Показано с 1 по 17 из 17.

маскированные процессы (заявка № 41905)

  1. #1
    Junior Member Репутация
    Регистрация
    07.05.2008
    Адрес
    Екатеринбург
    Сообщений
    178
    Вес репутации
    33

    Exclamation маскированные процессы

    Здравствуйте,
    Нод чего-то находил.
    Проверьте, пожалуйста, логи.
    Последний раз редактировалось 17_sqrt_2; 16.04.2009 в 15:37.

  2. Реклама
     

  3. #2
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для drongo
    Регистрация
    17.09.2004
    Адрес
    Israel
    Сообщений
    7,165
    Вес репутации
    967
    C:\WINDOWS\system32\06.scr - пришлите по второму пункту правил,
    скачайте в моей подписи special avz, включите avzpm и сделайте с ним лог virusinfo_syscure.zip

  4. #3
    VIP Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    07.07.2005
    Адрес
    Moscow region
    Сообщений
    30,463
    Вес репутации
    2495
    Сделай лог Гмера.
    Павел
    AVZ HijackThis помощь с 10-00 до 18-00МСК

    Windows7, SEP(work)
    WindowsXP KIS(home)

    На up не реагирую

  5. #4
    Junior Member Репутация
    Регистрация
    07.05.2008
    Адрес
    Екатеринбург
    Сообщений
    178
    Вес репутации
    33
    включение avzpm - неактивно.
    лог прилагаю
    запрошенный файл: Файл сохранён как 090317_184348_virus_49bfc5347f5c8.zip

    Про Гмер не понял, что это?
    Последний раз редактировалось 17_sqrt_2; 16.04.2009 в 15:37.

  6. #5
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для drongo
    Регистрация
    17.09.2004
    Адрес
    Israel
    Сообщений
    7,165
    Вес репутации
    967
    Цитата Сообщение от 17_sqrt_2 Посмотреть сообщение

    Про Гмер не понял, что это?
    http://virusinfo.info/showthread.php?t=40118


    Неуспешный карантин через AVZ - попробуйте в безопасном режиме найти этот C:\WINDOWS\system32\06.scr , интересно что это

  7. #6
    Junior Member Репутация
    Регистрация
    07.05.2008
    Адрес
    Екатеринбург
    Сообщений
    178
    Вес репутации
    33
    вот
    Последний раз редактировалось 17_sqrt_2; 16.04.2009 в 15:37.

  8. #7
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для drongo
    Регистрация
    17.09.2004
    Адрес
    Israel
    Сообщений
    7,165
    Вес репутации
    967
    nod отключали перед запуском gmer?

  9. #8
    Junior Member Репутация
    Регистрация
    07.05.2008
    Адрес
    Екатеринбург
    Сообщений
    178
    Вес репутации
    33
    Пришлось в прошлый раз отложить процедуру, но проблема осталась.
    Привожу новые логи просто по правилам
    Последний раз редактировалось 17_sqrt_2; 16.04.2009 в 15:37.

  10. #9
    Junior Member Репутация
    Регистрация
    07.05.2008
    Адрес
    Екатеринбург
    Сообщений
    178
    Вес репутации
    33
    и с помощью авз из подписи и гмера с выключенным нодом.

    ну что, что-нибудь прояснилось? а то 15 минут осталось...потом придется выключить комп и уйти отсюда.
    Последний раз редактировалось 17_sqrt_2; 16.04.2009 в 15:37.

  11. #10
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    03.04.2006
    Сообщений
    21,108
    Вес репутации
    2997
    Закройте/выгрузите все программы кроме AVZ и Internet Explorer.
    Отключите
    - ПК от интернета/локалки
    - Антивирус и Файрвол.
    - Системное восстановление.

    - Выполните скрипт
    Код:
    begin
    SearchRootkit(true, true);
    SetAVZGuardStatus(True);
    QuarantineFile('C:\WINDOWS\system32\MsSip3.dll','');
     QuarantineFile('C:\WINDOWS\system32\MsSip2.dll','');
     QuarantineFile('C:\WINDOWS\system32\MsSip1.dll','');
     DeleteFile('C:\WINDOWS\system32\MsSip1.dll');
     DeleteFile('C:\WINDOWS\system32\MsSip3.dll');
     RegKeyParamDel('HKEY_LOCAL_MACHINE','SYSTEMCurrentControlSetServicesWinTrustSubjectPackagesMS Subjects 1','$DLL');
     RegKeyParamDel('HKEY_LOCAL_MACHINE','SYSTEMCurrentControlSetServicesWinTrustSubjectPackagesMS Subjects 2','$DLL');
     RegKeyParamDel('HKEY_LOCAL_MACHINE','SYSTEMCurrentControlSetServicesWinTrustSubjectPackagesMS Subjects 3','$DLL');
    BC_ImportAll;
    ExecuteSysClean;
    BC_Activate;
    RebootWindows(true);
    end.
    После перезагрузки:

    - Очистите темп-папки, кэш проводников и корзину.
    - Закройте все программы, включая Антивирус и Файрвол, Оставьте запущенным только Internet Explorer. Если он не запущен - запустите!!!
    - Сделайте повторные логи
    virusinfo_syscure.zip
    virusinfo_syscheck.zip
    hijackthis.log

    - Включите Антвирус и Файрволл
    - Подключите ПК к интернету/локалке
    - Закачайте карантин по ссылке Прислать запрошенный карантин вверху темы (Приложение 3 правил).
    - Прикрепите логи к новому сообщению.

  12. #11
    Junior Member Репутация
    Регистрация
    07.05.2008
    Адрес
    Екатеринбург
    Сообщений
    178
    Вес репутации
    33
    Извиняюсь, что так долго.
    Карантин прислал.
    Новые логи прикрепляю.
    Заметил, что переодически что-то появляется по пути:
    C:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5
    Наверное, надо прислать что-нибудь от туда. Скажите как лучше это сделать.
    Последний раз редактировалось 17_sqrt_2; 16.04.2009 в 15:37.

  13. #12
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    03.04.2006
    Сообщений
    21,108
    Вес репутации
    2997
    Цитата Сообщение от 17_sqrt_2 Посмотреть сообщение
    Заметил, что переодически что-то появляется по пути:
    C:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5
    Это временные файлы, которые появляются при запуске любого Веб-браузера. А что, там что-то плохое появляется?

  14. #13
    Junior Member Репутация
    Регистрация
    07.05.2008
    Адрес
    Екатеринбург
    Сообщений
    178
    Вес репутации
    33
    Там появляется то, на что ругается НОД32
    файлы типа zpqr[1].htm

  15. #14
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    03.04.2006
    Сообщений
    21,108
    Вес репутации
    2997
    Цитата Сообщение от 17_sqrt_2 Посмотреть сообщение
    Там появляется то, на что ругается НОД32
    файлы типа zpqr[1].htm
    Значит Вы какие-то страницы посещаете, откуда зараза прыгает. Попробуйте другой браузер (Firefox или Опера).
    В логах сейчас ничего плохого, нужно поставить Сервис Пак 3 - возможно потребуется повторная активация - и последнюю версию Internet Explorer.
    Так же необходимо установить все патчи!!!

  16. #15
    Junior Member Репутация
    Регистрация
    07.05.2008
    Адрес
    Екатеринбург
    Сообщений
    178
    Вес репутации
    33
    После последних логов вроде перестало появляться, но браузеры не запускали, когда лезло. Что-то автоматом туда лезло.
    Вот так это выглядит в логах НОДа:
    26.03.2009 13:30:43 IMON файл http://xxxxxxxxxxxxxx/xxxxxxxxxx Win32/AutoRun.Agent.FW червь NT AUTHORITY\SYSTEM
    26.03.2009 13:28:24 IMON файл http://xxxxxxxxxx/xxxxxxxxxx Win32/Conficker.AE червь NT AUTHORITY\SYSTEM
    26.03.2009 13:13:49 IMON файл http://xxxxxxxxxx/xxxxxxxxxx модифицированный Win32/Conficker.AA червь NT AUTHORITY\SYSTEM
    26.03.2009 13:12:38 IMON файл http://xxxxxxxxxx/xxxxxxxxxx Win32/Conficker.AA червь Связь завершена NT AUTHORITY\SYSTEM
    26.03.2009 12:55:24 IMON файл http://xxxxxxxxxx/xxxxxxxxxx Win32/Conficker.Z червь Связь завершена NT AUTHORITY\SYSTEM

    СП3 поставлю.
    Не кройте пока тему(пару дней), можно?
    Последний раз редактировалось Rene-gad; 26.03.2009 в 12:37. Причина: по просьбе Гриши :)

  17. #16
    Expert Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    03.03.2008
    Сообщений
    14,832
    Вес репутации
    1782
    Можно, SP3+остальные заплатки обязательно поставить, червь лезет...

    З.Ы. ссылки затрите...

  18. #17
    Cybernetic Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    29.12.2008
    Сообщений
    47,541
    Вес репутации
    941

    Итог лечения

    Статистика проведенного лечения:
    • Получено карантинов: 2
    • Обработано файлов: 7
    • В ходе лечения вредоносные программы в карантинах не обнаружены


  • Уважаемый(ая) 17_sqrt_2, наши специалисты оказали Вам всю возможную помощь по вашему обращению.

    В целях поддержания безопасности вашего компьютера настоятельно рекомендуем:


    Надеемся больше никогда не увидеть ваш компьютер зараженным!

    Если Вас не затруднит, пополните пожалуйста нашу базу безопасных файлов.
  • Присоединяйтесь к нам в соцсетях!

    Мы делаем все возможное, чтобы помогать людям в защите и лечении компьютеров.

    Похожие темы

    1. Маскированные процессы
      От DbIMok в разделе Помогите!
      Ответов: 9
      Последнее сообщение: 20.09.2010, 16:18
    2. Зависшие процессы
      От Karen87 в разделе Помогите!
      Ответов: 16
      Последнее сообщение: 28.11.2009, 00:48
    3. процессы
      От belok5 в разделе Помогите!
      Ответов: 1
      Последнее сообщение: 20.11.2009, 22:39
    4. 8.tmp и подобные процессы
      От Diverexe в разделе Помогите!
      Ответов: 7
      Последнее сообщение: 25.10.2009, 13:45
    5. Ответов: 5
      Последнее сообщение: 01.05.2009, 13:20

    Свернуть/Развернуть Ваши права в разделе

    • Вы не можете создавать новые темы
    • Вы не можете отвечать в темах
    • Вы не можете прикреплять вложения
    • Вы не можете редактировать свои сообщения
    •  
    Page generated in 0.01404 seconds with 23 queries