У меня такая проблема, компьютер атакуется с сайта vvv.cooleasy.com , нод32 постоянно отбивает атаки
У меня такая проблема, компьютер атакуется с сайта vvv.cooleasy.com , нод32 постоянно отбивает атаки
Последний раз редактировалось Evgeny Sorokin; 16.08.2010 в 17:23.
virusinfo_cure.zip - это карантин, надо убрать отсюда,
прикрепить лог virusinfo_syscure.zip
лог авз!!!
Выполните скрипт в безопасном режиме
После перезагрузки выполните второй скриптКод:begin SearchRootkit(true,true); SetAVZGuardStatus(true); QuarantineFile('C:\Documents and Settings\Ксюшка\Application Data\ltzqai.exe',''); QuarantineFile('C:\WINDOWS\system32\drivers\vdi3ndu1.sys',''); QuarantineFile('C:\WINDOWS\system32\msvmiode.exe',''); QuarantineFile('C:\WINDOWS\cfdrive32.exe',''); QuarantineFile('C:\DOCUME~1\4EEA~1\LOCALS~1\Temp\62276.exe',''); QuarantineFile('c:\windows\system32\msvmiode.exe',''); QuarantineFile('c:\windows\cfdrive32.exe',''); DeleteFile('c:\windows\cfdrive32.exe'); DeleteFile('c:\windows\system32\msvmiode.exe'); DeleteFile('C:\DOCUME~1\4EEA~1\LOCALS~1\Temp\62276.exe'); DeleteFile('C:\Documents and Settings\Ксюшка\Application Data\ltzqai.exe'); DeleteFile('C:\WINDOWS\system32\drivers\vdi3ndu1.sys'); RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Advanced DHTML Enable'); DeleteFile('C:\WINDOWS\cfdrive32.exe'); RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','Microsoft Driver Setup'); DeleteFile('C:\WINDOWS\system32\msvmiode.exe'); RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','MSODESNV7'); BC_ImportALL; ExecuteSysClean; BC_Activate; RebootWindows(true); end.
Закачайте полученный карантин по красной ссылке вверху. Повторите логиКод:Begin CreateQurantineArchive('C:\quarantine.zip'); End.
The Truth is Out There
Спасибо, вроде атаки прекратились! Сейчас логи сделаю!
не снова троянят(((((((((((((
Скрипт в безопасном режиме выполняли? Это важно
Выполните скрипт в безопасном режиме
Обновите базы AVZ. Повторите логиКод:begin SearchRootkit(true,true); SetAVZGuardStatus(true); TerminateProcessByName('c:\windows\system32\msvmiode.exe'); TerminateProcessByName('c:\windows\cfdrive32.exe'); DeleteFile('c:\windows\cfdrive32.exe'); DeleteFile('c:\windows\system32\msvmiode.exe'); DeleteFile('C:\Documents and Settings\Ксюшка\Application Data\ltzqai.exe'); RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Microsoft Driver Setup'); RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','Microsoft Driver Setup'); DeleteFile('C:\WINDOWS\system32\msvmiode.exe'); RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','MSODESNV7'); BC_ImportALL; ExecuteSysClean; BC_Activate; ExecuteWizard('SCU', 2, 2, true); RebootWindows(true); end.
The Truth is Out There
Да, в безопасном с поддержкой сетевых драйверов!
всё выполнил в безопасном режиме, сейчас нод32 сканит, вот логи авз и хайджека!
- Выполните скрипт в AVZ
После перезагрузки:Код:begin RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Winlogon','Taskman '); ExecuteRepair(11); RebootWindows(true); end.
- Сделайте повторный лог virusinfo_syscheck.zip;
- Сделайте лог MBAM
пишет авз: подмена диспечера задач, видимо скрипт не помог(((( TASKMAN.EXE ! вот логи авз! щас другой прогой сделаю, Мбамом!
Щас пока он качается, может лог Гмером сделать? не альтернативная программа?
Вот лог мбама
- Выполните скрипт в AVZ
После перезагрузки:Код:begin SearchRootkit(true, true); SetAVZGuardStatus(True); DeleteFileMask(GetAVZDirectory + 'Quarantine', '*.*', true); QuarantineFile('C:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5\C9QNOHEN\g[1].exe',''); QuarantineFile('C:\Qoobox\Quarantine\C\y2b3k2i6x6b9.exe.vir',''); QuarantineFile('C:\RECYCLER\S-1-5-21-2629856818-9392804532-627180005-4860\syscr.exe',''); QuarantineFile('C:\WINDOWS\system32\46.exe',''); DeleteFile('C:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5\C9QNOHEN\g[1].exe'); DeleteFile('C:\Qoobox\Quarantine\C\y2b3k2i6x6b9.exe.vir'); DeleteFile('C:\RECYCLER\S-1-5-21-2629856818-9392804532-627180005-4860\syscr.exe'); DeleteFile('C:\WINDOWS\system32\46.exe'); DeleteFileMask('C:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5', '*.*', true); QuarantineFile('C:\Documents and Settings\Ксюшка\Application Data\ltzqai.exe ',''); QuarantineFile('C:\WINDOWS\system32\msvmiode.exe',''); DeleteFile('C:\Documents and Settings\Ксюшка\Application Data\ltzqai.exe '); DeleteFile('C:\WINDOWS\system32\msvmiode.exe'); DeleteFileMask('C:\RECYCLER\S-1-5-21-2629856818-9392804532-627180005-4860', '*.*', true); DeleteDirectory('C:\RECYCLER\S-1-5-21-2629856818-9392804532-627180005-4860'); RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Winlogon','Taskman '); BC_ImportAll; ExecuteSysClean; ExecuteRepair(11); BC_Activate; RebootWindows(true); end.
- выполните такой скрипт
- Файл quarantine.zip из папки AVZ загрузите по ссылке Прислать запрошенный карантин вверху темыКод:begin CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); end.
- удалите в MBAM, что останется
- Сделайте повторный лог MBAMКод:Зараженные ключи в реестре: HKEY_CURRENT_USER\SOFTWARE\Microsoft\Active Setup\Installed Components\{28abc5c0-4fcb-11cf-aax5-81cx1c635612} (Trojan.Agent) -> No action taken. Зараженные параметры в реестре: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\msodesnv7 (Backdoor.Bot) -> No action taken. HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\shell (Worm.Palevo) -> No action taken. HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\taskman (Worm.Palevo) -> No action taken. Объекты реестра заражены: HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Shell (Hijack.Shell) -> Bad: (C:\Documents and Settings\Ксюшка\Application Data\ltzqai.exe,explorer.exe,C:\RECYCLER\S-1-5-21-2629856818-9392804532-627180005-4860\syscr.exe,Explorer.exe) Good: (Explorer.exe) -> No action taken. Зараженные файлы: C:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5\C9QNOHEN\g[1].exe (Trojan.Downloader) -> No action taken. C:\Qoobox\Quarantine\C\y2b3k2i6x6b9.exe.vir (Trojan.Dropper) -> No action taken. C:\RECYCLER\S-1-5-21-2629856818-9392804532-627180005-4860\syscr.exe (Worm.Autorun.B) -> No action taken. C:\WINDOWS\system32\46.exe (Trojan.Downloader) -> No action taken. C:\Documents and Settings\Ксюшка\Application Data\ltzqai.exe (Worm.Palevo) -> No action taken. C:\WINDOWS\system32\msvmiode.exe (Backdoor.Bot) -> No action taken.
- Сделайте повторный лог virusinfo_syscheck.zip;
Вроде всё нормально, Мбам ничего не нашёл, а вот лог авз
wscntfy.exe в диспетчере задач, это нормальный процесс?
в логе чисто.
Добавлено через 1 минуту
осталось обновиться:
- Установите Internet-Explorer 8.(даже если Вы его не используете)
- Поставте все последние обновления системы Windows - тут
Последний раз редактировалось polword; 17.08.2010 в 17:43. Причина: Добавлено
Сейчас снова какая-то атака была и принтер стал печатать белые листы...
нод написал:
Адрес заблокирован
Адрес URL: 208.53.183.124/irc2.exe
IP-адрес: 208.53.183.124:80
обновитесь. После отпишитесь о проблеме
Не хочет винда обновляться, к сожалению, а проблема была описана выше, начал печатать принтер пустые страницы, одновременно нод заблокировал адрес!
Уважаемый(ая) Evgeny Sorokin, наши специалисты оказали Вам всю возможную помощь по вашему обращению.
В целях поддержания безопасности вашего компьютера настоятельно рекомендуем:
Чтобы всегда быть в курсе актуальных угроз в области информационной безопасности и сохранять свой компьютер защищенным, рекомендуем следить за последними новостями ИТ-сферы портала Anti-Malware.ru:
Надеемся больше никогда не увидеть ваш компьютер зараженным!
Если Вас не затруднит, пополните пожалуйста нашу базу безопасных файлов.