Добрый день! Посмотрите пожалуйста логи после чистки, было заражено более 1000 файлов.
Printable View
Добрый день! Посмотрите пожалуйста логи после чистки, было заражено более 1000 файлов.
- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/URL]
[CODE]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
RegKeyStrParamWrite('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon','UserInit', GetEnvironmentVariable ('WinDir')+'\System32\userinit.exe,');
QuarantineFile('C:\WINDOWS\eksplorasi.exe','');
QuarantineFile('C:\WINDOWS\system32\fopouvasoor.exe','');
QuarantineFile('C:\WINDOWS\ShellNew\sempalong.exe','');
QuarantineFile('C:\Documents and Settings\Пользователь\nwom.exe','');
QuarantineFile('C:\Documents and Settings\Пользователь\Application Data\nsvb.exe,C:\Documents and Settings\Пользователь\Application Data\juzjf.exe,explorer.exe,C:\RECYCLER\S-1-5-21-8823238119-0322128408-117362404-7150\yv8g67.exe','');
QuarantineFile('C:\Documents and Settings\Пользователь\Application Data\Microsoft\gucoo.exe','');
QuarantineFile('C:\Documents and Settings\Пользователь\Application Data\juzjf.exe','');
QuarantineFile('C:\Documents and Settings\LocalService\Application Data\Microsoft\fopouvasoor.exe','');
QuarantineFile('C:\Documents and Settings\All Users\Application Data\srtserv\фса.exe','');
QuarantineFile('C:\WINDOWS\system32\Drivers\msrifzbz.sys','');
DeleteService('msrifzbz');
DeleteService('jgjidshk');
QuarantineFile('C:\WINDOWS\System32\Drivers\jgjidshk.sys','');
DeleteService('aayycuoidbl');
DeleteService('oytdq9or');
QuarantineFile('C:\Documents and Settings\Пользователь\Application Data\Microsoft\jiwadouf.exe','');
QuarantineFile('C:\Documents and Settings\Пользователь\Application Data\Microsoft\kakenoob.exe','');
DeleteFile('C:\WINDOWS\System32\Drivers\jgjidshk.sys');
DeleteFile('C:\WINDOWS\system32\Drivers\msrifzbz.sys');
DeleteFile('C:\Documents and Settings\All Users\Application Data\srtserv\фса.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','srtserv');
DeleteFile('C:\Documents and Settings\LocalService\Application Data\Microsoft\fopouvasoor.exe');
RegKeyParamDel('HKEY_USERS','.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run','gibyk');
RegKeyParamDel('HKEY_USERS','S-1-5-18\Software\Microsoft\Windows\CurrentVersion\Run','gibyk');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','hafouja');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','gibyk');
DeleteFile('C:\Documents and Settings\Пользователь\Application Data\Microsoft\gucoo.exe');
DeleteFile('C:\Documents and Settings\Пользователь\Application Data\nsvb.exe,C:\Documents and Settings\Пользователь\Application Data\juzjf.exe,explorer.exe,C:\RECYCLER\S-1-5-21-8823238119-0322128408-117362404-7150\yv8g67.exe');
DeleteFile('C:\Documents and Settings\Пользователь\Local Settings\Application Data\smss.exe');
DeleteFile('C:\Documents and Settings\Пользователь\nwom.exe');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','MSConfig');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Tok-Cirrhatus');
DeleteFile('C:\WINDOWS\ShellNew\sempalong.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Bron-Spizaetus');
DeleteFile('C:\WINDOWS\system32\fopouvasoor.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','gibyk');
DeleteFile('C:\WINDOWS\eksplorasi.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Winlogon','Taskman ');
QuarantineFileF('c:\windows\system32','*.exe,*.bat', false,'', 0, 0, '15.07.2010','16.07.2010');
RegKeyStrParamWrite('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows','AppInit_DLLs','');
RegKeyDel('HKLM', 'SOFTWARE\Microsoft\Shared Tools\MSConfig\startupfolder\C:^Documents and Settings^ioann^Главное меню^Программы^Автозагрузка^wwwznv32.exe');
RegKeyStrParamWrite('HKEY_LOCAL_MACHINE','system\currentcontrolset\control\securityproviders','SecurityProviders','msapsspc.dll, schannel.dll, digest.dll, msnsspc.dll');
BC_ImportAll;
ExecuteSysClean;
ExecuteRepair(11);
ExecuteRepair(16);
ExecuteRepair(17);
ExecuteWizard('TSW', 2, 2, true);
ExecuteWizard('SCU', 2, 2, true);
BC_Activate;
RebootWindows(true);
end.[/CODE]
После перезагрузки:
- выполните такой скрипт
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
- Файл [B][COLOR="Red"]quarantine.zip[/COLOR][/B] из папки AVZ загрузите по ссылке [B][COLOR="Red"]Прислать запрошенный карантин[/COLOR][/B] вверху темы
- Сделайте повторные логи по [URL="http://virusinfo.info/pravila.html"]правилам[/URL] п.2 и 3 раздела Диагностика.([COLOR="Blue"]virusinfo_syscheck.zip;hijackthis.log[/COLOR])
- Сделайте лог [URL="http://virusinfo.info/showpost.php?p=457118&postcount=1"][COLOR="Blue"][B]MBAM[/B][/COLOR][/URL]
Всё сделал. На дату создания не обращайте внимания, батарейка сдохла.
Выполните скрипт в AVZ:
[code]
begin
DeleteFile('C:\Documents and Settings\Пользователь\Шаблоны\Brengkolang.com');
DeleteFile('C:\Windows\Tasks\At1.job');
ExecuteSysClean;
end.[/code]
Удалите в MBAM:
[CODE]Заражённые ключи в реестре:
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\MSrtn (Trojan.Agent) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\StimulProfit (Adware.Agent) -> No action taken.
Заражённые папки:
c:\documents and settings\пользователь\local settings\application data\bron.tok-12-1 (Worm.Brontok) -> No action taken.
c:\documents and settings\пользователь\local settings\application data\bron.tok-12-31 (Worm.Brontok) -> No action taken.
Заражённые файлы:
c:\documents and settings\all users\application data\common.data (Malware.Trace) -> No action taken.[/CODE]
Больше ничего плохого.
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]26[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\windows\\system32\\drivers\\msrifzbz.sys - [B]Rootkit.Win32.Agent.bnat[/B] ( DrWEB: Trojan.NtRootKit.9868, BitDefender: Backdoor.Generic.532908, AVAST4: Win32:Crypt-IEJ [Rtk] )[/LIST][/LIST]