Подозрение на вирус

**ramzes50** · 10.02.2010, 09:33

Здравствуйте, не могу отловить вирус.
Симптомы: блокирует антивирусы, меняет файл HOST, блокирует некоторые сайты, в основном ориентированные на борьбу с вирусами.

Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

**PavelA** · 10.02.2010, 10:09

Профиксить:

Код:

F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe
O4 - HKCU\..\Run: [MSConfig] C:\Documents and Settings\Admin\oxpy.exe \u

Выполнить скрипт:

Код:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\Documents and Settings\Admin\oxpy.exe','');
 TerminateProcessByName('c:\windows\system32\wiacmfgr.exe');
 QuarantineFile('c:\windows\system32\wiacmfgr.exe','');
 DeleteFile('c:\windows\system32\wiacmfgr.exe');
 DeleteFile('C:\Documents and Settings\Admin\oxpy.exe');
 BC_DeleteSvc('ICF');
 ExecuteRepair(13);
ExecuteRepair(9);
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Повторить логи после скрипта.
Прислать карантин по правой ссылке.

**ramzes50** · 10.02.2010, 11:21

Карантин отправил, вот новые логи.

**PavelA** · 10.02.2010, 11:53

Новая парочка образовалась:

Код:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\DOCUME~1\Admin\LOCALS~1\Temp\a.dll','');
QuarantineFile('C:\WINDOWS\Temp\tmp263.exe','');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Пришли карантин по Правилам.

**ramzes50** · 10.02.2010, 13:10

Карантин переделал, скрипт выполнил, тут новые логи.

**PavelA** · 10.02.2010, 14:06

'C:\WINDOWS\Temp\tmp263.exe' - этого у Вас что а/вирус съел?
До карантина он не доехал.

Через AVZ Файл - Мастер поиска и устранения проблем - Все проблемы исправить
>> Заблокированы настройки системы System Restore

выполнить скрипт:

Код:

begin
RegKeyStrParamWrite('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows NT\CurrentVersion\Windows', 'AppInit_DLLs', StringReplace(RegKeyStrParamRead('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows NT\CurrentVersion\Windows', 'AppInit_DLLs'), 'C:\DOCUME~1\Admin\LOCALS~1\Temp\a.dll', '')); RegKeyStrParamWrite('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows NT\CurrentVersion\Windows', 'AppInit_DLLs', StringReplace(RegKeyStrParamRead('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows NT\CurrentVersion\Windows', 'AppInit_DLLs'), ',,', ',')); 

RebootWindows(true);
end.

повторить станд. скрипт №2. Лог прислать.

**ramzes50** · 10.02.2010, 15:03

Сделал

**PavelA** · 10.02.2010, 15:12

по мне, в логах чисто. Проблемы остались?

**ramzes50** · 10.02.2010, 15:14

Проблем нет. Спасибо Вам огромное.

**CyberHelper** · 11.02.2010, 15:14

Статистика проведенного лечения:

Получено карантинов: 2
Обработано файлов: 11
В ходе лечения обнаружены вредоносные программы:
1. c:\documents and settings\admin\oxpy.exe - Backdoor.Win32.Cetorp.ak ( DrWEB: BackDoor.Tofsee )
2. c:\windows\system32\wiacmfgr.exe - Trojan.Win32.Refroso.aodd ( DrWEB: BackDoor.IRC.Bot.217, BitDefender: Trojan.Agent.AOOA, AVAST4: Win32:Crypt-FVB [Trj] )

Подозрение на вирус (заявка № 70783)

Опции темы