Printable View
Добрый день!
Началось с того что мой Nod32 ESS 4.0 Начало каждые 5-10 секунд перемещать файл в карантин путь c:\windows\AppPach\pzanjlr.dat (Win32/Spy.Shiz.NBX троянская программа). После перемещения файл создавался заного.
Информация от НОда "Событие произошло в новом файле, созданном следующим приложением c:\windows\system32\winlogon.exe".
В последнюю неделю очень сильно стала торомзить система в работе с интернетом.
Спасибо.
Уважаемый(ая) [B]Malina26[/B], спасибо за обращение на наш форум!
Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы, в самое ближайшее время, ответят на Ваш запрос.
Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/donate/"]поддержите проект[/URL].
Здравствуйте, [B]Malina26[/B],
Все действия делать [B][COLOR="Red"]НЕ[/COLOR][/B] из терминальной сессии ([COLOR="Red"]потребуется перезагрузка![/COLOR]):
1. Закройте все открытые приложения (программы), кроме АVZ и браузера (Mozilla Firefox, Opera, Google Chrome, Internet Explorer).
Отключите:
- ПК от интернета/локальной сети;
- [COLOR="Red"][B]Обязательно!!! Отключить системное восстановление!!![/B][/COLOR] как - [URL="http://virusinfo.info/pravila.html"]посмотреть можно здесь[/URL];
- Выгрузите антивирус и/или Файрвол;
- Пофиксите в HJT:
[CODE]R3 - URLSearchHook: (no name) - {CA3EB689-8F09-4026-AA10-B9534C691CE0} - (no file)
F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe[/CODE]
- [URL="http://virusinfo.info/showpost.php?p=88804&postcount=1"]Выполните скрипт в AVZ[/URL] ("Файл - Выполнить скрипт" или в англ.версии "File - Custom scripts"). Скопируйте текст кода и вставьте в окно, нажмите "Выполнить (Run)":
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
TerminateProcessByName('c:\windows\system32\csrcs.exe');
QuarantineFile('c:\windows\system32\csrcs.exe','');
DeleteFile('c:\windows\system32\csrcs.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\RunServices','csrcs');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','csrcs');
RegKeyStrParamWrite('HKLM','SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon','UserInit',GetEnvironmentVariable('SystemRoot')+'\system32\userinit.exe,');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
ExecuteWizard('SCU',2,2,true);
RebootWindows(true);
end.[/CODE]
Компьютер перезагрузится.
2. После перезагрузки выполните такой скрипт:
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
3. Файл [B][COLOR="Red"]quarantine.zip[/COLOR][/B] из корня папки AVZ загрузите по ссылке "[COLOR="Red"][B]Прислать запрошенный карантин[/B][/COLOR]" вверху темы;
4. Сделайте повторные логи [URL="http://virusinfo.info/pravila.html"]по правилам[/URL] п.2 и п.3 раздела [COLOR="Blue"]"Диагностика"[/COLOR] (virusinfo_syscheck.zip; hijackthis.log).
Это все Ваше?
[CODE]O15 - ESC Trusted Zone: http://*.2ip.ru
O15 - ESC Trusted Zone: http://s7.addthis.com
O15 - ESC Trusted Zone: http://get.adobe.com
O15 - ESC Trusted Zone: http://www.apeha.ru
O15 - ESC Trusted Zone: http://www.avon.ru
O15 - ESC Trusted Zone: http://www.betcity.ru
O15 - ESC Trusted Zone: http://content.betfair.com
O15 - ESC Trusted Zone: http://site.sports.betfair.com
O15 - ESC Trusted Zone: http://sports.betfair.com
O15 - ESC Trusted Zone: http://www.betfair.com
O15 - ESC Trusted Zone: http://*.betusamatch.com
O15 - ESC Trusted Zone: http://ftp.us.dell.com
O15 - ESC Trusted Zone: http://support.euro.dell.com
O15 - ESC Trusted Zone: http://xserv.dell.com
O15 - ESC Trusted Zone: http://www.deutsche-bank.de
O15 - ESC Trusted Zone: http://googleads.g.doubleclick.net
O15 - ESC Trusted Zone: http://*.drp.su
O15 - ESC Trusted Zone: http://www.ebays.ru
O15 - ESC Trusted Zone: http://*.eurosupport.ru
O15 - ESC Trusted Zone: http://wm.exchanger.ru
O15 - ESC Trusted Zone: http://www.studium.fh-koeln.de
O15 - ESC Trusted Zone: http://www.freedrweb.com
O15 - ESC Trusted Zone: http://sng.garena.com
O15 - ESC Trusted Zone: http://www.google.ru
O15 - ESC Trusted Zone: http://www.gosuslugi.ru
O15 - ESC Trusted Zone: http://realplayer.vo.llnwd.net
O15 - ESC Trusted Zone: http://www.marathonbet.com
O15 - ESC Trusted Zone: http://mk.maxthon.cn
O15 - ESC Trusted Zone: http://www.myie2.com
O15 - ESC Trusted Zone: http://www.octoshape.com
O15 - ESC Trusted Zone: http://www.radioswisspop.ch
O15 - ESC Trusted Zone: http://europe.real.com
O15 - ESC Trusted Zone: http://www.roboform.com
O15 - ESC Trusted Zone: http://ticket.rzd.ru
O15 - ESC Trusted Zone: http://www.sbrf.ru
O15 - ESC Trusted Zone: http://pmb.update.sony.net
O15 - ESC Trusted Zone: http://home.sopserv.com
O15 - ESC Trusted Zone: http://*.tfile.ru
O15 - ESC Trusted Zone: http://*.tv-here.ru
O15 - ESC Trusted Zone: http://www.tvday.ru
O15 - ESC Trusted Zone: http://pages.tvunetworks.com
O15 - ESC Trusted Zone: http://tag.tvunetworks.com
O15 - ESC Trusted Zone: http://www.tvunetworks.com
O15 - ESC Trusted Zone: http://*.ufmssk.ru
O15 - ESC Trusted Zone: http://arbitrage.webmoney.ru
O15 - ESC Trusted Zone: http://events.webmoney.ru
O15 - ESC Trusted Zone: http://keeper3.webmoney.ru
O15 - ESC Trusted Zone: http://passport.webmoney.ru
O15 - ESC Trusted Zone: http://wiki.webmoney.ru
O15 - ESC Trusted Zone: http://*.windowsupdate.com
O15 - ESC Trusted Zone: http://advisor.wmtransfer.com
O15 - ESC Trusted Zone: http://antivirus.wmtransfer.com
O15 - ESC Trusted Zone: http://newsblog.wmtransfer.com
O15 - ESC Trusted Zone: http://telepay.wmtransfer.com
O15 - ESC Trusted Zone: http://*.ya.ru
O15 - ESC Trusted Zone: http://punto.yandex.ru
O15 - ESC Trusted Zone: http://suggest.yandex.ru
O15 - ESC Trusted Zone: http://www.yandex.ru
O15 - ESC Trusted Zone: http://*.yandex.ru
O15 - ESC Trusted Zone: http://*.zoloto585.ru
O15 - ESC Trusted Zone: http://*.windowsupdate.com (HKLM)
O15 - ESC Trusted IP range: http://192.168.0.2
O15 - ESC Trusted IP range: http://188.40.74.9
O15 - ESC Trusted IP range: http://127.0.0.1
O15 - ESC Trusted IP range: http://174.36.58.139[/CODE]
Что незнакомо тоже можете сделать фикс.
[CODE]Версия Windows: 5.2.3790, Service Pack 1[/CODE]
???
Уже давно есть SP2 для WinServer 2003. (как [URL="http://www.microsoft.com/downloads/ru-ru/details.aspx?FamilyID=95ac1610-c232-4644-b828-c55eec605d55"]x32[/URL] так и [URL="http://www.microsoft.com/downloads/en/details.aspx?familyid=08FEC2F5-6E3B-4E0D-9314-646414D0A421"]x64[/URL]). Рекомендую обновиться.
Файл отправил!
Лицензии нет! На SP2 :)
Посмотрите еще раз.
Спасибо.
Я так понимаю что моя тема еще в работе.
Потому что нет сообщения "ничего плохого не обнаружено"
Спасибо.
В этих логах чисто. Давайте сделаем еще [URL="http://virusinfo.info/showpost.php?p=457118&postcount=1"]лог MBAM[/URL]
[QUOTE='Malina26;791724']Лицензии нет! На SP2[/QUOTE]
Выбивайте у начальства :)
[QUOTE=crush13;791984]В этих логах чисто. Давайте сделаем еще [URL="http://virusinfo.info/showpost.php?p=457118&postcount=1"]лог MBAM[/URL]
Выбивайте у начальства :)[/QUOTE]
Выбил, обновил! Посмотри лог.
Спасибо
Удалите в MBAM [B][COLOR="Red"]только эти[/COLOR][/B] строки
[CODE]Заражённые ключи в реестре:
HKEY_CURRENT_USER\SOFTWARE\Target Marketing Agency (Adware.TMAagent) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\DRM\amty (Worm.Autorun) -> No action taken.
Объекты реестра заражены:
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Start_ShowMyDocs (PUM.Hijack.StartMenu) -> Bad: (0) Good: (1) -> No action taken.[/CODE]
Остальное Ваши keygen'ы :)
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]3[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]