Printable View
Видимо поймал какой-то спам вирус, т.к. netstat -an показывает множество коннекотв к удаленным ip-адресам на 25-й порт.
Помогите, ибо после 10-15 минут работы ПК после загрузки все сетевые сервисы (почта, браузеры) перестают работать - невозможно соединиться с удаленными серверами.
Дело известное, спамбот живет в драйвере ndis.sys.
Выполнять аккурантно!!!
План такой:
1.AVZ Файл - Выполнить скрипт --Скопировать ниже написанный скрипт-- Запустить.
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('NDIS.sys','');
QuarantineFile('\??\C:\fwdrv.sys','');
QuarantineFile('c:\cd1041.nls','');
QuarantineFile('c:\windows\csrss.exe','');
QuarantineFile('c:\program files\maxthon\b.exe','');
QuarantineFile('c:\23d.tmp','');
QuarantineFile('c:\windows\system32\msvcrtd.exe','');
QuarantineFile('C:\WINDOWS\system32\ipv6monl.dll','');
DeleteFile('c:\23d.tmp');
BC_DeleteSvc('msupdate');
BC_DeleteFile('c:\23d.tmp');
BC_DeleteFile('C:\WINDOWS\system32\ipv6monl.dll');
BC_DeleteFile('c:\windows\system32\msvcrtd.exe');
BC_DeleteFile('c:\windows\csrss.exe');
BC_DeleteFile('c:\cd1041.nls');
BC_ImportAll;
BC_Activate;
ExecuteSysClean;
RebootWindows(true);
end.[/CODE]
После перезагрузки.
Загрузить карантин согласно приложения 3 правил . (ссылка вверху темы)
2.Скачайте утилиту восстановления ndis.sys: [URL="http://virusinfo.info/attachment.php?attachmentid=10580"]Вложение 10580[/URL]
3. Перезагрузитесь в безопасный режим, запустите утилиту и нажмите кнопку Patch.
Выполнил скрипт.
Карантин отправил по ссылке в начале темы.
Перезагрузился в safe mode и запустил патч.
После перезагрузки в обычный режим netstat -an "успокоился" и больше не показывает коннекты к удаленным серверам на 25-й порт.
Видимо проблема со спамботом решилась. Что-то еще нужно сделать?
Нужно заново сделать логи.
После анализа карантина м.б. еще что-нибудь удалим.
Антивируса базы надо обновить. Подозреваю, давно это не делали.
[size="1"][color="#666686"][B]Добавлено через 28 минут[/B][/color][/size]
Не видно карантина. Не добрался он до нас.
[size="1"][color="#666686"][B]Добавлено через 2 часа 26 минут[/B][/color][/size]
Пришел анализ:
Имеем [b]Virus.Win32.Agent.x, SpamTool.Win32.Agent.u,
Trojan-PSW.Win32.LdPinch.bvb, Packed.Win32.Tibs.am [/b]
+ новенький [b]Backdoor.Win32.Agent.alm[/b]
Точно по именам файлов написать не могу, карантин слишком здоров получился.
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]18[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\cd1041.nls - [B]Trojan-Proxy.Win32.Pixoliz.mf[/B] (DrWEB: Trojan.Spambot.2373)[*] c:\\program files\\maxthon\\b.exe - [B]Backdoor.Win32.Agent.alm[/B] (DrWEB: Trojan.Packed.166)[*] c:\\windows\\csrss.exe - [B]Trojan-PSW.Win32.LdPinch.bvb[/B] (DrWEB: Trojan.PWS.LDPinch.1718)[*] c:\\windows\\system32\\drivers\\ndis.sys - [B]Virus.Win32.Agent.x[/B] (DrWEB: Trojan.Spambot)[*] c:\\23d.tmp - [B]Packed.Win32.Tibs.am[/B] (DrWEB: Trojan.Packed.142)[/LIST][/LIST]