Здравствуйте.
Вот поймал со свёрнутым IE вот это: winlogon.exe(796) - модифицированный Win32/Spy.Shiz.NCE троянская программа (так его назвал нод32). Особых тормозов не замечено, winlogon.exe грузит проц процентов на 15-20, распологается в оперативке. Только нод ругается и IE иногда вылетает. Помогите пожалуйста, заранее благодарен.
Уважаемый(ая) [B]BuHTuK[/B], спасибо за обращение на наш форум!
Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"] правилах оформления запроса о помощи[/URL].
Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
Выполнить скрипт:
[CODE]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\apppatch\ghhpdgm.exe','');
DeleteFile('C:\WINDOWS\apppatch\ghhpdgm.exe');
RegKeyParamDel('HKEY_USERS','.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run','userinit');
RegKeyParamDel('HKEY_USERS','S-1-5-18\Software\Microsoft\Windows\CurrentVersion\Run','userinit');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Winlogon','System');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/CODE]
Компьютер перезагрузится. Карантин прислать согласно правилам. БАЗЫ АВЗ обновить и повторить логи.
Карантин загрузил по ссылке в шапке, логи с обновлённого авз прилогаю.
Выполните скрипт:
[CODE]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\DOCUME~1\M@TROX\LOCALS~1\Temp\mc24.tmp','');
QuarantineFile('C:\WINDOWS\apppatch\ghhpdgm.exe','');
DeleteFile('C:\WINDOWS\apppatch\ghhpdgm.exe');
DeleteFile('C:\DOCUME~1\M@TROX\LOCALS~1\Temp\mc24.tmp');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/CODE]
Компьютер перезагрузится. Логи повторит + сделайте лог MBAM(ссылка в подписи).
всё зделал:
Удалите в MBAM:
[CODE]
c:\documents and settings\M@TROX\local settings\Temp\0.25864616649658323.exe (Exploit.Drop.2) -> No action taken.
c:\documents and settings\M@TROX\application data\wndsksi.inf (Malware.Trace) -> No action taken.
c:\WINDOWS\system32\ieunitdrf.inf (Malware.Trace) -> No action taken.
[/CODE]
и всё?
Пожалуйста, сделайте еще такой лог [url]http://virusinfo.info/showthread.php?t=58309[/url]
зделал
Запустите редактор реестра
Зайдите в ветку [CODE][HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon][/CODE]
и удалите параметр [B]"34c0d3c9"[/B]
спасибо
И ещё вопрос Combofixу не понравились главный exe супер копира и моего звукового драйвера, и даже после их переустановки он не позволяет им запуститься, а через команду в выполнить - Combofix /Uninstall он не удаляется (не находит нужный файл для выполнения).
Подскажите пожалуйста что делать
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]3[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\windows\\apppatch\\ghhpdgm.exe - [B]Backdoor.Win32.Shiz.aczn[/B] ( DrWEB: Trojan.Packed.20771, BitDefender: Trojan.Generic.KDV.442672, NOD32: Win32/Spy.Shiz.NCF trojan, AVAST4: Win32:MalOb-IP [Cryp] )[/LIST][/LIST]