После лечения Win32.HLLW.Autoruner.5555 [Net-Worm.Win32.Kido.ih ]

[KostyaSV]

Есть Windows Server 2003.
Был заражен Win32.HLLW.Autoruner.5555
Поставили DrWEB, все почистили - теперь ничего не находит.
Но через день после удаления вируса перестал обновляться DrWEB.
Причем в IE сайт www.drweb.com открывается, а пинг на drweb.com не идет.
Я так думаю это все происходит из-за этого:
C:\WINDOWS\$NtServicePackUninstall$\spoolsv.exe >>> подозрение на Trojan.Win32.DNSChanger.elj

Как от этого всего лучше избавиться?
Спасибо!

[Гриша]

AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 DeleteService('pozbz');
 QuarantineFile('C:\WINDOWS\system32\02AF.tmp','');
 QuarantineFile('C:\WINDOWS\system32\samqj.dll',' ');     
 DeleteService('evevvqug');
 QuarantineFile('C:\WINDOWS\system32\01.tmp','');
 DeleteService('dpti930');
 QuarantineFile('C:\DOCUME~1\6254~1.SRV\LOCALS~1\Temp\1\C64S88Uj.sys','');
 DeleteFile('C:\WINDOWS\system32\drivers\.sys');
 DeleteFile('C:\WINDOWS\system32\01.tmp');
 DeleteFile('C:\WINDOWS\system32\02AF.tmp');
 DeleteFile('C:\WINDOWS\system32\samqj.dll');
 DeleteFileMask('%tmp% ','*.* ',true);          
BC_ImportALL;  
ExecuteSysClean;
BC_DeleteSvc('pozbz');
BC_DeleteSvc('dpti930');    
BC_Activate;
RebootWindows(true);
end.

Пришлите карантин по правилам и повторите логи...

[KostyaSV]

Выполнил.
Антивирус обновился.
Вот логи.

А BC_DeleteSvc('evevvqug'); не надо было выполнять?

[light59]

virus.zip из темы уберите.
И пришлите его по правилам.

А BC_DeleteSvc('evevvqug'); не надо было выполнять?

Всё нормально

[KostyaSV]

Есть еще два сервера с подобными проблемами.
Как лучше поступить:
1. Создать новые топики по каждому.
2. продолжать этот.
3. Выполнить скрипты из AVZ и подставить в

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteService('pozbz');
QuarantineFile('C:\WINDOWS\system32\02AF.tmp','');
QuarantineFile('C:\WINDOWS\system32\samqj.dll',' ');
DeleteService('evevvqug');
QuarantineFile('C:\WINDOWS\system32\01.tmp','');
DeleteService('dpti930');
QuarantineFile('C:\DOCUME~1\6254~1.SRV\LOCALS~1\Te mp\1\C64S88Uj.sys','');
DeleteFile('C:\WINDOWS\system32\drivers\.sys');
DeleteFile('C:\WINDOWS\system32\01.tmp');
DeleteFile('C:\WINDOWS\system32\02AF.tmp');
DeleteFile('C:\WINDOWS\system32\samqj.dll');
DeleteFileMask('%tmp% ','*.* ',true);
BC_ImportALL;
ExecuteSysClean;
BC_DeleteSvc('pozbz');
BC_DeleteSvc('dpti930');
BC_Activate;
RebootWindows(true);
end.

все найденные 'C:\WINDOWS\system32\*.tmp'
и dll которые есть в строке типа этой:

Прямое чтение C:\WINDOWS\system32\samqj.dll

?
Спасибо!

[light59]

В правилах написано

1) Если у Вас несколько инфицированных операционных систем или компьютеров, то Вам следует оформлять каждую систему отдельным запросом.

[KostyaSV]

Перезалил.
А удалить из предыдущего сообщения не могу:
KostyaSV, вы не имеете прав для доступа к этой странице

Добавлено через 1 минуту

В правилах написано

Спасибо. Правила читал. Просто уточнил.

[KostyaSV]

Прошло время. Все работало нормально и вот симтомы полностью повторились.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 10
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\windows\\system32\\samqj.dll - Net-Worm.Win32.Kido.ih (DrWEB: Win32.HLLW.Autoruner.5555)