Printable View
Прошла 13 пунктов из правил. Теперь 14-й - прошу помощи.
Получила по почте ссылку на открытку с Postcard.ru. После перехода по ней посыпались вирусы (отлавливал AVG7.5).
Соглашалась и на Heal и на Vault. Повторный запуск AVG выдал отсутствие вирусов.
Однако, CureIt выдал еще 2 файла, а AVZ вообще список (среди прочих winlogon.exe).
Пока основной симптом болезни - при перезагрузке процесс зависает на Saving Settings. Помогает только Reset.
Как с этим бороться?
Спасибо.
Ира.
Выполните скрипт в AVZ:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('atiddaxx.dll','');
QuarantineFile('C:\Documents and Settings\itomilova\Local Settings\Temp\winlogon.exe','');
QuarantineFile('C:\Program Files\Unison\mozMapi32.dll','');
BC_ImportQuarantineList;
BC_Activate;
RebootWindows(true);
end.[/code]
Компьютер перезагрузится.
Пришлите карантин согласно приложению 3 правил.
спасибо за быстрый ответ.
и за скрипт - с утра надеюсь на удачную перезагрузку, но заканчивается все Reset'om...
доп.симптомы: Add & Remove Programs зависает; некоторые программы (avz тоже) запускаются только со 2-го раза (с первого предлагают отправить отчет).
Мы пока не лечимся, только диагностируемся.
Лечение будет позжее.
Ваш псевдо-winlogon называется [B]Virus.Win32.Grum.h[/B] :)
Выполните скрипт:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\Documents and Settings\itomilova\Local Settings\Temp\winlogon.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]
После перезагрузки пофиксите в HijackThis:
[code]
O4 - HKCU\..\Run: [Firewall auto setup] C:\DOCUME~1\ITOMIL~1\LOCALS~1\Temp\winlogon.exe
O20 - Winlogon Notify: atiddaxx - atiddaxx.dll (file missing)
[/code]
(первой строчки может уже и не быть).
Еще некоторое подозрение вызывают вот эти службы:
[code]
O23 - Service: Remote Packet Capture Protocol v.0 (experimental) (rpcapd) - Unknown owner - %ProgramFiles%\WinPcap\rpcapd.exe" -d -f "%ProgramFiles%\WinPcap\rpcapd.ini (file missing)
O23 - Service: TestComplete 5 Service - AutomatedQA Corporation - C:\Program Files\Automated QA\TestComplete 5\Bin\TestCompleteService5.exe
[/code]
Вам известно их происхождение и назначение?
WinPcap - сниффер протоколов. [url]http://www.winpcap.org/[/url]
Пофиксила - были обе строчки.
TestComplete я знаю.
А вот откуда сниффер взялся и что это такое - не знаю. Может его тоже пофиксить, чтоб неповадно было?
[QUOTE=Finvie;114491]Пофиксила - были обе строчки.
TestComplete я знаю.
А вот откуда сниффер взялся и что это такое - не знаю. Может его тоже пофиксить, чтоб неповадно было?[/QUOTE]
Он м.б. кусочком какой-нибудь программы. А фиксить его не надо, он нормально деинсталлируется норм. образом.
Сделайте новые логи, посмотрим на результат.
Как чувствует себя компьютер?
комп чувствует себя вроде хорошо: ни один из упомянутых симптомов не воспроизводится.
единственное, не захотел обновления для avz закачивать.
но при сканировании все еще есть красные строчки...
Активного заражения больше не наблюдается.
Подозрение AVZ на файл C:\Program Files\Unison\mozMapi32.dll не подтвердилось. Пришлите еще вот этот: [B]C:\WINDOWS\SOUNDMAN.EXE [/B](см. приложение 2 правил).
И на всякий случай сделаем вот что:
в AVZ выберите в меню AVZPM - Установить драйвер расширенного мониторинга, перезагрузитесь и сделайте новый лог п.10 правил.
Soundman отправила чуть ранее.
Теперь вот лог сканирования с установленным AVZPM.
Выпишете меня, доктор? ^^)
[QUOTE]Теперь вот лог сканирования с установленным AVZPM.[/QUOTE]Где лог?
Хм, на присланный Soundman многие на Вирустотале ругаются, а из ЛК пришел ответ, что ничего вредоносного :? Ладно, пока трогать не будем.
Sorry!
Слона-то я и забыла...
Ну, судя по тому, что ко мне уже не бегут с носилками, делаю оптимистический вывод, что все в порядке.
Через месяц ДР - но чтоб я еще хоть одну открыточку открыла (извините за тавтологию)!!!
Кто захочет поздравить - жду в гости ^^) Встречу лицом к лицу!
А всем, кто помогал - огромное человеческое спасибо.
Просто спасли (без шуток)!
В логе больше ничего подозрительного нет.
Ну если что - заходите еще ;)
Советуем прочитать [URL="http://security-advisory.newmail.ru/"]электронную книгу[/URL] "Безопасный Интернет. Универсальная защита для Windows ME - Vista".
Вы можете нас отблагодарить, [URL="http://www.virusinfo.info/showthread.php?t=3519"]оказав нам помощь в сборе базы безопасных файлов[/URL]. Мы будем Вам очень благодарны!
Удачи!
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]10[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\documents and settings\\itomilova\\local settings\\temp\\winlogon.exe - [B]Virus.Win32.Grum.h[/B] (DrWEB: Win32.Grum)[*] c:\\docume~1\\itomil~1\\locals~1\\temp\\winlogon.exe - [B]Virus.Win32.Grum.h[/B] (DrWEB: Win32.Grum)[/LIST][/LIST]