Printable View
Доброго времени суток любимому сайту!
И всему женскому населению форума и сайта - от всей души поздравляю вас с днем весны и любви! :)
По проблеме: опять вылез троян, которого лечили здесь с неделю назад. После недельного затишья - упал Огнелис, на С опять появилась папка с:/iw6sTbAq8Zj2xDG в которой живет klpclst.dat, в Огнелисе опять перестали открываться фильмы (дает ошибку 404). Посмотрите, пожалуйста? Логи согласно правил выкладываю.
И, да - TDSSKiller молчит, АВИРа молчит.
Уважаемый(ая) [B]Sibirian[/B], спасибо за обращение на наш форум!
Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].
Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
Выполните скрипт в AVZ [B]в безопасном режиме[/B]:
[code]
begin
QuarantineFile('C:\Users\user\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\f6s5akf4ccr.exe','');
QuarantineFile('C:\Users\user\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\b4ATRK7nYjY.exe','');
QuarantineFile('C:\Users\user\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\9dtla84bif.exe','');
QuarantineFile('C:\Users\user\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\1vfx4c4kgw.exe','');
DeleteFile('C:\Users\user\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\1vfx4c4kgw.exe');
DeleteFile('C:\Users\user\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\9dtla84bif.exe');
DeleteFile('C:\Users\user\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\b4ATRK7nYjY.exe');
DeleteFile('C:\Users\user\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\f6s5akf4ccr.exe');
ExecuteSysClean;
ExecuteRepair(13);
RebootWindows(true);
end.[/code]
Компьютер перезагрузится.
Пришлите карантин согласно приложению 3 правил
(загружать тут: [url]http://virusinfo.info/upload_virus.php?tid=117669[/url]).
Сделайте новые логи (только п.2 и 3 раздела Диагностика).
А также
Сделайте лог [URL="http://support.kaspersky.ru/viruses/solutions?qid=208636926"]TDSSkiller[/URL]
Сделайте лог [url="http://virusinfo.info/showpost.php?p=457118&postcount=1"]полного сканирования МВАМ[/url]
Сделайте логи [url=" http://virusinfo.info/showthread.php?t=115256"]RSIT[/url]
Все выполнено.
Карантин:
Файл сохранён как 120308_182627_virus_4f58f9d3ba3fb.zip
Размер файла 552482
MD5 1e7e86fa2c358d16bbfe3a1713321205
Логи выкладываю.
[url="http://virusinfo.info/showpost.php?p=493584&postcount=2"]Удалите в МВАМ[/url] все, [b]кроме[/b] [code]D:\DISTRIB\Nero Burning ROM 6.6.0.15a Rus\Keygen.exe (Trojan.Agent) -> Действие не было предпринято.
D:\DISTRIB\Nero Burning ROM 6.6.0.15a Rus\nerosoftware\Keygen\Nero.Burning.ROM.6.6.0.14.exe (Malware.Packer.Gen) -> Действие не было предпринято.
D:\DISTRIB\Nero Burning ROM 6.6.0.15a Rus\nerosoftware\Keygen\Nero.Burning.ROM.6.6.0.15.exe (Trojan.Agent) -> Действие не было предпринято.
D:\DISTRIB\Nero Burning ROM 6.6.0.15a Rus\nerosoftware\Keygen\Nero.Media.Player.1.4.0.32.exe (Malware.Packer.Gen) -> Действие не было предпринято.
D:\DISTRIB\Nero Burning ROM 6.6.0.15a Rus\nerosoftware\Keygen\NeroMix.1.4.0.32.exe (Malware.Packer.Gen) -> Действие не было предпринято.
D:\DISTRIB\Nero Burning ROM 6.6.0.15a Rus\nerosoftware\Keygen\NeroVision.Express.3.1.0.7.exe (Malware.Packer.Gen) -> Действие не было предпринято.[/code]
Пофиксите в HiJack
[CODE]O1 - Hosts: 95.156.222.27 odnoklassniki.ru
O1 - Hosts: 95.156.222.27 www.facebook.com
O1 - Hosts: 95.156.222.27 www.twitter.com
O1 - Hosts: 95.156.222.27 vkontakte.ru
O1 - Hosts: 95.156.222.27 ru-ru.facebook.com
O1 - Hosts: 95.156.222.27 www.odnoklassniki.ru
O1 - Hosts: 95.156.222.27 vk.com
O1 - Hosts: 95.156.222.27 www.vkontakte.ru
O1 - Hosts: 95.156.222.27 www.vk.com
O1 - Hosts: 95.156.222.27 facebook.com
O1 - Hosts: 95.156.222.27 twitter.com
O4 - Startup: AdLoader.lnk = C:\Windows\System32\cmd.exe[/CODE]
Удалите вручную
[CODE]C:\plg.txt
C:\Users\user\AppData\Roaming\iw6sTbAq8Zj2xDG
C:\iw6sTbAq8Zj2xDG[/CODE][B]Смените все пароли[/B]
Выполнил. Сейчас посмотрю результаты.
На С: пока папку не создает, Огнелис работает, но на паре сайтов, где просматривал фильмы онлайн, вместо окна фильма - 404 ошибка. Что-то можно мне посоветовать?
Где новый лог МВАМ? Лог HiJack?
А где было написано что их надо сделать?! :>
Сейчас выложу.
Выполнено. Выкладываю.
Опять в HiJack что фиксил, что не фиксил((...
Сделайте лог [url="http://virusinfo.info/showpost.php?p=493610&postcount=1"]ComboFix[/url]
Выполнено. Выкладываю.
Скопируйте текст ниже в Блокнот и сохраните как файл с названием [B]CFScript.txt[/B] на диск С.
[code]KillAll::
File::
Driver::
Folder::
Registry::
[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon]
"d03770bb"=-
FileLook::
DirLook::[/code]
После сохранения переместите [B]CFScript.txt[/B] на пиктограмму ComboFix.exe.
[img]http://safezone.cc/images/cfscript.gif[/img]
Когда сохранится новый отчет [B]ComboFix.txt[/B], прикрепите его к сообщению.
Выполнено. Вот лог.
Плохого не видно
[url="http://virusinfo.info/showpost.php?p=500136&postcount=2"]Удалите ComboFix[/url]
Спасибо - все выполнено. Помониторю день-два... Вроде не видно проблемы. :)
Доброго дня,
помогли :D - тему можно закрывать.
Громадное вам всем спасибо!
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]5[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\users\\user\\appdata\\roaming\\microsoft\\windows\\start menu\\programs\\startup\\b4atrk7nyjy.exe - [B]Backdoor.Win32.Gbot.vec[/B] ( DrWEB: Trojan.Carberp.276, BitDefender: Trojan.Generic.7277612, AVAST4: Win32:MalOb-JR [Cryp] )[*] c:\\users\\user\\appdata\\roaming\\microsoft\\windows\\start menu\\programs\\startup\\f6s5akf4ccr.exe - [B]Backdoor.Win32.Gbot.vgn[/B] ( DrWEB: Trojan.Carberp.33, BitDefender: Backdoor.Generic.706689, AVAST4: Win32:Morphex-D [Cryp] )[*] c:\\users\\user\\appdata\\roaming\\microsoft\\windows\\start menu\\programs\\startup\\1vfx4c4kgw.exe - [B]Backdoor.Win32.Gbot.vgn[/B] ( DrWEB: Trojan.Carberp.33, BitDefender: Backdoor.Generic.706689, AVAST4: Win32:Morphex-D [Cryp] )[*] c:\\users\\user\\appdata\\roaming\\microsoft\\windows\\start menu\\programs\\startup\\9dtla84bif.exe - [B]Backdoor.Win32.Gbot.vem[/B] ( DrWEB: Trojan.Carberp.33, BitDefender: Backdoor.Generic.714095, AVAST4: Win32:SmokeLdr-E [Trj] )[/LIST][/LIST]