Помогите вылечить компьютер.

**Sergei_K** · 14.05.2009, 19:09

Вставляем в компьютер флешку, на флешке появляется файл autorun.exe. Проверьте логи.

Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

**eifory** · 14.05.2009, 20:31

- отключите восстановление системы
- выполните скрипт в AVZ (файл-выполнить скрипт. Подробнее):

Код:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
 QuarantineFile('PSUWNP.dll','');
 QuarantineFile('C:\WINDOWS\system32\drive\calling.com','');
 QuarantineFile('C:\autorun.inf','');
 QuarantineFile('C:\Program Files\Microsoft Common\svchost.exe','');
 QuarantineFile('C:\WINDOWS\system32\cpadvai.dll','');
 QuarantineFile('C:\WINDOWS\Temp\rdl3A.tmp.exe','');
 QuarantineFile('C:\WINDOWS\system32\config\systemprofile\Local Settings\Temporary Internet Files\Content.IE5\GGLNYUKL\pin[1].exe','');
 QuarantineFile('C:\System Volume Information\_restore{6407FED2-8DCE-4E7E-89F0-D1B8B2903EDC}\RP244\A0073624.msi','');
 QuarantineFile('C:\System Volume Information\_restore{6407FED2-8DCE-4E7E-89F0-D1B8B2903EDC}\RP245\A0073676.msi','');
 DeleteFile('C:\Program Files\Microsoft Common\svchost.exe');
 DeleteFile('C:\autorun.inf');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
ExecuteRepair(9);
RebootWindows(true);
end.

- компьютер перезагрузится
- пришлите карантин (Правила - приложение 3)
- выполните новые логи

**Sergei_K** · 15.05.2009, 17:28

Скрипт запустил, карантин выслал, логи прилагаю.

Проверьте, пожалуйста, логи. Очень хочется знать вылечился компьютер или еще нет.
И отдельный вопрос. Что и где почитать, что бы научиться "лечить" компьютеры по информации собранной программой AVZ?

**Rene-gad** · 18.05.2009, 10:46

- отключите восстановление системы
- выполните новые логи

**PavelA** · 18.05.2009, 11:51

Сообщение от Sergei_K

И отдельный вопрос. Что и где почитать, что бы научиться "лечить" компьютеры по информации собранной программой AVZ?

У нас есть учебный курс для обучения. Вступайте в "Студенты"!!
http://virusinfo.info/showthread.php?t=15090

**Sergei_K** · 18.05.2009, 18:59

1.Восстановление отключил, логи прилагаю.
2.Оставил заявку для зачисления в студенты. Очень хочется научиться лечить компьютеры самому. Имея 15-летний опыт программирования, надеюсь освоить сию науку.

**Rene-gad** · 18.05.2009, 19:38

Сделайте проверку на файловые вирусы - на всякий пожарный.

Закройте/выгрузите все программы кроме AVZ и Internet Explorer.
Отключите
- ПК от интернета/локалки
- Антивирус и Файрвол.
- Системное восстановление.

- Выполните скрипт

Код:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\system32\cpadvai.dll','');
 QuarantineFile('C:\WINDOWS\Temp\rdl3A.tmp.exe','');
 QuarantineFile('C:\WINDOWS\SYSTEM32\PSUWNP.dll','');
 QuarantineFile('C:\WINDOWS\system32\config\systemprofile\Local Settings\Temporary Internet Files\Content.IE5\GGLNYUKL\pin[1].exe','');
 DeleteFile('C:\WINDOWS\system32\config\systemprofile\Local Settings\Temporary Internet Files\Content.IE5\GGLNYUKL\pin[1].exe');
 DeleteFile('C:\WINDOWS\Temp\rdl3A.tmp.exe');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

После перезагрузки:

- Очистите темп-папки, кэш проводников и корзину.
- Закройте все программы, включая Антивирус и Файрвол, Оставьте запущенным только Internet Explorer. Если он не запущен - запустите!!!
- Сделайте повторные логи
virusinfo_syscure.zip
virusinfo_syscheck.zip
hijackthis.log
- Включите Антвирус и Файрволл
- Подключите ПК к интернету/локалке
- Закачайте карантин по ссылке Прислать запрошенный карантин вверху темы (Приложение 3 правил).
- Прикрепите логи к новому сообщению.

**Sergei_K** · 20.05.2009, 18:13

Все выполнено, логи прилагаю.

**Sergei_K** · 22.05.2009, 14:34

Очень хочется знать, вылечился ли коммпьютер.

**PavelA** · 22.05.2009, 14:46

Выполнить скрипт:

Код:

begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\system32\drive\calling.com','');
RebootWindows(true);
end.

Сделать заново логи после перезагрузки.
Загрузить карантин по Правилам через http://virusinfo.info/upload_virus.php?tid=45768

**Sergei_K** · 27.05.2009, 17:36

А вот карантина нет. Не смог он ничего в карантин записать. При выполнении скрипта было написано - Ошибка прямого чтения.

**Rene-gad** · 27.05.2009, 19:43

Скачайте IceSword , поищите и скопируйте файлы:

Код:

C:\WINDOWS\system32\drive\calling.com

Скопированные с помощью IceSword файлы сохраните в карантине (Приложение 2 правил).
Потом удалите их с помощью force delete
Если Вы какие-то файлы не обнаружите - переходите к следующему шагу.

Закройте/выгрузите все программы кроме AVZ и Internet Explorer.
Отключите
- ПК от интернета/локалки
- Антивирус и Файрвол.
- Системное восстановление.

- Выполните скрипт

Код:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 ClearQuarantine;
 QuarantineFile('C:\autorun.inf','');
 QuarantineFile('C:\WINDOWS\system32\drive\calling.com','');
 DeleteFile('C:\WINDOWS\system32\drive\calling.com');
 DeleteFile('C:\autorun.inf');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

После перезагрузки:

- Очистите темп-папки, кэш проводников и корзину.
- Закройте все программы, включая Антивирус и Файрвол, Оставьте запущенным только Internet Explorer. Если он не запущен - запустите!!!
- Сделайте повторные логи
virusinfo_syscure.zip
virusinfo_syscheck.zip
hijackthis.log
- Включите Антвирус и Файрволл
- Подключите ПК к интернету/локалке
- Закачайте карантин по ссылке Прислать запрошенный карантин вверху темы (Приложение 3 правил).
- Прикрепите логи к новому сообщению.

**Sergei_K** · 28.05.2009, 12:35

Файла C:\WINDOWS\system32\drive\calling.com не нашлось.
Файл cpadvai.dll на который казался подозрительным программе AVZ, насколько я выяснил, принадлежип программе КриптоПро.

**Rene-gad** · 28.05.2009, 13:21

Код:

 C:\WINDOWS\SYSTEM32\PSUWNP.dll

Поищите и пришлите файл по правилам (приложения 2 и 3).

**Sergei_K** · 28.05.2009, 14:09

Карантин выслал.

Хочется узнать вылечился компьютер или еще нет?

**PavelA** · 29.05.2009, 15:49

Да, можно считать что вылечились.
В карантине файл чистый.

**Sergei_K** · 29.05.2009, 16:43

Начинаю учиться сам, надеюсь, быть полезным Вашему сайту и его посетителям.

**CyberHelper** · 30.05.2009, 16:43

Статистика проведенного лечения:

Получено карантинов: 4
Обработано файлов: 52
В ходе лечения обнаружены вредоносные программы:
1. c:\windows\system32\config\systemprofile\local settings\temporary internet files\content.ie5\gglnyukl\pin[1].exe - Trojan.Win32.Buzus.azbz ( DrWEB: Trojan.PWS.LDPinch.4308 )
2. c:\windows\temp\rdl3a.tmp.exe - Trojan.Win32.Buzus.azbz ( DrWEB: Trojan.PWS.LDPinch.4308 )

Помогите вылечить компьютер. (заявка № 45768)

Опции темы