Printable View
С помощью DrWeb CureIT нашел троянца в файле mssfc.dll. Но при попытке вылечить этот файл CureIT на нем "застревает" и дальше проверку не проходит. Так же есть проблемы с доступом в инет: для того чтоб зайти на сайт уходит по несколько минут.
Логи сделал и приложил. Посмотрите пожалуйста
Уважаемый(ая) [B]Alexa3310[/B], спасибо за обращение на наш форум!
Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы, в самое ближайшее время, ответят на Ваш запрос.
Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
Здравствуйте.
Отключите:
-ПК от интернета
-Все защитные приложения
Выполните скрипт в AVZ:
[CODE]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
QuarantineFile('C:\WINDOWS\system32\sdra64.exe','');
QuarantineFile('%System32%\mssfc.dll','');
DeleteFile('C:\WINDOWS\system32\sdra64.exe');
DelBHO('710EB7A1-45ED-11D0-924A-0020AFC7AC4D');
DelBHO('2C72A1C0-C3A9-49F3-942D-AD70A765AF7B');
RegKeyStrParamWrite('HKLM', 'SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon', 'UserInit', GetEnvironmentVariable('SystemRoot')+'\system32\userinit.exe,');
BC_ImportAll;
ExecuteSysClean;
ExecuteWizard('TSW',2,3,true);
BC_Activate;
RebootWindows(true);
end.
[/CODE]
Компьютер перезагрузится.
Затем выполните ещё один скрипт:
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
И пришлите quarantine.zip из папки AVZ согласно правилам (через красную ссылку "[B][COLOR="Red"][U]Прислать запрошенный карантин[/U][/COLOR][/B]" наверху темы).
Сделайте повторные логи.
[B][COLOR="#FF0000"]Смените все пароли[/COLOR][/B].
скрипты выполнил
карантин отправил
лог mbam тоже есть, могу приложить
[quote="Alexa3310;813892"]лог mbam тоже есть, могу приложить[/quote]
Приложите, пожалуйста.
[quote="hedgars;813891"]Сделайте повторные логи.[/quote]
новые логи и лог mbam приложил
[URL="http://virusinfo.info/showthread.php?t=51654"]Замените[/URL] файлы
[CODE]c:\WINDOWS\system32\mssfc.dll
c:\WINDOWS\system32\sfcfiles.dll[/CODE]
на чистые из дистрибутива.
[URL="http://virusinfo.info/showpost.php?p=493584&postcount=2"]Удалите в MBAM[/URL]:
[CODE]Зараженные ключи в реестре:
HKEY_CLASSES_ROOT\AppID\{B0ED4726-5BC8-4E22-A7A8-3074A73CE64E} (Trojan.BHO) -> No action taken.
HKEY_CLASSES_ROOT\CLSID\{1408E208-2AC1-42D3-9F10-78A5B36E05AC} (Trojan.BHO) -> No action taken.
HKEY_USERS\.DEFAULT\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\{19127AD2-394B-70F5-C650-B97867BAA1F7} (Backdoor.Bot) -> No action taken.
HKEY_USERS\S-1-5-18\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\{19127AD2-394B-70F5-C650-B97867BAA1F7} (Backdoor.Bot) -> No action taken.
HKEY_USERS\.DEFAULT\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\{43BF8CD1-C5D5-2230-7BB2-98F22C2B7DC6} (Backdoor.Bot) -> No action taken.
HKEY_USERS\S-1-5-18\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\{43BF8CD1-C5D5-2230-7BB2-98F22C2B7DC6} (Backdoor.Bot) -> No action taken.
HKEY_USERS\.DEFAULT\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\{494E6CEC-7483-A4EE-0938-895519A84BC7} (Backdoor.Bot) -> No action taken.
HKEY_USERS\S-1-5-18\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\{494E6CEC-7483-A4EE-0938-895519A84BC7} (Backdoor.Bot) -> No action taken.
HKEY_CLASSES_ROOT\idid (Trojan.Sasfix) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Nvchost (Trojan.Goldun) -> No action taken.
Зараженные параметры в реестре:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Network\UID (Malware.Trace) -> Value: UID -> No action taken.
Объекты реестра заражены:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\FirewallDisableNotify (PUM.Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\UpdatesDisableNotify (PUM.Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\AntiVirusDisableNotify (PUM.Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Userinit (Hijack.UserInit) -> Bad: (C:\WINDOWS\system32\userinit.exe,C:\WINDOWS\system32\sdra64.exe,) Good: (userinit.exe) -> No action taken.
Зараженные папки:
c:\WINDOWS\system32\lowsec (Stolen.data) -> No action taken.
Зараженные файлы:
c:\documents and settings\администратор\local settings\Temp\5.tmp (Trojan.Dropper.Gen) -> No action taken.
c:\documents and settings\администратор\local settings\Temp\8.tmp (Trojan.Dropper.Gen) -> No action taken.
c:\documents and settings\администратор\local settings\Temp\setup_m.exe (Trojan.Dropper) -> No action taken.
c:\WINDOWS\system32\lowsec\local.ds (Stolen.data) -> No action taken.
c:\WINDOWS\system32\lowsec\user.ds.lll (Stolen.data) -> No action taken.
c:\WINDOWS\system32\lowsec\user.ds (Stolen.data) -> No action taken.
[/CODE]
Сделайте повторный лог MBAM.
sfcfiles.dll заменил из дистрибутива
эту библиотеку (mssfc.dll) в дистрибутиве не нашел можно ли этот файл просто удалить без последствий?
новый лог приложил
Да, пожалуй можно.
[URL="http://virusinfo.info/showpost.php?p=493584&postcount=2"]Удалите в MBAM[/URL]:
[CODE]
Зараженные файлы:
c:\WINDOWS\system32\mssfc.dll (Trojan.Patch) -> No action taken.[/CODE]
Сделайте повторный лог MBAM.
удалил через MBAM
c:\WINDOWS\system32\mssfc.dll (Trojan.Patch) -> No action taken.
сделал повторные логи
Чисто, что с проблемой?
[QUOTE=hedgars;814021]Чисто, что с проблемой?[/QUOTE]
проблема исчезла все в порядке СПАСИБО!!!!! тему закрываем
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]5[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\windows\\system32\\mssfc.dll - [B]Trojan.Win32.Patched.fr[/B] ( DrWEB: Trojan.WinSpy.921, BitDefender: Gen:Variant.Patched.1, AVAST4: Win32:Small-NTF [Trj] )[/LIST][/LIST]