Установлен антивирус Касперского.
Находит трояны, которые то лечит, то удаляет.
ADSL постоянно качает траффик.
После перезагрузки компьютера - все повторяется сначала.
Касперский снова находит теже самые трояны и удаляет.
И так по кругу.
Помогите вычистить компьютер от вирусов.
выполните [URL="http://virusinfo.info/showthread.php?t=1235"]правила[/URL]
Выполнил. Закрепил логи.
Выполните скрипт в AVZ (AVZ, Меню Файл\Выполнить скрипт. [URL="http://virusinfo.info/showthread.php?t=7239"]Подробнее...[/URL]):
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\Temp\startdrv.exe','');
QuarantineFile('C:\WINDOWS\system32\drivers\runtime.sys','');
QuarantineFile('C:\WINDOWS\system32\drivers\runtime2.sys','');
QuarantineFile('C:\WINDOWS\system32\drivers\ip6fw.sys','');
QuarantineFile('c:\windows\system32\svchost.exe:exe.exe:$DATA','');
QuarantineFile('C:\Program Files\BitAccelerator\BitAccelerator.dll','');
QuarantineFile('C:\Program Files\Microsoft Office\Office10\1033\MSOHELP.EXE','');
QuarantineFile('c:\docume~1\adminnew\locals~1\temp\winlogon.exe','');
DeleteFile('c:\docume~1\adminnew\locals~1\temp\winlogon.exe');
DeleteFile('c:\windows\system32\svchost.exe:exe.exe:$DATA');
DeleteFile('C:\WINDOWS\Temp\startdrv.exe');
DeleteFile('C:\WINDOWS\system32\drivers\runtime2.sys');
DeleteFile('C:\WINDOWS\system32\drivers\runtime.sys');
BC_DeleteSvc('runtime');
BC_DeleteSvc('runtime2');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
После выполнения скрипта компьютер перезагрузится.
После перезагрузки пришлите попавшие в карантин файлы согласно правилам (для отправки файлов следует воспользоваться ссылкой "Прислать запрошенные файлы" над первым сообщением темы)
Стартовую страницу в инете сами устанавливали:
[CODE]O4 - HKLM\..\Run: [NvCpl] reg add "HKCU\Software\Microsoft\Internet Explorer\Main" /v "Start Page" /t "REG_SZ" /d "http://shop.tu1.ru/" /f[/CODE]
Если нет, то надо профиксить.
Обновить антивирус. Видать у него старые базы.
@Kuzz
Для этого зверя в скрипте
[B]'c:\windows\system32\svchost.exe:exe.exe:$DATA'[/B]
можно написать BC_QrSvc('ICF');
Скрипт выполнил. Карантин отправил.
[size="1"][color="#666686"][B][I]Добавлено через 3 минуты[/I][/B][/color][/size]
Строку пофиксил. Сам на стартовую страницу не устанавливал.
Антивирус Касперского обновляется ежедневно сам, так что базы не старые.
[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]
Подскажите где нужно написать BC_QrSvc('ICF');
[B]'c:\windows\system32\svchost.exe:exe.exe:$DATA'[/B]
Свежая модификация! Отправил в ЛК.
BitAccelerator.dll - отсутствует
MSOHELP.EXE - чистый.
Пофиксите в HijackThis:
[code]
O2 - BHO: BitAccelerator module - {92860A02-4D69-48c1-82D7-EF6B2C609502} - C:\Program Files\BitAccelerator\BitAccelerator.dll (file missing)
O4 - HKLM\..\Run: [NvCpl] reg add "HKCU\Software\Microsoft\Internet Explorer\Main" /v "Start Page" /t "REG_SZ" /d "http://shop.tu1.ru/" /f
O4 - HKLM\..\Run: [startdrv] C:\WINDOWS\Temp\startdrv.exe
O4 - HKCU\..\Run: [Firewall auto setup] C:\DOCUME~1\AdminNew\LOCALS~1\Temp\winlogon.exe
[/code]
[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]
Выполните скрипт в AVZ:
[code]
begin
BC_DeleteSvc('ICF');
BC_Activate;
RebootWindows(true);
end.[/code]
и сделайте новые логи.
[QUOTE=Web-ines;129242]Скрипт выполнил. Карантин отправил.
Подскажите где нужно написать BC_QrSvc('ICF');[/QUOTE]
Это не для Вас, это я для Kuzz мысли вслух написал.
Логи нужно будет новые сделать после всего этого.
Подскажите, что делать.
После выполнения 4 и 5 пунктов при перезагрузке
пропало половина ярлыков с рабочего стола
пропали все закладки в избранном в IE
пропали (нет подключенных) сетевые диски
С чем это связано и можно ли вернуть ярлыки, закладки и т.д.
И при выполнении последнего задания нет этих строчек
O4 - HKLM\..\Run: [startdrv] C:\WINDOWS\Temp\startdrv.exe
O4 - HKCU\..\Run: [Firewall auto setup] C:\DOCUME~1\AdminNew\LOCALS~1\Temp\winlogon.exe
Так, что их я не фиксил.
[QUOTE]С чем это связано и можно ли вернуть ярлыки, закладки и т.д.[/QUOTE]
Более чем странное дело - удалялись только заведомо вредоносные объекты, ничего такого, что могло повлиять на ярлыки и проч...
[QUOTE]И при выполнении последнего задания нет этих строчек[/QUOTE]
Нормально. Пофиксились автоматом при выполнении скрипта.
[QUOTE='Web-ines;129258']После выполнения 4 и 5 пунктов при перезагрузке
пропало половина ярлыков с рабочего стола
пропали все закладки в избранном в IE
пропали (нет подключенных) сетевые диски
С чем это связано и можно ли вернуть ярлыки, закладки и т.д.[/QUOTE]
Похоже, что слетел профиль, и система создала новый. Ищите обломки в Documents and Settings - старый рабочий стол, старое меню, старое избранное. Сетевые диски придётся заново подключать, они в реестре хранятся.
Вроде разобрался.
Да слетел профиль.
Скопировал из старого в новый.
Ярлыки, закладки восстановил.
Office пришлось переустановить.
Подскажите, что-там с логами - чистые или еще нужно лечить.
все с чем боролись убито ... вопрос [b] C:\Documents and Settings\AdminNew\Local Settings\Temp\Временная папка 1 для kf151.zip\keyfinder.exe/{RAR-SFX}/officekey.exe [/b] и
[b]C:\Documents and Settings\AdminNew\Local Settings\Temp\Временная папка 2 для kf151.zip\keyfinder.exe/{RAR-SFX}/officekey.exe [/b] вам это нужно ?
и вот этот ключик не меняли HKCR\scrfile\shell\open\command\ ?
Извините, что вчера не смог ответить.
Все, что описано выше - мне вроде не нужно.
Даже не знаю, что это за файлики.
И ключ (HKCR\scrfile\shell\open\command\ ?) не менял.
Что мне сделать дальше?
1.[url=http://virusinfo.info/showthread.php?t=7239]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".[/url]
[CODE]begin
DeleteFile('C:\Documents and Settings\AdminNew\Local Settings\Temp\Временная папка 2 для kf151.zip\keyfinder.exe');
DeleteFile('C:\Documents and Settings\AdminNew\Local Settings\Temp\Временная папка 1 для kf151.zip\keyfinder.exe');
end.[/CODE]
Логи чистые,если проблем больше нет ,то лечение можно считать законченным.
Советую работать за компьютером под пользователем с ограниченными правами.
По возможности не пользоваться Internet Explorer,а использовать альтернативные браузеры,например Firefox,Opera(с отключёнными java скриптами,разрешать их выполнение только для доверенных сайтов)
Советую прочитать [URL="http://security-advisory.newmail.ru/"]электронную книгу[/URL] "Безопасный Интернет. Универсальная защита для Windows ME - Vista".
Вы можете нас отблагодарить, [URL="http://www.virusinfo.info/showthread.php?t=3519"]оказав нам помощь в сборе базы безопасных файлов.[/URL] Мы будем Вам очень благодарны!
Удачи!
Скрипт выполнил.
Книгу - скачал, на выходных прочитаю.
Собрал базу без.файлов - закачал:
Результат загрузки
Файл сохранён как 070824_085730_virusinfo_files_ADMIN_46ce6551a8344.zip
Размер файла 17033903
MD5 ede042ef67f228d8f9727eec19116557
Файл закачан, спасибо!
Но во время сбора, много файлов попало в карантин.
Мне их пока не трогать, так и оставить как есть.
Насколько много? И что за файлы попали?Наверно кряки от программ ;) если да,то просто очистите карантин.
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]19[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\docume~1\\adminnew\\locals~1\\temp\\winlogon.exe - [B]Trojan-Proxy.Win32.Puma.rk[/B] (DrWEB: Trojan.Packed.147)[*] c:\\windows\\system32\\svchost.exe:exe.exe:$data - [B]Trojan.Win32.Obfuscated.hd[/B] (DrWEB: BackDoor.Bolg)[/LIST][/LIST]