Printable View
Здравствуйте! Позавчера подцепил порно баннер. При загрузке винды иногда успеваю запустить диспетчер задач и в процессах удалить 2 образа: 11.exe и netprotocol (при завершении этих процессов баннер не появляется). Доктором вебом и Нодом проверял на вирусы, нашел netprotocol и netprotdrvss, удалил их, но при загрузке винды в процессах все еще появляется 11.exe, при завершении этого процесса баннер не появляется.
Уважаемый(ая) [B]gaulon[/B], спасибо за обращение на наш форум!
Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос.
Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
Здравствуйте!!!
- [URL="http://virusinfo.info/showthread.php?t=4491"]Пофиксите в HijackThis:[/URL]
[CODE]R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.smaxl.net
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.smaxl.net
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.smaxl.net
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.smaxl.net
R3 - URLSearchHook: (no name) - {83821C2B-32A8-4DD7-B6D4-44309A78E668} - (no file)
O2 - BHO: (no name) - {FFFC57DB-1DE3-4303-B24D-CEE6DCDD3D86} - (no file)[/CODE]
- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните в АВЗ:[/URL]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
ClearQuarantine;
QuarantineFile('C:\Windows\system32\system','');
QuarantineFile('C:\Windows\system32\ac3acm.acm','');
QuarantineFile('C:\Windows\system32\csrcs.exe','');
QuarantineFile('C:\Windows\system32\conime32.exe','');
QuarantineFile('C:\Users\пмлпл\aegvvp.exe','');
QuarantineFile('C:\Users\пмлпл\AppData\Roaming\netprotocol.exe','');
QuarantineFile('C:\Users\пмлпл\AppData\Roaming\Desktopicon\eBayShortcuts.exe','');
QuarantineFile('C:\Users\пмлпл\AppData\Roaming\11.exe','');
DeleteFile('C:\Users\пмлпл\AppData\Roaming\11.exe');
DeleteFile('C:\Users\пмлпл\AppData\Roaming\Desktopicon\eBayShortcuts.exe');
DeleteFile('C:\Users\пмлпл\AppData\Roaming\netprotocol.exe');
DeleteFile('C:\Users\пмлпл\aegvvp.exe');
DeleteFile('C:\Windows\system32\conime32.exe');
DeleteFile('C:\Windows\system32\csrcs.exe');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','11.exe');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Netprotocol');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','Test System Key');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','csrcs');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\RunServices','csrcs');
RegKeyParamDel('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows NT\CurrentVersion\Winlogon', 'Taskman');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]
[COLOR="#FF0000"]Компьютер перезагрузится[/COLOR]
[B]После перезагрузки:[/B]
- Выполните в АВЗ:
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
Файл [B]quarantine.zip[/B] из папки AVZ загрузите по ссылке "[COLOR="Red"][B]Прислать запрошенный карантин[/B][/COLOR]" вверху темы.
- [B]Обновите базы АВЗ[/B], [URL="http://virusinfo.info/showthread.php?t=4905"]отключите восстановление системы[/URL] и Повторите логи.
- [URL="http://virusinfo.info/showthread.php?t=53070"][B]Сделайте лог полного сканирования MBAM[/B][/URL].
Спасибо большое! Теперь баннера нету и процесс 11.exe не появляется.
Карантин отправил, логи тоже. А лог полного сканирования MBAM обязательно делать?
[quote="gaulon;816742"]А лог полного сканирования MBAM обязательно делать?[/quote]Обязательно
вот лог мбам:
[B]c:\downloads\secheot.exe[/B] - файл Вам знаком?
Выполните в АВЗ:
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('c:\downloads\secheot.exe','');
QuarantineFile('c:\Windows\System32\config\systemprofile\aegvvp.exe','');
DeleteFile('c:\Windows\System32\config\systemprofile\aegvvp.exe');
QuarantineFile('c:\Users\пмлпл\AppData\Roaming\fieryads.dat','');
DeleteFile('c:\Users\пмлпл\AppData\Roaming\fieryads.dat');
QuarantineFile('c:\Users\пмлпл\AppData\Local\microsoft\Windows\temporary internet files\Content.IE5\04FSMZ5U\11[1].exe','');
DeleteFile('c:\Users\пмлпл\AppData\Local\microsoft\Windows\temporary internet files\Content.IE5\04FSMZ5U\11[1].exe');
DeleteFileMask('c:\Users\пмлпл\AppData\Roaming\FieryAds','*.*',true);
DeleteDirectory('c:\Users\пмлпл\AppData\Roaming\FieryAds');
DeleteFileMask('c:\program files\mycentria','*.*',true);
DeleteDirectory('c:\program files\mycentria');
RegkeyDel('HKEY_CURRENT_USER','SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Stats\{FFFC57DB-1DE3-4303-B24D-CEE6DCDD3D86}');
RegkeyDel('HKEY_CURRENT_USER','Software\winxarj');
RegkeyDel('HKEY_LOCAL_MACHINE','SOFTWARE\MyCentria');
RegkeyDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\DRM\amty');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]
[COLOR="#FF0000"]Компьютер перезагрузится[/COLOR]
нет, secheot.exe мне не знаком.
после выполнения команды в АВЗ еще что-то нужно делать?
[quote="gaulon;816931"]после выполнения команды в АВЗ еще что-то нужно делать?[/quote]
Да, еще один скрипт:)
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('c:\downloads\secheot.exe');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]
[COLOR="#FF0000"]Компьютер перезагрузится[/COLOR]
Если жалоб нет, то всё!!!
жалоб нет) спасибо большое! :)
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]19[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\users\\пмлпл\\aegvvp.exe - [B]Worm.Win32.FFAuto.csd[/B] ( DrWEB: Win32.HLLW.Autoruner.44048, BitDefender: Gen:Variant.Kazy.55682, AVAST4: Win32:FoldRun [Trj] )[*] c:\\users\\пмлпл\\appdata\\roaming\\11.exe - [B]Trojan.Win32.Menti.hmtn[/B] ( DrWEB: Trojan.Winlock.3333, BitDefender: Trojan.Generic.KD.311815, AVAST4: Win32:Malware-gen )[/LIST][/LIST]