Printable View
на сайте goodman.ру получил трояна, вот описание в другом форуме [URL]http://virusinfo.info/showthread.php?p=118032#post118032[/URL]
В принципе все вроде успешно вылечил, но на всякий случай вот все логи работы AVZ и HijackThis
(зипы такие большие потому что там внутри анти-баннерный hosts полностью, если это будет мешать - я могу вычистить этот кусок из логов, второй файл не влез, я присоединю его в ответе, если получится)
[B]virusinfo_syscure.zip[/B]:
182.0 Кбайт превысил(а) предел на форуме. [URL="http://virusinfo.info/misc.php?do=attachments"]Нажмите здесь для просмотра ваших вложений[/URL]
:(
примете если выложу на файловый сервер или прислать на почту ?
Случаем не перепутали с cure_virusinfo.zip?
virusinfo_syscure.zip больше 20-30 не весит.
вы плохо выполняете правила. Выключите все программы включая антивирус.И только потом делайте логи.
[COLOR="Blue"][B]Перед выполнением следующих пунктов (8, 10, 12) закройте свои антивирусные программы, игры, текстовые редакторы и любые другие программы, оставьте запущенным только программу-браузер!!![/B][/COLOR]
Так и выполнял.
Я же написал:
"зипы такие большие потому что там внутри анти-баннерный hosts полностью"
в логе есть "Запись файла Hosts"
у меня этот файл ~ 1.4 мб (антибаннер, со студенческих времен, правда сейчас задумался зачем он мне теперь), когда он вставляется в отчет, а еще и обрамляется html - вот и получается 2.7 мб в отчете.
и архив получается 200кб. Все естественно :).
Вот эти файлы с вырезанной секцией Hosts.
а virusinfo_cure.zip - 4.5 кб, внутри только то, что AVZ вытащила из System Restore - Goldun.ph (это если смотреть просмотр карантина в AVZ)
В AVZ выполнить скрипт:
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('atixdaxx.dll','');
QuarantineFile('C:\WINDOWS\Installer\{199B7F78-69B7-47C5-8D4B-A3ED1391FB6B}\NewShortcut1_8C7A59A89ABE459A9A9308C281A4A264.exe','');
BC_DeleteFile('C:\WINDOWS\Installer\{199B7F78-69B7-47C5-8D4B-A3ED1391FB6B}\NewShortcut1_8C7A59A89ABE459A9A9308C281A4A264.exe');
ExecuteSysClean;
BC_ImportAll;
BC_Activate;
RebootWindows(true);
end.[/CODE]
Прислать карантин после перезагрузки.
Кстати, файл hosts присутствует в логе. Что же Вы оттуда вырезали?
Сейчас сделаю.
Вырезал то, что находилось между localhost и bash. org.ru
там было 1.4 мбайта текста а-ля
...
127.0.0.1 126.6.87.194.dynamic.dol.ru
127.0.0.1 127.6.87.194.dynamic.dol.ru
127.0.0.1 128.6.87.194.dynamic.dol.ru
..
и прочих ссылок на localhost с баннерных url
Я вырезал только строки <TR> из таблицы,оставив первую и последнюю чтобы не нарушать html (хотя он бы и так прочитался большинством браузеров =) )
продолжение сейчас будет =)
кстати инет от большого хоста тоже может притормаживать . Я себе только базу от spybot s&d поставил.
[quote=drongo;118072]кстати инет от большого хоста тоже может притормаживать . Я себе только базу от spybot s&d поставил.[/quote]
а я для себя сделал выводы что это особо не помогает - дочерние хосты 3-4 уровня могут плодиться миллионами- все в файл не занесешь, мне больше нравится pop-up blocker из гугль тулбара для ие ( и хранилище закладок там тоже есть с тегами =) ).
Но мы отошли от темы =)
вот все из карантина, и результат выполнения скрипта в Safe Mode (без SearchRootkit(true, true); и RebootWindows(true);)
хмм странно - второй файл не приложился, вот.
[quote]хмм странно - второй файл не приложился, вот.[/quote]
japanies policeman их удалил ;)заказанные файлики только по ссылке в шапке вашей темы, читайте правила внимательней.
"дяденька, дяденька, я больше не буду...."
Выслал правильно.... хмм как-то не интуитивненько с интерфейсом :( - "тут играть, тут не играть, тут рыбу заворачивали..."
[quote=centur;118081]"дяденька, дяденька, я больше не буду...."
Выслал правильно.... хмм как-то не интуитивненько с интерфейсом :( - "тут играть, тут не играть, тут рыбу заворачивали..."[/quote]
Чем богаты тем и рады ;) Пока нужно заставлять читать правила внимательней ;)
Нужен хороший web-програмист -с дизайнерским уклоном ;-) Знаете такого? Чтобы сайт не давал цеплять файлы к сообщениям которые запрещены правилами, в то же время давал закачивать в нужное место запрошенные файлы, а не логи. И конечно указывал юзеру как делать и что делать простым языком.
[quote=drongo;118135]Чем богаты тем и рады ;) Пока нужно заставлять читать правила внимательней ;)
Нужен хороший web-програмист -с дизайнерским уклоном ;-) Знаете такого? Чтобы сайт не давал цеплять файлы к сообщениям которые запрещены правилами, в то же время давал закачивать в нужное место запрошенные файлы, а не логи. И конечно указывал юзеру как делать и что делать простым языком.[/quote]
я сам программист, но больше на .NET\ASP.NET, а у вас форум на PHP. А что в инете мало энтузиастов ? просто php более популярен - должно быть много желающих помочь =)
@centur А карантин-то закачали?
Да, через ссылку вверху темы
Файлик подозрительный оказался чистым.
Второй попавший, что под подозрением AVZ, был в System Restore - троян.
Надо отключить временно "Восстановление системы", чтобы убить его.
Уже.
Спасибо за помощь.
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]6[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\system volume information\\_restore{49a30772-4d09-4bec-b09f-65bc451d8f9d}\\rp601\\a0227303.sys - [B]Trojan-Banker.Win32.Banker.crq[/B] (DrWEB: Trojan.NtRootKit.281)[/LIST][/LIST]