avast 5 free пишет что заблокировал ip xxxxx... (постоянно разные)
через файл svchost.exe
drweb нашел только Trojan.Spambot.9106
avast 5 free пишет что заблокировал ip xxxxx... (постоянно разные)
через файл svchost.exe
drweb нашел только Trojan.Spambot.9106
Закройте все программы
Отключите
- ПК от интернета/локалки.
- Антивирус и Файрвол
- Системное восстановление
Выполните скрипт в АВЗ -
После выполнения скрипта компьютер перезагрузится.Код:begin SearchRootkit(true, true); SetAVZGuardStatus(true); DeleteFileMask(GetAVZDirectory + 'Quarantine', '*.*', true); TerminateProcessByName('c:\docume~1\ПОЛЬЗО~1\locals~1\temp\48807.exe'); TerminateProcessByName('c:\windows\cwdrive32.exe'); QuarantineFile('C:\DOCUME~1\ПОЛЬЗО~1\LOCALS~1\Temp\48807.exe',''); QuarantineFile('c:\docume~1\ПОЛЬЗО~1\locals~1\temp\48807.exe',''); QuarantineFile('C:\Documents and Settings\пользователь\Application Data\ltzqai.exe',''); QuarantineFile('C:\WINDOWS\system32\05.exe',''); QuarantineFile('C:\WINDOWS\system32\37.exe',''); QuarantineFile('C:\WINDOWS\cwdrive32.exe',''); DeleteFile('C:\WINDOWS\cwdrive32.exe'); DeleteFile('C:\WINDOWS\system32\37.exe'); DeleteFile('C:\WINDOWS\system32\05.exe'); DeleteFile('C:\Documents and Settings\пользователь\Application Data\ltzqai.exe'); DeleteFile('c:\docume~1\ПОЛЬЗО~1\locals~1\temp\48807.exe'); RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','Microsoft Driver Setup'); RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Microsoft Driver Setup'); RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Advanced EHTAL Enable'); DeleteFile('C:\DOCUME~1\ПОЛЬЗО~1\LOCALS~1\Temp\48807.exe'); RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Winlogon','Taskman'); BC_ImportAll; ExecuteSysClean; BC_Activate; RebootWindows(true); end.
После перезагрузки:
- выполните такой скрипт
Пришлите файл quarantine.zip из папки AVZ по ссылке Прислать запрошенный карантин над первым сообщением этой темы.Код:begin CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); end.
- Прокси сами прописывали? -- Повторите логиКод:R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = 10.2.17.122:8080
proxy ставил сам
нужны
Добавлено через 11 минут
Файл сохранён как 101205_165052_quarantine_4cfb98bc9f793.zip
Размер файла 215923
MD5 30e76d2e973c9bdaf02c7b09db988358
Последний раз редактировалось Gena_Solovev; 05.12.2010 в 16:51. Причина: Добавлено
новые логи
Что скажите?
В логах зверей нет. Они ушли?
Скорей всего.
Спасибо!
P.S.: Где посмотреть на зверей которые были?
Добавлено через 1 час 23 минуты
ТЕМУ НЕ ЗАКРЫВАЙТЕ!!!
ПОШЛИ ОПЯТЬ АЛЕРТЫ ОБ АТАКЕ!
Последний раз редактировалось Gena_Solovev; 06.12.2010 в 06:43. Причина: Добавлено
Повторите логи АВЗ + сделайте лог полного сканирования МВАМ
Предепреждаю сразу - то, что Вы наловили так просто не уходит, надо обновлять систему.
новые логи
MBAM
Удалите в МВАМ
- Повторите лог МВАМКод:Заражённые процессы в памяти: c:\WINDOWS\system32\msvmiode.exe (Backdoor.Bot) -> 1760 -> No action taken. Заражённые параметры в реестре: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\MSODESNV7 (Backdoor.Bot) -> Value: MSODESNV7 -> No action taken. HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Shell (Worm.Palevo) -> Value: Shell -> No action taken. HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Taskman (Worm.Palevo) -> Value: Taskman -> No action taken. Объекты реестра заражены: HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Shell (Hijack.Shell) -> Bad: (C:\RECYCLER\S-1-5-21-1664465399-2100770680-412220900-4913\syscr.exe,explorer.exe,C:\Documents and Settings\пользователь\Application Data\ltzqai.exe,Explorer.exe) Good: (Explorer.exe) -> No action taken. Заражённые файлы: c:\documents and settings\пользователь\local settings\temporary internet files\Content.IE5\QHIBI8E5\calculations[1].ci (Backdoor.Bot) -> No action taken. c:\documents and settings\пользователь\application data\avdrn.dat (Malware.Trace) -> No action taken. c:\documents and settings\пользователь\application data\ltzqai.exe (Worm.Palevo) -> No action taken. c:\WINDOWS\system32\msvmiode.exe (Backdoor.Bot) -> No action taken.
закрыл случайно MBAM
вот новый лог
посмотрите быстрее!
ну... что?
вот новый лог
почему-то опять появляется(
Тогда нужно сделать лог ComboFix
вот лог Комбофикс
После того, как Комбо прошёлся, звери возвращаются?
авз показывает подмен диспечера задач
а остальное вроде норм
(только слетел ctfrom.exe)
Стало появлятся после загрузки Мои Документы
И предупреждение что брандмауэр выкл
хотя он вкл
Уважаемый(ая) Gena_Solovev, наши специалисты оказали Вам всю возможную помощь по вашему обращению.
В целях поддержания безопасности вашего компьютера настоятельно рекомендуем:
Чтобы всегда быть в курсе актуальных угроз в области информационной безопасности и сохранять свой компьютер защищенным, рекомендуем следить за последними новостями ИТ-сферы портала Anti-Malware.ru:
Надеемся больше никогда не увидеть ваш компьютер зараженным!
Если Вас не затруднит, пополните пожалуйста нашу базу безопасных файлов.