Printable View
Небольшой лавиной посыпались сообщения от DrWeb, проявилось сразу несколько вирусов.
В Safe Mode вычистил CureIt'ом около 18 файлов.
После обычной загрузки, насколько мог, выполнил AVZ и HijackThis.
Сейчас при запуске скрипта AVZ "Лечение/сбор инф" комп перезагружается.
Окно файервола ХР не загружается, "вследствие неопределенной ошибки"
Прошу посмотреть логи, которые есть, и дать рекомендации.
Можно ли (и нужно ли) запускать AVZ в Safe Mode, если от нее комп перезагружается в обычном режиме?
если AVZ не выполняет скрипт в обычном режиме то желательно конечно попробывать сделать это в безопасном.
1.[url=http://virusinfo.info/showthread.php?t=7239]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".[/url]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Control\Terminal Server','fAllowToGetHelp', 0);
SetServiceStart('RemoteRegistry', 4);
QuarantineFile('C:\PROGRA~1\SecCopy\SecCopy.exe','');
QuarantineFile('C:\WINDOWS\Temp\startdrv.exe','');
QuarantineFile('C:\Documents and Settings\All Users\Документы\Settings\partnership.dll','');
DeleteFile('C:\Documents and Settings\All Users\Документы\Settings\partnership.dll');
DeleteFile('C:\WINDOWS\Temp\startdrv.exe');
BC_ImportALL;
ExecuteSysClean;
ClearHostsFile;
BC_Activate;
RebootWindows(true);
end.[/CODE]
После выполнения скрипта компьютер перезагрузится.
Прислать карантин согласно [b]приложения 3 [url=http://virusinfo.info/showthread.php?t=1235]правил [/url][/b].
Загружать по ссылке: [url]http://virusinfo.info/upload_virus.php?tid=12061[/url]
2.Пофиксить в HijackThis следующие строчки ( [url]http://virusinfo.info/showthread.php?t=4491[/url] )
[CODE]
O20 - Winlogon Notify: partnershipreg - C:\Documents and Settings\All Users\Документы\Settings\p artnership.dll (file missing)
[/CODE]
по поводу фаервола [url]http://support.microsoft.com/kb/920074/ru[/url]
повторите логи
Cкрипт выполнил, карантин загрузил, строчку пофиксил.
При запуске скрипта AVZ "Лечение/сбор инф" комп все так же перезагружается.
Посему отправляю только один лог AVZ и один HijackThis.
Выполните такой скрипт из безопасного режима:
[code]
begin
SearchRootkit(false, true);
RegKeyParamDel('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Services\Fsc47', 'Start');
RebootWindows(true);
end.[/code]
После перезагрузки выполните лог, как написано здесь:
[url]http://virusinfo.info/showthread.php?t=10387[/url]
Скрипт выполнил, логи сделал.
У вас сидит трудноубиваемый руткит - [B]Fsc47.sys[/B], и к сожалению скрипт, который должен был отключить его запуск, не сработал. Я вижу только один способ его выудить - это загрузиться с LiveCD или в консоль восстановления, разыскать этот файл и переименовать его (пока не удалять, нужен образец).
Если есть возможность - сделайте так. Или подождем, может быть кто-то из наших экспертов даст другой совет.
А если снять винчестер и подключить его на чистом компьютере в качестве второго?
Так можно?
Что тогда мне искать и чем сканировать?
Так можно. Просто найдите файл [B]Fsc47.sys[/B], запакуйте в архив с паролем [I]virus [/I]и пришлите по правилам. Удалять его пока не нужно, просто переименуйте, верните свой ЖД на место и запустите систему. Если проблем с запуском не будет, сделайте новые логи + дополнительный, как написано [URL="http://virusinfo.info/showthread.php?t=10387"]тут[/URL].
1. Винчестер переставил, файл нашелся в папке windows\system32\drivers
2. Файл переименовал d Fsc47$$.$y$, заархивировал и загрузил.
3. Винчестер вернул, система загрузилась нормально.
4. Сделал стандартные логи (AVZ отработала нормально, без внезапной перезагрузки в самом начале!) и один дополнительный.
5. Все логи загружаю.
6. Жду ваших рекомендаций.
Лишние дырки хотите закрыть? [code]
Службы: разрешена потенциально опасная служба TermService (Службы терминалов)
>> Службы: разрешена потенциально опасная служба SSDPSRV (Служба обнаружения SSDP)
>> Службы: разрешена потенциально опасная служба Schedule (Планировщик заданий)
> Службы: обратите внимание - набор применяемых на ПК служб зависит от области применения ПК (домашний, ПК в ЛВС компании ...)!
>> Безопасность: разрешен автозапуск программ с CDROM
>> Безопасность: разрешен административный доступ к локальным дискам (C$, D$ ...)
>> Безопасность: к ПК разрешен доступ анонимного пользователя
[/code]
Если да, то вот лекарство:
[code]begin
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Control\LSA','RestrictAnonymous', 2);
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'System\CurrentControlSet\Services\LanmanServer\Parameters','AutoShareWks', 0);
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'System\CurrentControlSet\Services\CDROM','AutoRun', 0);
SetServiceStart('Schedule', 4);
SetServiceStart('SSDPSRV', 4);
SetServiceStart('TermService', 4);
RebootWindows(true);
end.[/code]
За лекарство спасибо, сделаю.
А логи кто-нибудь посмотрит?
Может еще не все вычистили?
Присланный файл детектируется Касперским как [B]Rootkit.Win32.Agent.hg[/B]. Еще пару файликов с тем же детектом нашел AVZ. Активного заражения больше не видно.
Кстати, восстановление системы вы отключали? Если нет - сделайте это сейчас.
Выполните такой скрипт:
[code]begin
DeleteFile('C:\WINDOWS\system32\drivers\Fsc47$$.$y$');
DeleteFile('C:\WINDOWS\system32\drivers\symavc32.sys');
DeleteFile('C:\System Volume Information\_restore{357507FE-F5AF-49F2-B03D-0693DE6A2FFD}\RP26\A0006637.sys');
BC_DeleteSvc('Fsc47');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]
После перезагрузки для полной уверенности повторите лог п.8 правил.
Восстановление отключил, скрипт выполнил.
Лог по п.8 прилагаю.
Больше ничего подозрительного не видно,если проблем больше нет,то лечение можно считать законченным.
Рекомендую работать под пользователем с ограниченными правами.
По возможности не использовать Internet Explorer,а пользоваться другими браузерам,например Opera,Firefox (с отключенными java скриптами,разрешая их выполнения только доверенным сайтам)
Советуем прочитать [URL="http://security-advisory.newmail.ru/"]электронную книгу[/URL])"Безопасный Интернет. Универсальная защита для Windows ME - Vista".
Вы можете нас отблагодарить,[URL="http://www.virusinfo.info/showthread.php?t=3519"]оказав нам помощь в сборе базы безопасных файлов.[/URL] Мы будем Вам очень благодарны!
Удачи!
DrWeb нашел еще одного - MailSpectre.exe, Win32.HLLM.Spectre.
Я его переместил, могу прислать.
Надо ли его лечить и вернуть на место?
[QUOTE]Надо ли его лечить и вернуть на место?[/QUOTE]
На место? Ни в коем случае! И лечить там нечего, удаляйте смело!
Вроде как все вычистили, фаервол восстановил, всем спасибо за дельные советы!:druzja: