-
Junior Member
- Вес репутации
- 50
Непонятки после лечения win32.sector.16
Здравствуйте. Несколько дней назад стартовой страницей фаерфокса стала webalta.ru, а также самопроизвольно установилась програмка с танцующими стриптизёршами возле системных часов. Програмка была удалена, но вебальта осталаь. Выяснилось, что, помимо прочего, я поймал файловый вирус win32.sector.16, который был успешно пролечен DR Web'ом и перепроверен Касперским с ЛайвСД. После загрузки с винта удалось с помощью AVZ разблокировать Диспетчер Задач и Диспетчер реестра (они были "заблокированы администратором"). Внешне все выглядит прилично, но при проверке AVZ было обнаружено:
1. Надстройка для IE {710EB7A1-45ED-11D0-924A-0020AFC7AC4D} которую мне не удалось удалить средствами AVZ
2. Перехват функций spuy.sys и spwy.sys, хотя Daemon tools на момент сканирования был отключен
3. Вот такая фигня:
П\FileSystem\ntfs[IRP_MJ_CREATE] = 89BA61F8 -> перехватчик не определен
\FileSystem\ntfs[IRP_MJ_CLOSE] = 89BA61F8 -> перехватчик не определен
\FileSystem\ntfs[IRP_MJ_WRITE] = 89BA61F8 -> перехватчик не определен
\FileSystem\ntfs[IRP_MJ_QUERY_INFORMATION] = 89BA61F8 -> перехватчик не определен
\FileSystem\ntfs[IRP_MJ_SET_INFORMATION] = 89BA61F8 -> перехватчик не определен
\FileSystem\ntfs[IRP_MJ_QUERY_EA] = 89BA61F8 -> перехватчик не определен
\FileSystem\ntfs[IRP_MJ_SET_EA] = 89BA61F8 -> перехватчик не определен
\FileSystem\ntfs[IRP_MJ_QUERY_VOLUME_INFORMATION] = 89BA61F8 -> перехватчик не определен
\FileSystem\ntfs[IRP_MJ_SET_VOLUME_INFORMATION] = 89BA61F8 -> перехватчик не определен
\FileSystem\ntfs[IRP_MJ_DIRECTORY_CONTROL] = 89BA61F8 -> перехватчик не определен
\FileSystem\ntfs[IRP_MJ_FILE_SYSTEM_CONTROL] = 89BA61F8 -> перехватчик не определен
\FileSystem\ntfs[IRP_MJ_DEVICE_CONTROL] = 89BA61F8 -> перехватчик не определен
\FileSystem\ntfs[IRP_MJ_LOCK_CONTROL] = 89BA61F8 -> перехватчик не определен
\FileSystem\ntfs[IRP_MJ_QUERY_SECURITY] = 89BA61F8 -> перехватчик не определен
\FileSystem\ntfs[IRP_MJ_SET_SECURITY] = 89BA61F8 -> перехватчик не определен
\FileSystem\ntfs[IRP_MJ_PNP] = 89BA61F8 -> перехватчик не определен
\FileSystem\FastFat[IRP_MJ_CREATE] = 89295500 -> перехватчик не определен
\FileSystem\FastFat[IRP_MJ_CLOSE] = 89295500 -> перехватчик не определен
\FileSystem\FastFat[IRP_MJ_WRITE] = 89295500 -> перехватчик не определен
\FileSystem\FastFat[IRP_MJ_QUERY_INFORMATION] = 89295500 -> перехватчик не определен
\FileSystem\FastFat[IRP_MJ_SET_INFORMATION] = 89295500 -> перехватчик не определен
\FileSystem\FastFat[IRP_MJ_QUERY_EA] = 89295500 -> перехватчик не определен
\FileSystem\FastFat[IRP_MJ_SET_EA] = 89295500 -> перехватчик не определен
\FileSystem\FastFat[IRP_MJ_QUERY_VOLUME_INFORMATION] = 89295500 -> перехватчик не определен
\FileSystem\FastFat[IRP_MJ_SET_VOLUME_INFORMATION] = 89295500 -> перехватчик не определен
\FileSystem\FastFat[IRP_MJ_DIRECTORY_CONTROL] = 89295500 -> перехватчик не определен
\FileSystem\FastFat[IRP_MJ_FILE_SYSTEM_CONTROL] = 89295500 -> перехватчик не определен
\FileSystem\FastFat[IRP_MJ_DEVICE_CONTROL] = 89295500 -> перехватчик не определен
\FileSystem\FastFat[IRP_MJ_LOCK_CONTROL] = 89295500 -> перехватчик не определен
\FileSystem\FastFat[IRP_MJ_PNP] = 89295500 -> перехватчик не определен
4. Стартовой страницей фаерфокса стала webalta.ru, и сменить её стандартными средствами не получается.
Хотелось бы быть уверенным, что вирус полностью убит, но эти непонятки не дают расслабиться. Жду вашей кнсультации, заранее спасибо.
P.S. При лечении так же были убиты 2 копии модификации Win32.sector.5 и один trojan.clicker, названия точно не помню, а логи Др.Веба не сохранились, остались на рам-диске
Последний раз редактировалось olejah; 30.09.2010 в 22:54.
Причина: Деактивировал ссылку
-
Будь в курсе!
Будь в курсе!
Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:
-
Выполните скрипт в AVZ
Код:
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteService('abp470n5');
DeleteFile('C:\WINDOWS\system32\drivers\jpgmnp.sys');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
Компьютер перезагрузится.
Сделайте лог ComboFix
Microsoft MVP 2012-2016 Consumer Security
Microsoft MVP 2016 Reconnect
-
-
Junior Member
- Вес репутации
- 50
Спасибо, что откликнулись.
1. Скрипт AVZ выполнился без ошибок
2. При перезагрузке (на стадии выключения) windows выдал ошибку: "инструкция по адресу "0x7с92... ...память не может быть "read" записать не успел
3. ComboFix при запуске выдал ошибку без текста, произошла перезагрузка,выскакивали ошибки Daemontools и mbr.cfxxe
4. После завершения работы Комбофикса, при запуске браузера, вылетела ошибка NSIS Error
5. Лог прилагается
Так и должно быть?
-
Junior Member
- Вес репутации
- 50
Буду ждать развития темы завтра. Спокойной ночи
Добавлено через 9 часов 47 минут
Вот и новый день, а здесь, по-прежнему, пусто...
Добавлено через 8 часов 9 минут
Люди, откликнитесь пожалуйста. Нужна помощь!
Последний раз редактировалось Shkololo; 01.10.2010 в 17:56.
Причина: Добавлено
-
Junior Member
- Вес репутации
- 50
ОК, раз никто больше не откликается, будем переставлять винду. Спасибо thyrex, тема закрывается.
-
В логе плохого не видно. В перехватах тоже
Удалите ComboFix
Microsoft MVP 2012-2016 Consumer Security
Microsoft MVP 2016 Reconnect
-