Printable View
Проверял и КАВ, и Симантек стоит и НОД32.
Симантек видит но ничего не делает.
При запуске AVZ в обычном режиме пишет:
Таблица KiST перемещена....
И после этого виснет.
Симантек тоже виснет в одном и том же месте на файле runtime2.
Логи AVZ снимал в безопасном режиме, т.к. в обычном виснет.
AVZ Файл - Выполнить скрипт --Скопировать ниже написанный скрипт-- Запустить.
Прислать карантин, согласно приложения 3 правил, когда сможешь загрузиться в норм. режиме ;) или с другого компа.
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('\SystemRoot\system32\drivers\runtime2.sys','');
DeleteFile('\SystemRoot\system32\drivers\runtime2.sys');
RebootWindows(true);
end.[/CODE]
З.Ы. Третий, по-моему, за сегодня случай. Эпидемия...
Скрипт выполнил. В карантин ничего не записалось.
Симантек каждую секунду выдает сообщение:
Тип осмотра: Осмотр Автоматическая защита
Событие: Обнаружена угроза безопасности!
Угроза: W32.Fakerecy
Файл: C:\DOCUME~1\ALLUSE~2.WIN\APPLIC~1\Symantec\SYMANT~1\7.5\APTemp\APQ195.tmp
Расположение: Неизвестный тип памяти
Компьютер: USER
Пользоавтель: USER\SYSTEM
Выполненное действие: Исправить не выполенено : Изолировать не выполенено : Удалить выполено : Доступ запрещен
Дата обнаружения: 8 июня 2007 г. 17:15:37
Только номер файла каждый раз разный. Как быть?
Выполните такой скрипт:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\autorun.inf','');
QuarantineFile('F:\autorun.inf','');
QuarantineFile('C:\WIN_XP\TEMP\startdrv.exe','');
QuarantineFile('C:\WIN_XP\system32\drivers\runtime2.sys','');
DeleteFile('C:\WIN_XP\TEMP\startdrv.exe');
BC_DeleteFile('C:\WIN_XP\TEMP\startdrv.exe');
BC_DeleteSvc('runtime2');
BC_DeleteFile('C:\WIN_XP\system32\drivers\runtime2.sys');
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]
После перезагрузки пришлите карантин по правилам и сделайте новые логи.
Попробовал загрузить скрипт.
Пишет:
[SIZE=2]Ошибка скрипта: ';' expected, позиция [11:2]:'-(
[/SIZE]
Попробуйте ещё раз. Исправил ошибку.
Выполнил. Карантин прилагаю.
Логи сейчас сделаю.
Карантин сюда не присылать!!! Даже если он пустой.
Вверху есть ссылка для загрузки.
Виноват, извиняйте.
Отправил по правилам. Только не понял по поводу пароля.
Поищите и пришлите еще вот эти файлы:
C:\Recycled\ctfmon.exe
F:\Recycled\ctfmon.exe
(см. приложение 2 правил)
[SIZE=2][COLOR=#ff0000][COLOR=black]AVZ пишет:[/COLOR]
Ошибка карантина файла "C:\Recycled\ctfmon.exe", попытка прямого чтения
Карантин с использованием прямого чтения - ошибка
Ошибка карантина файла "F:\Recycled\ctfmon.exe", попытка прямого чтения
Карантин с использованием прямого чтения - ошибка
[COLOR=black]логи прилагаю[/COLOR]
[/COLOR][/SIZE]
Хм, что-то здесь нечисто. Давайте попробуем так:
[code]begin
BC_QrFile('C:\Recycled\ctfmon.exe');
BC_QrFile('F:\Recycled\ctfmon.exe');
BC_Activate;
RebootWindows(true);
end.[/code]
Должно сработать.
Вроде сработало.
файл virus1.zip отправил.
Что самое интересное ещё до последнего скрипта Симантек ругаться перестал.
Неужели излечилось?
Сейчас ещё раз всеми мётлами прогоню. Посмотрим.
Нету этих ctfmon-ов... Но мы уже знаем, что это за штука.
([B]Trojan.Win32.VB.aqt [/B]aka [B]Trojan.Recycle[/B])
Выполните такой скрипт:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\autorun.inf');
DeleteFile('E:\autorun.inf');
DeleteFile('C:\Recycled\ctfmon.exe');
DeleteFile('E:\Recycled\ctfmon.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]
После перезагрузки сделайте новые логи начиная с п.10 правил.
Скрипт выполнил.
Новые логи высылаю.
Отключите восстановление системы,об этом сказано в правилах
[url]http://virusinfo.info/showthread.php?t=1235[/url] приложение 1
И что за файлик 1.exe у вас на рабочем столе в папке 1?
А так в целом всё чисто,можете почистить лишний мусор [url]http://virusinfo.info/showthread.php?t=10025[/url]
Восстановление системы давно отключено.
А файл 1.ехе это HijackThis с сайта [URL]http://virusinfo.info/soft/1.zip[/URL].
Мусор сейчас почищу.
Спасибо всем за помощь!
Советуем прочитать [URL="http://security-advisory.newmail.ru/"]электронную книгу[/URL] "Безопасный Интернет. Универсальная защита для Windows ME - Vista".
Вы можете нас отблагодарить, [URL="http://www.virusinfo.info/showthread.php?t=3519"]оказав нам помощь в сборе базы безопасных файлов[/URL]. Мы будем Вам очень благодарны!
Удачи!
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]3[/B][*]Обработано файлов: [B]8[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\autorun.inf - [B]Trojan.Win32.VB.aqt[/B] (DrWEB: Win32.HLLW.Autoruner.274)[*] c:\\win_xp\\temp\\startdrv.exe - [B]Trojan-Dropper.Win32.Agent.bie[/B] (DrWEB: BackDoor.Bulknet)[*] f:\\autorun.inf - [B]Trojan.Win32.VB.aqt[/B] (DrWEB: Win32.HLLW.Autoruner.274)[/LIST][/LIST]