Junior Member
Вес репутации
62
DRWEB определяются вирусы
При проверке DRWEB определяются вирусы
srvc.exe и helpersrvc (Backdoor.mailbot). Удалены автоматически. Однако в интернете комп что-то качает. Через некотрое время при новой проверке вышеуказанные файлы опять появляются. В папке Тemp определются как вирусы файлы 3.exe и 3[1].exe
Вложения
Будь в курсе!
Будь в курсе!
Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)
Без установки SP2 и нескольких десятков исправлений после него, лечение может оказаться бесполезным.
АВЗ - файл - выполнить скрипт
Код:
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\(XPROOT)\System32\rpcc.dll','');
QuarantineFile('C:\(XPROOT)\system32\ymssmsgs.exe','');
QuarantineFile('C:\(XPROOT)\system32\srvc.exe','');
QuarantineFile('C:\(XPROOT)\system32\mnew1winc.exe','');
QuarantineFile('C:\(XPROOT)\system32\lrsys1.exe','');
QuarantineFile('C:\(XPROOT)\system32\itunesff.exe','');
QuarantineFile('C:\(XPROOT)\System32\vbsys2.dll','');
QuarantineFile('C:\(XPROOT)\(Users)\Администратор\loadme1.exe3072.exe','');
QuarantineFile('C:\(XPROOT)\(Users)\Администратор\2.exe','');
QuarantineFile('C:\(XPROOT)\System32\svcchosst.exe','');
QuarantineFile('c:\(xproot)\system32\helpersrvc.exe','');
QuarantineFile('C:\(XPROOT)\(Users)\Администратор\3.exe','');
DeleteFile('C:\(XPROOT)\(Users)\Администратор\3.exe');
DeleteFile('c:\(xproot)\system32\helpersrvc.exe');
DeleteFile('C:\(XPROOT)\System32\svcchosst.exe');
DeleteFile('C:\(XPROOT)\(Users)\Администратор\2.exe');
DeleteFile('C:\(XPROOT)\(Users)\Администратор\loadme1.exe3072.exe');
DeleteFile('C:\(XPROOT)\System32\vbsys2.dll');
DeleteFile('C:\(XPROOT)\system32\itunesff.exe');
DeleteFile('C:\(XPROOT)\system32\lrsys1.exe');
DeleteFile('C:\(XPROOT)\system32\mnew1winc.exe');
DeleteFile('C:\(XPROOT)\system32\srvc.exe');
DeleteFile('C:\(XPROOT)\system32\ymssmsgs.exe');
DeleteFile('C:\(XPROOT)\System32\rpcc.dll');
ExecuteSysClean;
RebootWindows(true);
end.
Компьютер перезагрузится, после перезагрузки прислать согласно правил карантин сюда http://virusinfo.info/upload_virus.php?tid=9142
Пофиксить в HijackThis
Код:
O16 - DPF: {64311111-1111-1121-1111-111191113457} - file://c:\eied_s7.cab
O20 - Winlogon Notify: rpcc - C:\(XPROOT)\System32\rpcc.dll
Сделать новые логи.
Junior Member
Вес репутации
62
Спасибо
Все сделал. В приложении новые логи. DRWEB ничего не показывает при сканировании. Комп перестал качать. Надеюсь,что все получилось. Спасибо огромное.
Вложения
Если не ставили стартовой страницей То пофиксите строчку
Код:
O14 - IERESET.INF: START_PAGE_URL=www.hotbox.ru
И пофиксить особым образом (каким, написано здесь - http://virusinfo.info/showpost.php?p=80604&postcount=2 ) строчки
Код:
O23 - Service: Win32 Login Service (Win32 Login) - Unknown owner - C:\(XPROOT)\win32logon.exe (file missing)
O23 - Service: Win32 Kernel Update (Win32Kernel) - Unknown owner - C:\(XPROOT)\win32host.exe (file missing)
И повторить лог HijackThis
И не забывайте про то, что я писал чуть выше - без установки SP2 и нескольких десятков исправлений после него, лечение может оказаться бесполезным. И антивирус с фаерволом поставьте. Иначе будете нашим постоянным клиентом
Итог лечения
Статистика проведенного лечения:
Получено карантинов: 1 Обработано файлов: 2 В ходе лечения обнаружены вредоносные программы:
c:\\(xproot)\\system32\\rpcc.dll - Trojan-Proxy.Win32.Dlena.al (DrWEB: Trojan.Spambot) c:\\(xproot)\\system32\\svcchosst.exe - Trojan-Proxy.Win32.Slaper.e (DrWEB: BackDoor.IRC.Sdbot.1397)