проблемы после лечения компа

Printable View

20.06.2007, 16:37
Leshiy

Вложений: 3

проблемы после лечения компа

Добрый день, проблема следующая: пролечил комп, отчеты, вроде, чистые, но загрузка процессора постоянно держится на 98% (загружает его System). Интернет Эксплорер подвисает, в остальном, проблем особых незаметно.

Надеюсь на помощь.

ЗЫ: лечил от system32:lzx32.sys, но впроцессе еще что-то выплыло... точно не вспомню сейчас :(
20.06.2007, 16:54
Bratez

Выполните скрипт в AVZ:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('jpgmgr32.dll','');
QuarantineFile('drvmgr32.dll','');
QuarantineFile('brwmgr32.dll','');
QuarantineFile('ansmgr32.dll','');
QuarantineFile('C:\WINNT\system32\winsys32.dll','');
QuarantineFile('C:\WINNT\system32\sbeddem.dll','');
QuarantineFile('C:\WINNT\system32\rpcc1.dll','');
QuarantineFile('C:\WINNT\system32\rpcc.dll','');
QuarantineFile('c:\winnt\system32\winlogon.exe','');
QuarantineFile('C:\WINNT\SYSTEM32\nwprovau.dll','');
RebootWindows(true);
end.[/code]
Компьютер перезагрузится.
Пришлите карантин согласно приложению 3 правил.
20.06.2007, 17:05
Rene-gad

@Leshiy
[QUOTE]Platform: Windows 2000 [COLOR="Red"][B]SP3[/B][/COLOR] (WinNT 5.00.2195)[/QUOTE]
SP4 появился, если мне не изменяет память, где-то лет 5-6 назад. После него вышло еще две-три сотни патчей. Лечение такой незащищенной системы может оказаться коту под хвост:первый выход в сеть - и через все незалатаные дыры система в течение 5 минут опять забита вирьем.
20.06.2007, 17:22
Leshiy

Спасибо за помощь

Файл сохранён как 070620_172015_VIRUS_4679298f2b078.ZIP
Размер файла 172370
MD5 78edbf75f4303f22ecc62f5a8c78a1f3

PS: комп не мой, девушка просила посмотреть почему ведет себя странно... проведу разъяснительную работу :)
20.06.2007, 17:24
Rene-gad

[QUOTE=Leshiy;117106]девушка просила посмотреть почему ведет себя странно... [/QUOTE]
Кто? Девушка? :D
SCNR
20.06.2007, 17:32
Leshiy

[quote=Rene-gad;117107]Кто? Девушка? :D
SCNR[/quote]
велик и могуч русская языка :)
20.06.2007, 17:45
Bratez

Выполните скрипт в AVZ:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\WINNT\system32\rpcc.dll');
DeleteFile('C:\WINNT\system32\rpcc1.dll');
DeleteFile('C:\WINNT\system32\winsys32.dll');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]
Компьютер перезагрузится.
Пофиксите в HijackThis:
[code]
O2 - BHO: (no name) - {9E4F45DB-2EC3-4b09-91F9-31C702B3285D} - (no file)
O20 - Winlogon Notify: ansmgr - ansmgr32.dll (file missing)
O20 - Winlogon Notify: brwmgr - brwmgr32.dll (file missing)
O20 - Winlogon Notify: drvmgr - drvmgr32.dll (file missing)
O20 - Winlogon Notify: jpgmgr - jpgmgr32.dll (file missing)
O20 - Winlogon Notify: rpcc - C:\WINNT\system32\rpcc.dll
O20 - Winlogon Notify: rpcc1 - C:\WINNT\system32\rpcc1.dll
O20 - Winlogon Notify: sbeddem - C:\WINNT\system32\sbeddem.dll (file missing)
O20 - Winlogon Notify: sfcfdmsc - C:\WINNT\
O20 - Winlogon Notify: winsys32 - C:\WINNT\system32\winsys32.dll
[/code]
И еще - ваш winlogon.exe патченный (Trojan.Win32.Patched.q).
У вас есть дистрибутив вашей версии Windows?
20.06.2007, 17:51
Alex_Goodwin

Офф: Ник у вас знакомый.. Это не вы сегодня на форуме ЛК квип выкладывали?
20.06.2007, 18:13
Leshiy

[quote=Bratez;117114]Выполните скрипт в AVZ:
...
Пофиксите в HijackThis:
[/quote]
выполнил, пофиксел - не помогло.
[quote]И еще - ваш winlogon.exe патченный (Trojan.Win32.Patched.q).
У вас есть дистрибутив вашей версии Windows?[/quote]
дистрибутив 2000-го с сп1 где-то был, найду... как winlogon полечить можно ?

[quote=Alex_Goodwin;117116]Офф: Ник у вас знакомый.. Это не вы сегодня на форуме ЛК квип выкладывали?[/quote]
нет... нас, Леших, много - но всё по лесАм в основном прячемся :)
20.06.2007, 18:24
Bratez

[QUOTE]как winlogon полечить можно ?[/QUOTE]
Вариант 1: распаковать из дистрибутива и подменить, но для этого придется загрузиться с CD, если у вас NTFS это может оказаться проблемой найти загрузочный CD с поддержкой NTFS.
Вариант 2: Это может вылечить антивирус Касперского 6.0, можно скачать и установить как пробный на 1 месяц бесплатно:
[url]http://www.kaspersky.ru/productupdates?chapter=186544972&downlink=206909823[/url]
Наверно проще будет 2-й.
Только перед установкой Касперского удалите ваш старый антивирус.

После проведения "операции" сделайте новые логи, посмотрим не осталось ли чего.
20.06.2007, 18:35
drongo

Вложений: 1

Если не найдётся дистрибутива, вот вам ваш вылеченный 7-ым каспером - winlogon, опять же менять его надо загрузившись с какого-нибудь загрузочного диска специально предназначенного для таких дел.
20.06.2007, 18:45
Leshiy

[quote=drongo;117127]Если не найдётся дистрибутива, вот вам ваш вылеченный 7-ым каспером - winlogon, опять же менять его надо загрузившись с какого-нибудь загрузочного диска специально предназначенного для таких дел.[/quote]
спасибо, а не подскажете, где можно взять "специально предназначенный для таких дел" диск ? :) Просто, нет уверенности, что смогу чисто снести старый антивир.
20.06.2007, 18:49
drongo

я с касперского делал, KIS который ;) kis это использует : [url]http://www.nu2.nu/pebuilder/[/url]
в любом случае BART PE надо будет установить.
удаляйте старый антивирь стандартно, поставьте каспера. лечитесь, потом новые логи, если будут хвосты- поможем удалить.
20.06.2007, 19:14
pig

[QUOTE=Leshiy;117122]дистрибутив 2000-го с сп1 где-то был, найду...[/QUOTE]
Не пойдёт, у вас система уже SP3.
20.06.2007, 19:27
Leshiy

Вложений: 3

[quote=drongo;117132]я с касперского делал, KIS который ;) kis это использует : [URL]http://www.nu2.nu/pebuilder/[/URL]
в любом случае BART PE надо будет установить.
удаляйте старый антивирь стандартно, поставьте каспера. лечитесь, потом новые логи, если будут хвосты- поможем удалить.[/quote]
спасибо, но уже... загрузил с установочного и через консоль восстановления ручками в ком.строке :)

винлогон сменил (на вылеченный drongo), результат все тот же - 100% загрузка процессора, при попытке сходить, куда-бы то ни было в IE "замирание" интерфейса минуты на 1.5, затем комп оживает и сайт грузится нормально, следующий клик/ввод нового адреса в браузер - ситуация повторяется.
20.06.2007, 23:15
drongo

Ну поменяйте на тот ,что Pig дал ;) Думаю всё равно обновляться надо, иначе будет лезть всякая дрянь.
Да, вот скрипт выполните и пришлите карантин ,если *dta там окажется :
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINNT\Temp\0wl.tmp','');
DeleteFile('C:\WINNT\Temp\0wl.tmp');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
21.06.2007, 01:15
pig

Я убрал уже - тот post-SP4, не соответствует версии.
Если поставить SP4, он сам заменит файл на правильный.
21.06.2007, 12:17
Leshiy

Спасибо, скрипт выполнил карантин залил:
Файл сохранён как 070621_121545_VIRUS2_467a33b1282ba.ZIP
Размер файла 91279
MD5 bcf01b6a6a45fb335d492f2d230af7aa

накатил сп4... ИЕ, вроде полечился, загрузка процессора осталась
21.06.2007, 12:56
drongo

Быть может что осталось,например последний, что закачали
C:\WINNT\Temp\0wl.tmp =троянская программа Trojan.Win32.Patched.q
Советую просканировать последним касперским и новые логи сделать после этого.
22.02.2009, 01:54
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]7[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\winnt\\system32\\rpcc.dll - [B]Trojan-Proxy.Win32.Dlena.cq[/B] (DrWEB: Win32.HLLM.Bid)[*] c:\\winnt\\system32\\rpcc1.dll - [B]Trojan-Proxy.Win32.Dlena.cq[/B] (DrWEB: Win32.HLLM.Bid)[*] c:\\winnt\\system32\\winlogon.exe - [B]Trojan.Win32.Patched.q[/B] (DrWEB: Trojan.Starter.212)[*] c:\\winnt\\system32\\winsys32.dll - [B]Trojan-Proxy.Win32.Saturn.a[/B] (DrWEB: BackDoor.Maper)[*] c:\\winnt\\temp\\0wl.tmp - [B]Trojan.Win32.Patched.q[/B] (DrWEB: Trojan.Starter.212)[/LIST][/LIST]