Printable View
Все добрый день!
Прошу помочь дочистить системы после вируса. Пляски с антируткитами и безопасным режимом устранили признаки заражения (запуск левого окна, похожего на антивирус и сбитая ассоциация расширений файлов), но хочу довести дело до конца. Файлы приложены.
Спасибо!
Уважаемый(ая) [B]KSM[/B], спасибо за обращение на наш форум!
Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос.
Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
Выполните скрипт
[CODE]var
i : integer;
KeyList : TStringList;
begin
KeyList := TStringList.Create;
RegKeyEnumKey('HKLM','SYSTEM', KeyList);
for i := 0 to KeyList.Count-1 do
if pos('controlset', LowerCase(KeyList[i])) > 0 then
begin
if RegKeyExistsEx('HKLM', 'SYSTEM\'+KeyList[i]+'\Services\BITS') then
begin
RegKeyResetSecurity('HKLM', 'SYSTEM\'+KeyList[i]+'\Services\BITS');
RegKeyStrParamWrite('HKLM', 'SYSTEM\'+KeyList[i]+'\Services\BITS', 'ImagePath', '%SystemRoot%\System32\svchost.exe -k netsvcs');
AddToLog('Значение параметра ImagePath в разделе реестра HKLM\SYSTEM\'+KeyList[i]+'\Services\BITS исправлено на оригинальное.');
end;
if RegKeyExistsEx('HKLM', 'SYSTEM\'+KeyList[i]+'\Services\wuauserv') then
begin
RegKeyResetSecurity('HKLM', 'SYSTEM\'+KeyList[i]+'\Services\wuauserv');
RegKeyStrParamWrite('HKLM', 'SYSTEM\'+KeyList[i]+'\Services\wuauserv', 'ImagePath', '%SystemRoot%\System32\svchost.exe -k netsvcs');
AddToLog('Значение параметра ImagePath в разделе реестра HKLM\SYSTEM\'+KeyList[i]+'\Services\wuauserv исправлено на оригинальное.');
end;
end;
KeyList.Free;
SaveLog(GetAVZDirectory + 'fystemRoot.log');
end.[/CODE]
Сделайте лог МВАМ и логи АВЗ обычной версией
Спасибо, а что значит лог МВАМ
UPD все увидел ссылку, щас сделаю))
Сделал. Посмотрит плиз
Удалите в МВАМ все, что найдено, сделайте новый лог
Сделал
Выполните скрипт
[CODE]var
i : integer;
KeyList : TStringList;
begin
KeyList := TStringList.Create;
RegKeyEnumKey('HKLM','SYSTEM', KeyList);
for i := 0 to KeyList.Count-1 do
if pos('controlset', LowerCase(KeyList[i])) > 0 then
begin
if RegKeyExistsEx('HKLM', 'SYSTEM\'+KeyList[i]+'\Services\BITS') then
begin
RegKeyResetSecurity('HKLM', 'SYSTEM\'+KeyList[i]+'\Services\BITS');
RegKeyStrParamWrite('HKLM', 'SYSTEM\'+KeyList[i]+'\Services\BITS', 'ImagePath', '%SystemRoot%\System32\svchost.exe -k netsvcs');
AddToLog('Значение параметра ImagePath в разделе реестра HKLM\SYSTEM\'+KeyList[i]+'\Services\BITS исправлено на оригинальное.');
end;
if RegKeyExistsEx('HKLM', 'SYSTEM\'+KeyList[i]+'\Services\wuauserv') then
begin
RegKeyResetSecurity('HKLM', 'SYSTEM\'+KeyList[i]+'\Services\wuauserv');
RegKeyStrParamWrite('HKLM', 'SYSTEM\'+KeyList[i]+'\Services\wuauserv', 'ImagePath', '%SystemRoot%\System32\svchost.exe -k netsvcs');
AddToLog('Значение параметра ImagePath в разделе реестра HKLM\SYSTEM\'+KeyList[i]+'\Services\wuauserv исправлено на оригинальное.');
end;
end;
KeyList.Free;
SaveLog(GetAVZDirectory + 'fystemRoot.log');
end.[/CODE]Файл [B]fystemRoot.log[/B] прикрепите к новому сообщению
Сделайте логи АВЗ [B]обычной версией[/B]
Скажите, а что значит "обычной версией"? Обычное сканирование, а не рекомендуемый скрипт, а?
Логи АВЗ у Вас сделаны[QUOTE]AVZ версии 4.32 private build
[/QUOTE]Скачайте АВЗ v.4.35--[URL="http://z-oleg.com/secur/avz/download.php"]http://z-oleg.com/secur/avz/download.php[/URL]
Сделал
[QUOTE]Внимание !!! База поcледний раз обновлялась 25.08.2010 необходимо обновить базы при помощи автоматического обновления [/QUOTE]
Обновите базу и сделайте новый логи [B]virusinfo_syscheck.zip[/B], [B]virusinfo_sysсure.zip[/B]
Готово
Выполните скрипт
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('G:\autorun.inf','');
DeleteFile('G:\autorun.inf');
BC_ImportAll;
ExecuteSysClean;
ExecuteWizard('TSW',2,3,true);
BC_Activate;
RebootWindows(true);
end.[/CODE] Закачайте карантин
Сделайте лог Gmer
Карантин закачал :
Результат загрузки
Файл сохранён как 110821_182815_2011-08-21_4e514e3f4d7b2.zip
Размер файла 893
MD5 01763dd8bc453477407ecc7e92161bb9
Лог gmer приложил
Чисто, что с проблемой?
Рекомендую:
- SP2 обновить до [URL="http://www.microsoft.com/Downloads/details.aspx?displaylang=ru&FamilyID=5b33b5a8-5e76-401f-be08-1e1555d4f3d4"]Service Pack 3[/URL] (может потребоваться активация)
!!! перед установкой Сервис Пака необходимо выгрузить антивирус, файрвол, а так же резидентные приложения типа TeaTimer (Spybot Search and Destroy) и др.);
- установить [URL="http://www.microsoft.com/rus/windows/internet-explorer/default.aspx"]Internet-Explorer 8[/URL].(даже если Вы его не используете);
- установить последние обновления системы Windows - [URL="http://www.update.microsoft.com/windowsupdate/v6/thanks.aspx?ln=ru&&thankspage=5"]здесь[/URL];
- установить [URL="http://get.adobe.com/reader/?promoid=DAFYK"]Adobe Reader 9.3[/URL] или удалить старый.
Проблема исчезла. За советы и помощь спасибо!
А подскажите, почему в логах AVZ остаются строчки типа "Функция NtCreateKey (29) перехвачена". Это нормально?
[quote="KSM;820462"]Это нормально?[/quote]
Да.
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]3[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]