent.NHG. Заражен файл C:\Documents and Settings\LocalService\ftp34.dll., само собой, ничего антивирус сделать с этим не может. Я видел, тут подобные проблемы у людей уже были, помогите и мне, пожалуйста
    Вложения Вложения

  2. Реклама
     

  3. #2
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    03.04.2006
    Сообщений
    21,108
    Вес репутации
    2997
    1.Отключите ПК от сети.
    2.Отключите Антивирус.
    3.Отключите системное востановление.
    4. Пофиксите
    Код:
    O4 - HKLM\..\Run: [[system]] C:\WINDOWS\system32\drivers\services.exe
    O4 - HKLM\..\Run: [winlogon] C:\Documents and Settings\User\svchost.exe
    O4 - HKCU\..\Run: [[system]] C:\WINDOWS\system32\drivers\services.exe
    O4 - HKCU\..\Run: [winlogon] C:\Documents and Settings\User\svchost.exe
    O11 - Options group: [INTERNATIONAL] International*
    O20 - Winlogon Notify: NavLogon - C:\WINDOWS\
    O21 - SSODL: WPDShServiceObj - {AAA288BA-9A4C-45B0-95D7-94D524869DB5} - C:\WINDOWS\system32\WPDShServiceObj.dll
    5. Выполните скрипт
    Код:
    begin
    SearchRootkit(true, true);
    SetAVZGuardStatus(True);
     TerminateProcessByName('c:\documents and settings\localservice\svchost.exe');
     QuarantineFile('C:\WINDOWS\System32\Drivers\annzbt8q.SYS','');
     QuarantineFile('C:\Documents and Settings\LocalService\svchost.exe','');
     QuarantineFile('C:\WINDOWS\system32\drivers\services.exe','');
     QuarantineFile('C:\Documents and Settings\User\svchost.exe','');
     QuarantineFile('C:\Documents and Settings\User\Application Data\rambler.ru\toolbar\mail.mp3','');
     QuarantineFile('C:\Documents and Settings\User\Local Settings\Temp\STP1161.tmp','');
     QuarantineFile('C:\Documents and Settings\User\Local Settings\Temp\STP164A.tmp','');
     QuarantineFile('C:\Documents and Settings\User\Local Settings\Temp\STP369.tmp','');
     QuarantineFile('C:\System Volume Information\_restore{563B5FAC-5C17-497B-B3E8-40563D797657}\RP256\A0143903.exe','');
     QuarantineFile('C:\System Volume Information\_restore{563B5FAC-5C17-497B-B3E8-40563D797657}\RP260\A0147359.exe','');
     QuarantineFile('C:\WINDOWS\Downloaded Installations\{4F5A2FA8-3155-11D6-A498-00C0CA17CB87}\Data.Cab','');
     QuarantineFile('C:\Documents and Settings\LocalService\ftp34.dll','');
     DeleteFile('C:\Documents and Settings\LocalService\ftp34.dll');
     DeleteFile('C:\WINDOWS\Downloaded Installations\{4F5A2FA8-3155-11D6-A498-00C0CA17CB87}\Data.Cab');
     DeleteFile('C:\System Volume Information\_restore{563B5FAC-5C17-497B-B3E8-40563D797657}\RP260\A0147359.exe');
     DeleteFile('C:\System Volume Information\_restore{563B5FAC-5C17-497B-B3E8-40563D797657}\RP256\A0143903.exe');
     DeleteFile('C:\Documents and Settings\User\Local Settings\Temp\STP369.tmp');
     DeleteFile('C:\Documents and Settings\User\Local Settings\Temp\STP164A.tmp');
     DeleteFile('C:\Documents and Settings\User\Local Settings\Temp\STP1161.tmp');
     DeleteFile('C:\Documents and Settings\User\svchost.exe');
     DeleteFile('C:\WINDOWS\system32\drivers\services.exe');
     DeleteFile('C:\Documents and Settings\LocalService\svchost.exe');
     DeleteFile('C:\WINDOWS\System32\Drivers\annzbt8q.SYS');
    BC_ImportDeletedList;
    ExecuteSysClean;
    BC_Activate;
    RebootWindows(true);
    end.
    После перезагрузки:
    6. Очистите темп-папки и кэш проводников.
    7. Закачайте карантин по красной ссылке вверху темы
    8. Повторите логи.

  4. #3
    Junior Member Репутация
    Регистрация
    21.06.2008
    Сообщений
    5
    Вес репутации
    31
    Огромное спасибо, я выполнил все рекомендации, кроме последних трех, потому что после перезагрузки перестали запускаться exe файлы. Как только пытаюсь запустить, открывается окно "открыть с помощью". Ну и при попытке зайти в "Система" пишет что rundll32.exe не найден. Больше глюков не заметил. Т.к. exe не запускаются, значит, не могу пока проверить, подействовало ли лечение. Повторяю, все пункты сделал как положено.

    Добавлено через 16 минут

    NOD32 кое-как запустил, вирус никуда не делся, сидит все в том же файле, я бы сделал откат системы, но
    exe файлы не запускаются => я не могу зайти в "Систему" (еще и потому что затёр rundll32) => не могу заново включить восстановление системы.
    У меня WinXP SP2, если что
    Последний раз редактировалось Xavok; 21.06.2008 в 22:14.

  5. #4
    Senior Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    10.01.2007
    Сообщений
    22,817
    Вес репутации
    1497
    выполните скрипт ...
    Код:
    begin
    ExecuteRepair(1);
    RebootWindows(true);
    end.
    делайте новые логи ...

  6. #5
    Junior Member Репутация
    Регистрация
    21.06.2008
    Сообщений
    5
    Вес репутации
    31
    Итак, логи я прикрепил.
    Что хотелось бы отметить: при проверке компа NOD32 он писал что ftp34.dll в Documents and Settings заражен, я его тут же удалил и перезагрузил комп, больше когда я проверял Documents and Settings антивирус про трояна в этой папке не заикался вообще.
    И главное - раньше мне Нод все время писал что троян найден в оперативной памяти, а теперь этого нет!
    Но остался ВСЕГО ОДИН зараженный файл - system32\ftp34.dll
    Из всего этого могу сделать вывод, что вирус таки еще жив, но я (с вашей помощью) нанес ему серьезный удар, и теперь он бездействует. Осталось добить

    З.Ы. Я немного не допираю, но как тут прислать карантин? Т.е. я знаю, что по красной ссылке, но там нужно в зип архиве, а у меня он в текстовых и конфиг файлах сохраняется... Нужно самому запаковать всю папку Quarantine, я прав?
    Вложения Вложения

  7. #6
    Senior Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    10.01.2007
    Сообщений
    22,817
    Вес репутации
    1497
    перечитайте приложение 3 правил.... и пришлите карантин ...
    в логах чисто ...

  8. #7
    Junior Member Репутация
    Регистрация
    21.06.2008
    Сообщений
    5
    Вес репутации
    31
    Вот...... решил в архив весь карантин (включая какие-то копии) запихнуть
    Спасибо огромное, сейчас всем, кто помогал, плюсы расставлю.
    Ну и последний вопрос:
    system32\ftp34.dll - это в принципе системный файл? Если нет, я удалю его к черту вместе с недобитым вирусняком.....

    З.Ы. С карантином придется чуток подождать - не грузится ваш ФТПшник

  9. #8
    Senior Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    10.01.2007
    Сообщений
    22,817
    Вес репутации
    1497
    ftp34.dll нужно удалять ...

  10. #9
    Junior Member Репутация
    Регистрация
    21.06.2008
    Сообщений
    5
    Вес репутации
    31
    Ухаха, я сейчас проверил, а его уже нет Сам сдох
    "Вскрытие показало, что пациент умер от вскрытия"

    Еще раз огромное спасибо за помощь!!!

    З.Ы. Не знаю, извините, карантин не заливается.....
    Когда вставляю путь к файлу Опера делает вид, что "грузит страницу".
    Последний раз редактировалось Xavok; 22.06.2008 в 00:55.

  • Уважаемый(ая) Xavok, наши специалисты оказали Вам всю возможную помощь по вашему обращению.

    В целях поддержания безопасности вашего компьютера настоятельно рекомендуем:


    Надеемся больше никогда не увидеть ваш компьютер зараженным!

    Если Вас не затруднит, пополните пожалуйста нашу базу безопасных файлов.
  • Присоединяйтесь к нам в соцсетях!

    Мы делаем все возможное, чтобы помогать людям в защите и лечении компьютеров.

    Похожие темы

    1. Зараза
      От Vortex1337 в разделе Помогите!
      Ответов: 4
      Последнее сообщение: 25.04.2009, 18:07
    2. Зараза
      От joniscoolkz в разделе Помогите!
      Ответов: 9
      Последнее сообщение: 22.02.2009, 02:16
    3. Зараза
      От kservice в разделе Помогите!
      Ответов: 36
      Последнее сообщение: 22.02.2009, 01:40
    4. Зараза
      От billyg в разделе Помогите!
      Ответов: 1
      Последнее сообщение: 02.09.2007, 21:54
    5. зараза от errorsafe.com
      От salex в разделе Помогите!
      Ответов: 11
      Последнее сообщение: 17.11.2006, 11:10

    Свернуть/Развернуть Ваши права в разделе

    • Вы не можете создавать новые темы
    • Вы не можете отвечать в темах
    • Вы не можете прикреплять вложения
    • Вы не можете редактировать свои сообщения
    •  
    Page generated in 0.01238 seconds with 21 queries