services.exe атакует

**soiberg** · 26.05.2010, 20:30

Началось все с банеров порно характера, мол отправьте смс чтобы его снять, снял банера, проверил авп 7, обнаружил services.exe, удалить не получается, по рекомендации авп пытался создать бат файл и через реестр удалить ыукмшсуы, но тоже не вышло. ПОМОГИТЕ)

Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

**soiberg** · 26.05.2010, 20:57

Да и авп выдает что этот файл пытается сделать подключение куда то, ну и блокирует его по моей просьбе

**AndreyKa** · 26.05.2010, 21:59

Закройте все программы. Запустите AVZ. Выполните скрипт через меню Файл:

Код:

begin
 SetAVZGuardStatus(True);
ExecuteWizard('TSW', 2, 2, true);
 QuarantineFile('\\?\globalroot\systemroot\system32\DXPL6pF.exe','');
 QuarantineFile('\\?\globalroot\systemroot\system32\faUYpAU.exe','');
 QuarantineFile('C:\Documents and Settings\All Users\iexplore.exe','');
 DeleteFile('C:\Documents and Settings\All Users\iexplore.exe');
 BC_DeleteFile('\\?\globalroot\systemroot\system32\faUYpAU.exe');
 BC_DeleteFile('\\?\globalroot\systemroot\system32\DXPL6pF.exe');
 BC_ImportAll;
 ExecuteSysClean;
 BC_Activate; 
RebootWindows(true);
end.

Компьютер перезагрузится.
Пришлите файлы из карантина AVZ (см. приложение 3 Правил), используя ссылку Прислать запрошенный карантин, вверху этой темы.
Обновите базы AVZ.
Сделайте новый лог из пункта 2 Диагностики (virusinfo_syscheck.zip) и приложите к этой теме.

**soiberg** · 27.05.2010, 13:26

Сообщение Касперского: Процесс пытается внедриться в другой процесс.
Потенциально опасное ПО : invader
Процесс (PID:140

: C:\WINDOWS\system32\services.exe

Результат загрузки
Файл сохранён как 100527_132516_virus_4bfe3a7c3c881.zip
Размер файла 6418273
MD5 b34df06deff9923c938ab6ede5c75e5f

Файл закачан, спасибо!

Только помоему services.exe он не записал в карантин, а как avz обновить?

**soiberg** · 27.05.2010, 13:47

ах да, и у архива пароль вирус
вот еще virusinfo_syscheck.zip

**AndreyKa** · 27.05.2010, 14:55

Запустите AVZ.
Выполните скрипт через меню Файл:

Код:

begin
 ExecuteStdScr(5);
DeleteFileMask(GetAVZDirectory+'Quarantine', '*.*', true);
DeleteFile('C:\Documents and Settings\Администратор\Application Data\Microsoft\Internet Explorer\Quick Launch\Запустить обозреватель Internet Explorer.lnk');
end.

Пофиксте в HijackThis строку:

F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,\\?\glob alroot\systemroot\system32\faUYpAU.exe,\\?\globalr oot\systemroot\system32\DXPL6pF.exe,

Выполните в AVZ скрипт ScanVuln.txt и приложите сюда файл avz_log.txt из под-папки log.
Пройдитесь по ссылкам из файла avz_log.txt и установите обновления.
Перезагрузите компьютер.
Снова выполните этот скрипт и убедитесь, что уязвимости устранены.

Установите антивирус поновее.

**soiberg** · 27.05.2010, 21:17

не стал обновлять оперу, потому что ей не пользуюсь, касперский продолжает сообщать о вмешательствах services.exe
ничего не помогло

**soiberg** · 27.05.2010, 21:41

27.05.2010 21:39:34 C:\WINDOWS\system32\services.exe Внедряемый процесс: C:\WINDOWS\system32\services.exe ID процесса (PID): 1408 Попытка внедрения в процесс: C:\Program Files\Internet Explorer\iexplore.exe ID процесса (PID): 2244