опять троян, посмотрите плиз логи

**pcsoft** · 01.06.2009, 13:29

опять троян

вот что говорит Авира:

C:\WINDOWS\I386\SVCPACK\Logo.exe
[0] Archive type: RAR SFX (self extracting)
--> oemlogo.exe
[DETECTION] Is the TR/Agent.221001.A Trojan

помогите убить врага

Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

**Rene-gad** · 01.06.2009, 15:18

Загружена база: сигнатуры - 217772, нейропрофили - 2, микропрограммы лечения - 56, база от 07.04.2009 23:20

Обновите базы, сделайте 3 лога по правилам.

**pcsoft** · 01.06.2009, 17:30

новые логи

**Rene-gad** · 01.06.2009, 17:54

Сообщение от Rene-gad

сделайте 3 лога по правилам.

Сколько логов Вы сделали? Закрыть тему сейчас???

**pcsoft** · 01.06.2009, 19:21

не надо пока закрывать,

извините за нарушения-вирусы достали=теряю ориентацию

Добавлено через 1 час 21 минуту

не получаеться сделать virusinfo_syscure.zip, скрипт выполняеться, а логов не видно

**Rene-gad** · 01.06.2009, 20:02

Сообщение от pcsoft

не получаеться сделать virusinfo_syscure.zip, скрипт выполняеться, а логов не видно

Вы Авиру выключаете перед запуском АВЗ?

**pcsoft** · 01.06.2009, 20:50

да

**Rene-gad** · 01.06.2009, 21:34

Я в прикрепленных логах ничего плохого не вижу.
Попробуйте так:
1. Пуск/Выполнить... набрать msconfig, нажать клавишу ВВОД.
2. В карточке Автозапуск - Все отключить
3. В карточке Службы - Службы Windows не показывать, остальные отключить.
4. - Выполните скрипт

Код:

begin
SetAVZPMStatus(false);
RebootWindows(true);
end.

После перезагрузки сделайте лог
virusinfo_syscure.zip

**pcsoft** · 02.06.2009, 00:01

virusinfo_syscure.zip опять не делаеться - по ходу там КИДО сидит C:\WINDOWS\system32\oaqhxcp.dll

**Rene-gad** · 02.06.2009, 00:16

Возьмите специальный АВЗ по ссылке в подписи, там базы не обновляются.
- Выполните скрипт

Код:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\oaqhxcp.dll','');
DeleteFile('C:\WINDOWS\system32\oaqhxcp.dll');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Попробуйте сделать логи.

**pcsoft** · 02.06.2009, 00:22

Special AVZ не качается, пишет

This site is no longer in service or has been disabled due to a terms of service violation

**Rene-gad** · 02.06.2009, 00:26

У меня работает: http://www.speedshare.org/download.php?id=DEAC5E593

**pcsoft** · 02.06.2009, 01:04

Ошибка в работе антируткита [Failed to set data for 'DisplayName'], шаг [14]

**Rene-gad** · 02.06.2009, 01:06

Вынесу тему на консилиум...
А скрипт выполнить удалось: http://virusinfo.info/showpost.php?p...8&postcount=10 ?

**pcsoft** · 02.06.2009, 01:16

наверное нет

**Kuzz** · 02.06.2009, 09:15

pig подсказывает, что это Outpost мешает выполнить скрипт.
Выключите его и попытайтесь сделать 3-й лог

**pcsoft** · 02.06.2009, 10:17

да нет-Outpost отключен, там КИДО, я не могу на антивирусные сайты зайти

**Kuzz** · 02.06.2009, 10:22

Похоже это как раз для Вас:

Краткое описание семейства Net-Worm.Win32.Kido. (По ESETу Win32/Conficker)
Способы удаления
Удаление сетевого червя производится с помощью специальной утилиты KK.exe.

Локальное удаление:

1. Скачайте архив KK_v3.4.7.zip и распакуйте его в отдельную папку на зараженной машине.
2. Запустите файл KK.exe .

Замечание
По окончании сканирования на компьютере возможно присутствие активного окна командной строки, ожидающего нажатия любой клавиши для закрытия. Для автоматического закрытия окна рекомендуем запускать утилиту KK.exe с ключом -y.
3. Дождитесь окончания сканирования.
ВниманиеЕсли на компьютере, на котором запускается утилита KK.exe , установлен Agnitum Outpost Firewall, то по окончании работы утилиты обязательно перезагрузите компьютер.
4. Выполните сканирование всего компьютера с помощью вашего Антивируса.

Внимание! С целью предохранения от заражения на всех рабочих станциях и серверах сети необходимо провести следующий комплекс мер:
* Установить патчи, закрывающие уязвимости MS08-067, MS08-068, MS09-001 (на данных страницах вам необходимо выбрать операционную систему, которая установлена на зараженном компьютере, скачать нужный патч и установить его).
* Удостовериться, что пароль учетной записи локального администратора устойчив ко взлому - пароль должен содержать не менее шести символов, с использованием разных регистров и/или цифр. Либо сменить ранее установленный пароль локального администратора.
* Отключить автозапуск исполняемых файлов со съемных носителей, запустив утилиту KK.exe с ключом -a.
* Заблокировать доступ к TCP-портам: 445 и 139 с помощью сетевого экрана.