Поймал тучу троянов после посещения официальной страницы писателя Александра Покровского (адрес не пишу, дабы кто случайно не попался), вычистил (Семантиком, руками, АVZ), но глюки продолжаются - на ряде форумов после авторизации не показывает страницы, вернее показывает, что они пустые (в HTML-коде присутствуют только заголовок, больше ничего), на Яндексе перестала работать карта, говорит, что у меня отключена Java.....
хотя Java вроде есть.... кстати syscheck так и не создался...
AVZ Файл - Выполнить скрипт --Скопировать ниже написанный скрипт-- Запустить.
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\PROGRA~1\Yuna\CONSRE~1\CONSRE~1.EXE','');
QuarantineFile('C:\WINDOWS\system32\winnet.dll','');
QuarantineFile('C:\WINDOWS\system32\winload.dll','');
QuarantineFile('C:\WINDOWS\system32\CCM\CLICOMP\RemCtrl\Wuser32.exe','');
QuarantineFile('C:\WINDOWS\System32\drivers\tandpl.sys','');
QuarantineFile('C:\WINDOWS\System32\drivers\enodpl.sys','');
DeleteFile('C:\WINDOWS\system32\winnet.dll');
DeleteFile('C:\WINDOWS\system32\winload.dll');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
Прислать карантин согласно приложения 3 правил .
Загружать по ссылке: [url]http://virusinfo.info/upload_virus.php?tid=11189[/url]
Сделать новые логи по правилам.
1. Скрипт выполнил.
2. Карантин загружен:
[B]Файл сохранён как[/B] 070720_133857_virus_46a082b186e8b.zip
[B]Размер файла[/B] 4748733
[B]MD5[/B] 48828974ddb670cb031c1e1ec7adfae2
3. [B]C:\PROGRA~1\Yuna\CONSRE~1\CONSRE~1.EXE[/B] - Система online обновления правовой базы Консультант-Плюс
[B]C:\WINDOWS\system32\CCM\CLICOMP\RemCtrl\Wuser32.exe[/B] - Кусок SMS-клиента от Microsoft
4. Логи приложил.... syscheck так и не хочет создаваться
После выполнения всего вышеописанного Семантек нашел sysdrv8.exe в %windir% и в %windir%\system32 и опознал в нем некий HackTool, но удалить не смог... пробовал через AVZ удалить и помеcтить в карантин... в карантин поместить не дал, сославшись на ошибку и прямое чтение.... удалил через отложенное удаление.
На Яндексе карта появилась, в форумах, где после авторизации пропадала инфа, все появилось... Спасибо!
Хотя может еще что-то есть недолеченное ;-)
Вот эти файлы Вам нужны? Если нет, то думается их лучше удалить с диска.
[CODE]C:\Program Files\Transcender\BACKUP\AutoProf.exe >>> подозрение на Trojan-Clicker.Win32.VB.on ( 0044E440 0029FAE2 0012E961 001E47C6 24576)
C:\Program Files\Transcender\BACKUP\FileCleanup.exe >>> подозрение на AdvWare.Win32.CashDeluxe.g ( 00433EE8 002E237F 00009EA0 00000000 20480)
C:\Program Files\Transcender\BACKUP\MasterUpdater.exe >>> подозрение на Trojan-Downloader.Win32.Adload.fo ( 003D56DA 0034D2D5 0013F7D6 00239755 24576)
C:\Program Files\Transcender\BACKUP\TPM.exe >>> подозрение на Trojan-Clicker.Win32.VB.re ( 0047BBAA 002C0845 001790EB 000B4CD6 36864)
C:\Program Files\Transcender\cleanup.exe >>> подозрение на Trojan.Win32.Dopen.b ( 004199AC 002C0845 0019462D 00000000 16384)
C:\Program Files\WildGames\Penguins!\DataRepair.exe >>> подозрение на Trojan-Clicker.Win32.Agent.ac [/CODE]
Активных зловредов ы логах не заметил.
[QUOTE]
C:\Program Files\Transcender\BACKUP\AutoProf.exe >>> подозрение на Trojan-Clicker.Win32.VB.on ( 0044E440 0029FAE2 0012E961 001E47C6 24576)
C:\Program Files\Transcender\BACKUP\FileCleanup.exe >>> подозрение на AdvWare.Win32.CashDeluxe.g ( 00433EE8 002E237F 00009EA0 00000000 20480)
C:\Program Files\Transcender\BACKUP\MasterUpdater.exe >>> подозрение на Trojan-Downloader.Win32.Adload.fo ( 003D56DA 0034D2D5 0013F7D6 00239755 24576)
C:\Program Files\Transcender\BACKUP\TPM.exe >>> подозрение на Trojan-Clicker.Win32.VB.re ( 0047BBAA 002C0845 001790EB 000B4CD6 36864)
C:\Program Files\Transcender\cleanup.exe >>> подозрение на Trojan.Win32.Dopen.b ( 004199AC 002C0845 0019462D 00000000 16384)
[/QUOTE]
Эти файлы от экзаменационной системы.... подготовка к сдаче сертификационных экзаменов Microsoft, Orcale, HP и т.п. Возможно они и сделаны по вирусной технологии, потому как после запуска режима тестирования перехватывают прерывания клавиатуры и не дают выйти из нее, запустить списк задач.... при это сама запускает процессы Windows для проверки знаний, но с ограниченным функционалом, чтобы экзаменуемый не нажал "лишнего" :-)))
[QUOTE]C:\Program Files\WildGames\Penguins!\DataRepair.exe >>> подозрение на Trojan-Clicker.Win32.Agent.ac[/QUOTE]
Это от игрушки-головоломки "Пингвины", типа "Лемминги".... Ее можно и снести.... в принципе я ее для ребенка ставил, но "восстановлением" данных никогда не пользовался :-)
[size="1"][color="#666686"][B]Добавлено через 5 минут[/B][/color][/size]
Встречный вопрос.... почему у меня AVZ не сделало syscheck.log?
[QUOTE='Vialendil;123911']Встречный вопрос.... почему у меня AVZ не сделало syscheck.log?[/QUOTE]
Какое-нибудь сообщение об ошибке в AVZ выдается?
Попробуйте просто руками сделать след.:
1. Отметить диск "C" - запустить проверку.
2. Файл - Исследование системы.
Что из этого не получится, напишите.
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]30[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]