Printable View
Здравствуйте. Вот столкнулся с такой проблемой: Из файлов журнала Nod32 4
[COLOR=#ff0000][SIZE=2]"21.11.2011 20:27:11 Модуль сканирования файлов, исполняемых при запуске системы файл Оперативная память » winlogon.exe(884) модифицированный Win32/Spy.Shiz.NCE троянская программа очистка невозможна MICROSOF-219ECA\Admin"[/SIZE]
[/COLOR]Что с этим делать и как с этим бороться. Помогите пожалуйста.
:(
Уважаемый(ая) [B]LehaYasha[/B], спасибо за обращение на наш форум!
Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"] правилах оформления запроса о помощи[/URL].
Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
Выполните скрипт в AVZ:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\apppatch\efdckjx.exe','');
QuarantineFile('C:\Documents and Settings\Admin\Application Data\netprotocol.exe','');
DeleteFile('C:\Documents and Settings\Admin\Application Data\netprotocol.exe');
DeleteFile('C:\WINDOWS\apppatch\efdckjx.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]
Компьютер перезагрузится.
Пришлите карантин согласно приложению 3 правил
(загружать тут: [url]http://virusinfo.info/upload_virus.php?tid=112757[/url]).
Сделайте новые логи (только п.2 и 3 раздела Диагностика).
Спасибо большое за помощь. Я приятно удевлен. Я очень благодарен. Вот выкладываю карантин.
[COLOR="#FF0000"]Файл сохранен как: 111124_183620_virus_4ece8ea4ea846.zip[/COLOR]
вот логи
virusinfo_syscheck.zip старый приложили.
Выполните скрипт в AVZ [URL="http://virusinfo.info/showthread.php?t=7239"](как выполнить)[/URL]:
[CODE]
begin
RegKeyParamDel('HKEY_USERS','.DEFAULT\Software\Microsoft\Windows NT\CurrentVersion\Windows','Run');
RegKeyStrParamWrite('HKEY_USERS','.DEFAULT\Software\Microsoft\Windows NT\CurrentVersion\Windows','Load','');
RegKeyParamDel('HKEY_USERS','S-1-5-18\Software\Microsoft\Windows NT\CurrentVersion\Windows','Run');
RegKeyStrParamWrite('HKEY_USERS','S-1-5-18\Software\Microsoft\Windows NT\CurrentVersion\Windows','Load','');
end.
[/CODE]
Сделайте заново лог virusinfo_syscheck.zip и приложите в теме.
Вирус сново вернулся(. Nod 32 отловил пару таких вирусов на диске С а теперь сново в оперативке сидит.
[COLOR=#FF0000]25.11.2011 20:23:43 Модуль сканирования файлов, исполняемых при запуске системы файл Оперативная память » winlogon.exe(884) модифицированный Win32/Spy.Shiz.NCE троянская программа очистка невозможна MICROSOF-219ECA\Admin [/COLOR]
Прикладываю то что вы просили зделал только седня.
вот скрин
После повторного выполнения первого скрипта от Bratez вроде опять чисто. но как обезопасить комп
Воздержитесь от посещения сомнительных сайтов.
Установите все обновления безопасности, вышедшие после Service Pack 3:
[url]http://windowsupdate.microsoft.com/[/url]
Выполните скрипт в AVZ отсюда:
[url]http://dataforce.ru/~kad/ScanVuln.txt[/url]
Файл avz_log.txt из папки AVZ\LOG приложите в теме.
Пройдите по всем ссылкам (http:...) в avz_log.txt и установите указанные там обновления.
Выполните еще раз скрипт в [url]http://dataforce.ru/~kad/ScanVuln.txt[/url] и убедитесь, что обновления установились.
Выполните скрипт в AVZ [URL="http://virusinfo.info/showthread.php?t=7239"](как выполнить)[/URL]:
[CODE]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
ClearQuarantine;
QuarantineFile('C:\WINDOWS\system32\cpldapu\produkey.exe','');
QuarantineFile('C:\WINDOWS\apppatch\cwtnnc.exe','');
QuarantineFile('C:\WINDOWS\SystemRoot\System32\Drivers\sptd.sys','');
QuarantineFile('c:\docume~1\admin\locals~1\temp\~nsu.tmp\au_.exe','');
DeleteFile('c:\docume~1\admin\locals~1\temp\~nsu.tmp\au_.exe');
DeleteFile('C:\WINDOWS\apppatch\cwtnnc.exe');
RegKeyParamDel('HKEY_USERS','.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run','userinit');
RegKeyParamDel('HKEY_USERS','S-1-5-18\Software\Microsoft\Windows\CurrentVersion\Run','userinit');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Winlogon','System');
DeleteFile('C:\WINDOWS\system32\cpldapu\produkey.exe');
BackupRegKey('HKEY_USERS', '.DEFAULT\Software\Microsoft\Windows NT\CurrentVersion\Windows', 'key1');
BackupRegKey('HKEY_USERS', 'S-1-5-18\Software\Microsoft\Windows NT\CurrentVersion\Windows', 'key2');
ExecuteWizard('SCU',2,2,true);
BC_ImportAll;
ExecuteSysClean;
ExecuteWizard('TSW',2,2,true);
BC_Activate;
RebootWindows(true);
end.
[/CODE]
Компьютер перезагрузится.
После перезагрузки выполните скрипт в AVZ:
[CODE]
begin
CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
end.
[/CODE]
Загрузите quarantine.zip из папки AVZ по красной ссылке вверху темы "Прислать запрошенный карантин".
Сделайте заново лог virusinfo_syscheck.zip и приложите в теме.
В папке АВЗ появится папка Backup, в ней папка с именем текущей даты, в ней файлы
key1_<цыферки>.reg
key2_<цыферки>.reg
Заархивируйте их и приложите здесь.
Обновления безопасности установил вручную "капец" их много.
первый скрипт выполнил лог вот
из avz_log.txt выполнил все но уязвимость для Internet Explorer осталась но я им не пользуюсь практически никогда.
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]1[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\windows\\apppatch\\efdckjx.exe - [B]Backdoor.Win32.Shiz.adzr[/B] ( DrWEB: Trojan.Packed.20771, BitDefender: Gen:Heur.Zybut.1, NOD32: Win32/Spy.Shiz.NCF trojan, AVAST4: Win32:MalOb-IP [Cryp] )[/LIST][/LIST]