Вирус в корпоротивной сети

[potos]

Доброго времени суток!
Ситуация следующая: имеется несколько серверов, и порядочное число пользовательских машин. Сервера под управлением ВИн2003, пользаки под ХР все. Из серверов создан файловый массив. В силу того, что компания по разным причинам не смогла приобрести лицензию на антивирус, в сети поселилась какая-то зараза, которая блокирует доступ к диспетчеру задач и сильно осложняет работу пользователей. Подскажите можно ли авз что либо в данном случае сделать? Опыта в подобных делах у меня не много... Но если будет инструкция, то выполнить смогу. Заранее спасибо за ответы.

[Bratez]

Сделайте логи по правилам хотя бы на одном ПК, где присутствуют симптомы заражения.

[potos]

Пробывал запустить хоть какую-либо утилиту, через буквально несколько секунд она закрывается, в частности AVZ. Dr.Web CureIt вообще не запускается, а система рассматривает это как самораспаковывающийся архив. при попытке зайти в безопастном режиме, уходит в перезагрузку.

Добавлено через 23 минуты

Только что пришла в голову мысль, но перед этим вопрос: АВЗ будет работать если сделать загрузочную флешку и запускать утилиту с флешки, без выхода и интернет?

[Rene-gad]

компания по разным причинам не смогла приобрести лицензию на антивирус

Одну из причин мы знаем - недопонимание момента и неумение считать деньги.

Подскажите можно ли авз что либо в данном случае сделать?

Купить лицензию

Скачайте Special AVZ (alias kiss_me.pif) и сделайте логи им. Базы обновлять не надо.
Где находится исполняемый файл - не важно.

[potos]

Ура! Запустилось! Вот что получилось, при "собирание данных для раздела "Помогите!"... Или что-то не так сделал?

В логах три файла, но два из них не загружаются... расширения неподходят...

[Rene-gad]

В логах три файла, но два из них не загружаются... расширения неподходят...

Прочитайте еще раз раздел Диагностика правил.

Пролечитесь от файловых вирусов: http://virusinfo.info/showthread.php?t=15927.

Повторите в точности действия, описанные в пп.1 - 3 раздела правил Диагностика, новые логи прикрепите к новому сообщению.

[potos]

Долго мучался, но на одной машине получилось просканить указанным способом и собрать логи...

[Белый Сокол]

Выполните скрипт в AVZ (AVZ, Меню Файл\Выполнить скрипт. Подробнее...):

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(true);
 QuarantineFile('temp.exe','');
 QuarantineFile('P:\autorun.inf','');
 QuarantineFile('P:\jsjrq.exe','');
 QuarantineFile('c:\huadio.tmp','');
 DeleteService('autorun');
 QuarantineFile('C:\WINDOWS\System32\Drivers\SENTINEL.SYS','');
 TerminateProcessByName('c:\docume~1\b666~1\locals~1\temp\winslwhk.exe');
 QuarantineFile('c:\docume~1\b666~1\locals~1\temp\winslwhk.exe','');
 TerminateProcessByName('c:\windows\svchost.exe');
 QuarantineFile('c:\windows\svchost.exe','');
 DeleteFile('c:\windows\svchost.exe');
 DeleteFile('c:\docume~1\b666~1\locals~1\temp\winslwhk.exe');
 DeleteFile('c:\huadio.tmp');
 DeleteFile('P:\jsjrq.exe');
 DeleteFile('P:\autorun.inf');
 DeleteFile('temp.exe');
 DeleteFileMask('%Tmp%', '*.*', true);
 BC_ImportDeletedList;
 ExecuteRepair(9);
 ExecuteRepair(13);
 ExecuteSysClean;
 BC_Activate;
 SetAVZPMStatus(true);
 RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.

После перезагрузки пришлите попавшие в карантин файлы согласно правилам (для отправки файлов следует воспользоваться ссылкой "Прислать запрошенные файлы" над первым сообщением темы).

И просканируйте его тщательно с помощью LiveCD, это будет намного эффективнее.

[potos]

Карантин закачал, теперь снова проверить систему и логи прислать? Или подождать решения по файлам карантина?

[Белый Сокол]

Делайте это:

просканируйте его тщательно с помощью LiveCD, это будет намного эффективнее.

[potos]

Если я могу просканировать с незараженного ПК через сеть путём подключения диска С:\ к себе как сетевого... А на ПК установлен Др.Веб... Просто я к тому, что имеющийся Лав СД всё таки не всегда актуальные базы.. Или луше на ПК всё таки ЛавСД просканировать?

[thyrex]

Просто я к тому, что имеющийся Лав СД всё таки не всегда актуальные базы..

Образ DrWeb LiveCD обновляется ежедневно

[potos]

Просканировал LiveCD, но диспетчер задач так и не получается запустить никакими способами.

[thyrex]

диспетчер задач так и не получается запустить никакими способами.

Новые логи предоставьте

[potos]

Добрый день. Проделал следующие операции: установил на чистый ПК ОС, поставил последний антивирус Касперского, пробную 30-тидневную версию, с заражённого ПК снял жеский диск, проверил его на чистом ПК с Каспером, установил обратно и в AVZ выполнил скрипт: разблокирование диспетчера задач. Вроде помогло. Есть ли смысл приложить новые логи?

Добавлено через 1 минуту

Теперь новая проблемма: не могу включить опцию отображения скрытых файлов.

[thyrex]

Выполните скрипт в AVZ

begin
ExecuteRepair(6);
ExecuteRepair(8);
RegKeyIntParamWrite('HKLM', 'SOFTWARE\Microsoft\Windows\CurrentVersion\policies\NonEnum', '{BDEADF00-C265-11D0-BCED-00A0C90AB50F}', 1); 
RebootWindows(true);
end.

Компьютер перезагрузится.

Помогло?

[potos]

Да, спасибо огромное, помогло.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 4
• В ходе лечения обнаружены вредоносные программы:
  
  1. p:\jsjrq.exe - Virus.Win32.Sality.aa ( DrWEB: Win32.Sector.17, BitDefender: Win32.Sality.OG, NOD32: Win32/Sality.NAU virus, AVAST4: Win32:Sality )