-
Junior Member
- Вес репутации
- 51
Последствия WinLocker
Какой именно Winlock не знаю, выводит сообщение "internet security обнаружил вредоносное по" и т. д. С помощью загрузки с флешки удалось вылечить заразу (CureIt).
После этого в реестре оказалось отключено много всяких вещей (например Диспетчер задач, редактор рееста: их я включил с помощью локальных политик). Но последствия явно не ушли.
1. Так как KIS не хотел запускаться, удалил его, заново он не устанавливается (после распаковки инсталлятора ничего не происходит)
2. Вылетает svchost при подключенном сетевом кабеле.
3. Ну и вообще система работает так, что по ней кто-то прошелся.
Требуемые логи прилагаю. Спасибо за помощь заранее, не хочу переставлять систему.
-
Будь в курсе!
Будь в курсе!
Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:
-
Профиксите:
Код:
F2 - REG:system.ini: UserInit=c:\windows\system32\userinit.exe
Код:
Внимание !!! База поcледний раз обновлялась 21.08.2009 необходимо обновить базы при помощи автоматического обновления (Файл/Обновление баз)
Базы обновите и переделайте логи+ сделайте лог гмер.
-
-
Junior Member
- Вес репутации
- 51
Все сделал, обновленные базы AVZ, что-то нашли
Gmer очень долго сканировал, в итоге оставил на ночь, с утра он вылетел, система вообще не работало (было сообщение об ошибке вроде нехватки системных ресурсов)
-
Отключить восстановление системы, защитное ПО.
Профиксить:
Код:
O20 - AppInit_DLLs: C:\WINDOWS\system32\ntmsoprq.msc:exaS9La5BA
Выполнить скрипт:
Код:
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\Program Files\TortoiseHg\THgShell.dll','');
QuarantineFile('L:\autorun.inf','');
QuarantineFile('C:\WINDOWS\system32\ntmsoprq.msc:exaS9La5BA','');
QuarantineFile('C:\WINDOWS\system32\ntmsoprq.msc','');
QuarantineFile('C:\WINDOWS\system32\ovjp.fbo','');
DeleteFile('C:\WINDOWS\system32\ovjp.fbo');
DeleteFile('C:\WINDOWS\system32\ntmsoprq.msc:exaS9La5BA');
BC_ImportALL;
ExecuteSysClean;
ExecuteWizard('TSW', 2, 2, true);
ExecuteWizard('SCU', 2, 2, true);
BC_Activate;
RebootWindows(true);
end.
Компьютер перезагрузится. Карантин прислать согласно приложению 3. Логи переделать + попытаться сделать лог гмер.
-
-
Junior Member
- Вес репутации
- 51
Дело в том, что WinLocker судя по всему запретил мне отключать восстановление системы (галочка неактивна)
-
пропустите это. Выполняйте скрипт, присылайте карантин и делайте запрашиваемые логи
-
-
Junior Member
- Вес репутации
- 51
Код:
QuarantineFile('C:\Program Files\TortoiseHg\THgShell.dll','');
Вопрос еще один по этой строчке. Это нормальная DLL, приложение называется TortoiseHG, которое устанавливается как shell extention,
QuarantineFile не похачит его? Просто положит в карантин?
-
Сообщение от
Camarada
Просто положит в карантин?
Да
Microsoft MVP 2012-2016 Consumer Security
Microsoft MVP 2016 Reconnect
-
-
Junior Member
- Вес репутации
- 51
Все сделал, карантин выслал (не вижу, чтобы он отображался).
-
Junior Member
- Вес репутации
- 51
Сообщение от
Camarada
Все сделал, карантин выслал (не вижу, чтобы он отображался).
Грешу на svchost, который в логе gmer отображается как Service Hidden
-
Junior Member
- Вес репутации
- 51
Скажите, моя проблема ожидает очереди, или про меня просто забыло, просто уж столько времени ушло на сбор этих логов, хотелось бы, чтобы не зря.
-
Сообщение от
Camarada
Грешу на svchost, который в логе gmer отображается как Service Hidden
Грешу на ложное срабатывание. Но не уверен
Microsoft MVP 2012-2016 Consumer Security
Microsoft MVP 2016 Reconnect
-
-
Junior Member
- Вес репутации
- 51
Сообщение от
thyrex
Грешу на ложное срабатывание. Но не уверен
Дело в том, что процссов svchost аж 7 штук, в то время, как более привычно видеть их 6
-
Запустите AVZ.
Выполните скрипт через меню Файл:
Код:
begin
RegKeyResetSecurity('HKLM', 'SYSTEM\CurrentControlSet\Services\Remotemgmt');
RegKeyResetSecurity('HKLM', 'SYSTEM\CurrentControlSet\Services\Remotemgmt\Parameters');
RegKeyDel('HKLM','SYSTEM\CurrentControlSet\Services\Remotemgmt');
BC_DeleteReg('HKLM\SYSTEM\CurrentControlSet\Services\Remotemgmt');
BC_ImportAll;
BC_Activate;
end.
Проблема решена?
-
-
Junior Member
- Вес репутации
- 51
Сообщение от
AndreyKa
Проблема решена?
Процессов после перезагрузки осталось столько же, инсталл KIS работает по прежнему. Работу с сетевым проводом проверить не удалось пока.
-
Итог лечения
Статистика проведенного лечения:
- Получено карантинов: 1
- Обработано файлов: 12
- В ходе лечения обнаружены вредоносные программы:
- c:\windows\system32\ovjp.fbo - Trojan.Win32.Agent2.cnil ( DrWEB: Trojan.Oficla.4, BitDefender: Trojan.Generic.2994233, NOD32: Win32/Oficla.CS trojan, AVAST4: Win32:Oficla-G [Trj] )
-