Printable View
Помогите,пожалуйста,удалить этот вирус,а то ну совсем не знаю что делать. Я нашала у себя, Win32.Pinfy и Trojan.IRC и еще в system32 появилась какая-то программа IEXPLORER и это программа распространяет какие-то файлы, которые я удалаю, а при запуске компьютера они заново появляются и Symantec оповещает о вирусах.Я удаляю и все повторяется.
Выполните скрипт в AVZ:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('uhkzm.exe','');
QuarantineFile('sxvgr.exe','');
QuarantineFile('svhddas.exe','');
QuarantineFile('sagj.exe','');
QuarantineFile('phqghumea.exe','');
QuarantineFile('msq32.exe','');
QuarantineFile('irdsdnfbe.exe','');
QuarantineFile('c:\windows\system32\systemac.dll','');
QuarantineFile('C:\WINDOWS\System32\sslms.exe','');
QuarantineFile('c:\windows\system32\dllcache\qxchost.exe','');
QuarantineFile('c:\windows\system32\psycho.exe','');
QuarantineFile('c:\windows\system32\iexplorer.exe','');
QuarantineFile('c:\windows\system32\ie5.exe','');
QuarantineFile('c:\windows\system32\fixin.exe','');
RebootWindows(true);
end.[/code]
Компьютер перезагрузится.
Пришлите карантин согласно приложению 3 правил.
файл закачала
Хороший букет вырисовывается:
psycho.exe - [B]not-a-virus:Client-IRC.Win32.mIRC.603[/B]
iexplorer.exe - [B]not-a-virus:Client-IRC.Win32.mIRC.591[/B]
sslms.exe - [B]Backdoor.Win32.Akbot.e[/B]
fixin.exe - [B]Backdoor.Win32.Rbot.gen[/B]
Сейчас разберусь с остальными, напишу скрипт.
Пока попытайтесь вручную поискать файлы:
uhkzm.exe
sxvgr.exe
svhddas.exe
sagj.exe
phqghumea.exe
msq32.exe
irdsdnfbe.exe
что найдется - пришлите (см. приложение 2 правил).
Начнем пожалуй ;)
1. Пофиксите в HijackThis:
[code]
O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)
O4 - HKLM\..\Run: [Windo Servic Agent 32] sagj.exe
O4 - HKLM\..\Run: [Windows Servicer Agents] sxvgr.exe
O4 - HKLM\..\Run: [Windo Servic Agents 32] uhkzm.exe
O4 - HKLM\..\Run: [win sms system] phqghumea.exe
O4 - HKLM\..\Run: [Internet Security Service] msq32.exe
O4 - HKLM\..\Run: [Windows Service Agent] fixin.exe
O4 - HKLM\..\Run: [Fire Well serviceer] irdsdnfbe.exe
O4 - HKLM\..\Run: [Service Monitor] svhddas.exe
O4 - HKLM\..\Run: [WinDLL (sslms.exe)] rundll32.exe C:\WINDOWS\System32\sslms.exe,start
O4 - HKLM\..\Run: [ISPSERVICE] C:\WINDOWS\System32\psycho.exe
O4 - HKLM\..\Run: [movies] c:\windows\system32\IE5.exe
O4 - HKLM\..\RunServices: [Windo Servic Agent 32] sagj.exe
O4 - HKLM\..\RunServices: [Windows Servicer Agents] sxvgr.exe
O4 - HKLM\..\RunServices: [Windo Servic Agents 32] uhkzm.exe
O4 - HKLM\..\RunServices: [win sms system] phqghumea.exe
O4 - HKLM\..\RunServices: [Internet Security Service] msq32.exe
O4 - HKLM\..\RunServices: [Windows Service Agent] fixin.exe
O4 - HKLM\..\RunServices: [Fire Well serviceer] irdsdnfbe.exe
O4 - HKLM\..\RunServices: [Service Monitor] svhddas.exe
O4 - HKCU\..\Run: [Windo Servic Agent 32] sagj.exe
O4 - HKCU\..\Run: [Windows Servicer Agents] sxvgr.exe
O4 - HKCU\..\Run: [Windo Servic Agents 32] uhkzm.exe
O4 - HKCU\..\Run: [win sms system] phqghumea.exe
O4 - HKCU\..\Run: [Internet Security Service] msq32.exe
O4 - HKCU\..\Run: [Windows Service Agent] fixin.exe
[/code]
2. Выполните скрипт в AVZ:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('c:\windows\system32\systemac.dll');
DeleteFile('C:\WINDOWS\System32\sslms.exe');
DeleteFile('c:\windows\system32\dllcache\qxchost.exe');
DeleteFile('c:\windows\system32\psycho.exe');
DeleteFile('c:\windows\system32\iexplorer.exe');
DeleteFile('c:\windows\system32\ie5.exe');
DeleteFile('c:\windows\system32\fixin.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]
3. Сделайте новые логи.
Все сделала.
Все благополучно удалилось, только немножко мусора в реестре осталось.
Выполните такой скрипт:
[code]begin
RegKeyParamDel('HKEY_USERS','.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run','Windows Service Agent');
RegKeyParamDel('HKEY_USERS','.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run','Internet Security Service');
RegKeyParamDel('HKEY_USERS','.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run','Windo Servic Agent 32');
RegKeyParamDel('HKEY_USERS','.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run','Windows Servicer Agents');
end.[/code]
А файлы те вручную не нашлись?
я попробовала все перчисленные способы, но ничего, к сожалению,не нашла.
Скрипт сделала
Для контроля сделайте еще раз лог по п.10 правил.
Еще раз проверила. И там пишут о каких-то прехватчиках клавиатуры.Что это?
Похоже чисто. Перехватчик от вашей беспроводной мышки;)
Чтобы уменьшить шанс заражения советую на будущее :
1) Работать за компьютером с правами ограниченного пользователя.
2) Пользоваться для хождения по интернету альтернативным браузером с отключёнными скриптами по умолчанию (Firefox и Opera это позволяют делать в отличии от IE 7 ,6....)
3) Прочитать электронную книгу "Безопасный Интернет". Универсальная защита для Windows ME - Vista": [url]http://security-advisory.newmail.ru[/url]
Вы можете нас отблагодарить, оказав нам помощь в сборе базы безопасных файлов : [url]http://virusinfo.info/showthread.php?t=3519[/url]
Мы будем Вам очень благодарны!
Удачи!
Спасибо!
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]16[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\windows\\system32\\fixin.exe - [B]Backdoor.Win32.Rbot.gen[/B] (DrWEB: Win32.HLLW.MyBot.based)[*] c:\\windows\\system32\\iexplorer.exe - [B]not-a-virus:Client-IRC.Win32.mIRC.591[/B] (DrWEB: Program.mIRC.591)[*] c:\\windows\\system32\\psycho.exe - [B]not-a-virus:Client-IRC.Win32.mIRC.603[/B] (DrWEB: Program.mIRC.603)[*] c:\\windows\\system32\\sslms.exe - [B]Backdoor.Win32.Akbot.e[/B] (DrWEB: BackDoor.IRC.Akbot)[/LIST][/LIST]