Добрый день!
В корне C: постоянно появляются файлы .exe с именами boot, sh, hex, xp с цифрами 000, 555, 1.
В C:\windows\system32\ плодятся папки с именами "i####"
В temp-папках периодически появляются winrar.exe
KIS11 находит, удаляет, но всё восстанавливается после перезагрузки.
Уважаемый(ая) [B]since80808[/B], спасибо за обращение на наш форум!
Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос.
Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/donate/"]поддержите проект[/URL].
Выполните скрипт в AVZ
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\mcsql.exe','');
DeleteFile('C:\WINDOWS\system32\mcsql.exe');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
ExecuteRepair(9);
RebootWindows(true);
end. [/code]Компьютер перезагрузится.
Пришлите карантин согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы
Сделайте новые логи
Выполнил
А где новые логи?
[QUOTE=Bratez;806225]А где новые логи?[/QUOTE]
Прошу прощения
Сделайте лог [url="http://virusinfo.info/showpost.php?p=457118&postcount=1"]полного сканирования МВАМ[/url]
Готово
Выполните скрипт в AVZ
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('c:\recycler\hexshan.exe', 'MBAM: Backdoor.Bot');
QuarantineFile('c:\system volume information\_restore{975854bc-a23d-4ec0-9ed0-e2a87599ee0e}\RP1\A0001078.exe', 'MBAM: Trojan.Agent');
QuarantineFile('c:\system volume information\_restore{975854bc-a23d-4ec0-9ed0-e2a87599ee0e}\rp2\a0003150.exe', 'MBAM: Malware.Packer');
QuarantineFile('c:\system volume information\_restore{975854bc-a23d-4ec0-9ed0-e2a87599ee0e}\RP2\A0003152.exe', 'MBAM: Malware.Packer');
QuarantineFile('c:\system volume information\_restore{975854bc-a23d-4ec0-9ed0-e2a87599ee0e}\RP3\A0006152.exe', 'MBAM: Malware.Packer');
QuarantineFile('c:\system volume information\_restore{975854bc-a23d-4ec0-9ed0-e2a87599ee0e}\rp3\a0006154.exe', 'MBAM: Malware.Packer');
QuarantineFile('c:\system volume information\_restore{975854bc-a23d-4ec0-9ed0-e2a87599ee0e}\rp3\a0006156.dll', 'MBAM: Trojan.Backdoor');
QuarantineFile('c:\system volume information\_restore{975854bc-a23d-4ec0-9ed0-e2a87599ee0e}\rp3\a0006158.exe', 'MBAM: Backdoor.Xyligan');
QuarantineFile('c:\system volume information\_restore{975854bc-a23d-4ec0-9ed0-e2a87599ee0e}\rp3\a0006159.dll', 'MBAM: Trojan.Backdoor');
QuarantineFile('c:\system volume information\_restore{975854bc-a23d-4ec0-9ed0-e2a87599ee0e}\RP3\A0006162.sys', 'MBAM: Rootkit.Agent');
QuarantineFile('c:\system volume information\_restore{975854bc-a23d-4ec0-9ed0-e2a87599ee0e}\rp3\a0006165.exe', 'MBAM: Backdoor.Xyligan');
QuarantineFile('c:\windows\filename.jpg', 'MBAM: Trojan.Backdoor');
QuarantineFile('c:\RECYCLER\bootshan.exe', 'MBAM: Trojan.Agent');
QuarantineFile('c:\RECYCLER\hex1.exe', 'MBAM: Trojan.Agent');
QuarantineFile('c:\RECYCLER\sh1.exe', 'MBAM: Trojan.Agent');
QuarantineFile('c:\RECYCLER\shshan.exe', 'MBAM: Trojan.Agent');
QuarantineFile('c:\RECYCLER\sshan.exe', 'MBAM: Trojan.Agent');
QuarantineFile('c:\RECYCLER\xp1.exe', 'MBAM: Trojan.Agent');
QuarantineFile('c:\RECYCLER\xpshan.exe', 'MBAM: Trojan.Agent');
QuarantineFile('c:\WINDOWS\system32\p.exe', 'MBAM: Backdoor.Bot');
DeleteFile('c:\recycler\hexshan.exe');
DeleteFile('c:\system volume information\_restore{975854bc-a23d-4ec0-9ed0-e2a87599ee0e}\RP1\A0001078.exe');
DeleteFile('c:\system volume information\_restore{975854bc-a23d-4ec0-9ed0-e2a87599ee0e}\rp2\a0003150.exe');
DeleteFile('c:\system volume information\_restore{975854bc-a23d-4ec0-9ed0-e2a87599ee0e}\RP2\A0003152.exe');
DeleteFile('c:\system volume information\_restore{975854bc-a23d-4ec0-9ed0-e2a87599ee0e}\RP3\A0006152.exe');
DeleteFile('c:\system volume information\_restore{975854bc-a23d-4ec0-9ed0-e2a87599ee0e}\rp3\a0006154.exe');
DeleteFile('c:\system volume information\_restore{975854bc-a23d-4ec0-9ed0-e2a87599ee0e}\rp3\a0006156.dll');
DeleteFile('c:\system volume information\_restore{975854bc-a23d-4ec0-9ed0-e2a87599ee0e}\rp3\a0006158.exe');
DeleteFile('c:\system volume information\_restore{975854bc-a23d-4ec0-9ed0-e2a87599ee0e}\rp3\a0006159.dll');
DeleteFile('c:\system volume information\_restore{975854bc-a23d-4ec0-9ed0-e2a87599ee0e}\RP3\A0006162.sys');
DeleteFile('c:\system volume information\_restore{975854bc-a23d-4ec0-9ed0-e2a87599ee0e}\rp3\a0006165.exe');
DeleteFile('c:\windows\filename.jpg');
DeleteFile('c:\RECYCLER\bootshan.exe');
DeleteFile('c:\RECYCLER\hex1.exe');
DeleteFile('c:\RECYCLER\sh1.exe');
DeleteFile('c:\RECYCLER\shshan.exe');
DeleteFile('c:\RECYCLER\sshan.exe');
DeleteFile('c:\RECYCLER\xp1.exe');
DeleteFile('c:\RECYCLER\xpshan.exe');
DeleteFile('c:\WINDOWS\system32\p.exe');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end. [/code]Компьютер перезагрузится.
Пришлите карантин согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы
[url="http://virusinfo.info/showpost.php?p=493584&postcount=2"]Удалите в МВАМ[/url] всё, [b]кроме[/b] [code]Объекты реестра заражены:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\AntiVirusDisableNotify (PUM.Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\FirewallDisableNotify (PUM.Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\UpdatesDisableNotify (PUM.Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> No action taken.[/code]
Сделайте новый лог МВАМ
[QUOTE=thyrex;806982]Сделайте новый лог МВАМ[/QUOTE]
Готово
[url="http://virusinfo.info/showpost.php?p=493584&postcount=2"]Удалите в МВАМ[/url] [b]только указанные строки[/b] [code]Зараженные параметры в реестре:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Command Processor\AutoRun (Hijack.CMDPrompt) -> Value: AutoRun -> No action taken.[/code]Больше ничего необычного
[QUOTE=since80808;805522]Добрый день!
В корне C: постоянно появляются файлы .exe с именами boot, sh, hex, xp с цифрами 000, 555, 1.
В C:\windows\system32\ плодятся папки с именами "i####"
[/QUOTE]
Продолжают появляться + то же самое в system32:
[ATTACH=CONFIG]321043[/ATTACH]
При загрузке XP что-то пытается ломиться по FTP:
[ATTACH=CONFIG]321041[/ATTACH]
Новые логи - см. сообщение выше
Сделайте лог [url="http://virusinfo.info/showpost.php?p=493610&postcount=1"]ComboFix[/url]
[QUOTE=thyrex;808686]Сделайте лог [url="http://virusinfo.info/showpost.php?p=493610&postcount=1"]ComboFix[/url][/QUOTE]
Готово
Скопируйте текст ниже в блокнот и сохраните как файл с названием [B]CFScript.txt[/B] на рабочий стол.
[code]KillAll::
File::
c:\windows\system32\hex555.exe
C:\sh555.exe
C:\xp555.exe
c:\windows\system32\seek.com
C:\hex1.exe
c:\windows\system32\ijuat.bat
c:\windows\system32\fiv.exe
c:\windows\system32\cgfaz.exe
c:\windows\system32\windows321.sys
Driver::
Folder::
c:\windows\system32\i5485
Registry::
FileLook::
DirLook::[/code]
После сохранения переместите [B]CFScript.txt[/B] на пиктограмму ComboFix.exe.
[img]http://safezone.cc/images/cfscript.gif[/img]
Когда сохранится новый отчет [B]ComboFix.txt[/B], прикрепите его к сообщению.
Готово
Продолжают появляться всякие *555.exe и просто 555.exe в system32
[ATTACH=CONFIG]322423[/ATTACH]
Установите все [url="http://www.update.microsoft.com/microsoftupdate/v6/default.aspx?ln=ru"]новые обновления[/url] для Windows
Установите все новые обновления для MS SQL
d:\onix\Cash000\cash000.exe - это что?
c:\documents and settings\Admin\Главное меню\Программы\Автозагрузка\ICN.lnk - это что?
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]7[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\recycler\\shshan.exe - [B]Trojan-Downloader.BAT.Small.aq[/B] ( AVAST4: BV:Ftp-AR [Trj] )[*] c:\\recycler\\xpshan.exe - [B]Trojan-Downloader.BAT.Small.aq[/B] ( AVAST4: BV:Ftp-AR [Trj] )[*] c:\\system volume information\\_restore{975854bc-a23d-4ec0-9ed0-e2a87599ee0e}\\rp1\\a0001078.exe - [B]Trojan-Downloader.BAT.Ftp.ng[/B] ( DrWEB: Trojan.DownLoad2.31595, BitDefender: Dropped:Generic.Botget.900DCD2F )[*] c:\\system volume information\\_restore{975854bc-a23d-4ec0-9ed0-e2a87599ee0e}\\rp2\\a0003152.exe - [B]Trojan.Win32.Delf.byxd[/B] ( DrWEB: Trojan.Siggen2.54484, BitDefender: Trojan.Tdss.6759, AVAST4: Win32:Malware-gen )[*] c:\\system volume information\\_restore{975854bc-a23d-4ec0-9ed0-e2a87599ee0e}\\rp3\\a0006152.exe - [B]Trojan.Win32.Delf.byxd[/B] ( DrWEB: Trojan.Siggen2.54484, BitDefender: Trojan.Tdss.6759, AVAST4: Win32:Malware-gen )[*] c:\\windows\\system32\\mcsql.exe - [B]Trojan-Downloader.BAT.Ftp.ng[/B] ( DrWEB: Trojan.DownLoad2.31595, BitDefender: Dropped:Generic.Botget.900DCD2F )[/LIST][/LIST]