Printable View
Вообщем после просмотра одного сайта с гороскопом, как говорит бухгалтер, у нее вырубилась машина, после чего синий экран смерти, помогло прокатка винды сверху, но комп страшно глючит, даже заблокирован диспечер задач, после установки нод 32 нашел 3 вируса, avz не запускался до тех пор, пока не переименовал и т.д. Плиз, помогите....
Профиксить в HijackThis:
[CODE]O2 - BHO: Microsoft copyright - {734F63ED-89AD-4c1a-A499-1688D26D780A} - soinc.dll (file missing)
O20 - Winlogon Notify: botreg - C:\Documents and Settings\All Users\Документы\Settings\bot.dll
O20 - Winlogon Notify: Xmxrpth - C:\WINDOWS\SYSTEM32\Xmxrpth.dll
O21 - SSODL: SysRun - {D7FFD784-5276-42D1-887B-00267870A4C7} - C:\WINDOWS\system32\svshost.dll
O23 - Service: MS Internet Countermeasures Framework (ICF) - Unknown owner - C:\WINDOWS\system32\svchost.exe:exe.exe (file missing)[/CODE]
Далее напишу скрипт.
в AVZ выполнить скрипт:
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\Program Files\SpamPal\spampalLSP.dll','');
QuarantineFile('Xmxrpth.dll','');
QuarantineFile('\SystemRoot\System32\drivers\protect.sys','');
QuarantineFile('\SystemRoot\SYSTEM32\spooldr.sys','');
QuarantineFile('C:\WINDOWS\system32\soinc.dll','');
QuarantineFile('C:\WINDOWS\system32\svshost.dll','');
QuarantineFile('C:\Documents and Settings\All Users\Документы\Settings\bot.dll','');
QuarantineFile('c:\windows\system32\wininet.exe','');
QuarantineFile('c:\windows\spooldr.exe','');
DeleteFile('C:\Documents and Settings\All Users\Документы\Settings\bot.dll');
DeleteFile('C:\WINDOWS\system32\soinc.dll');
DeleteFile('C:\WINDOWS\system32\svshost.dll');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]
После перезагрузки загрузить карантин по ссылке вверху темы.
Сделать новые логи, прикрепить к теме.
Один момент.
Добавочка.
Еще один скрипт (THK Bratez):
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('Yux51.sys','');
QuarantineFile('\WINDOWS\system32\ntoskrnl.exe','');
DeleteFile('Yux51.sys');
BC_DeleteFile('Yux51.sys');
BC_DeleteSvc('Yux51');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]
Попавшее в карантин загрузить.
Вот выполнил все, что сказали.
Сорри, не прикрепилось...
вашего карантина нет...
Выполните скрипт в AVZ:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\Xmxrpth.dll','');
DeleteFile('C:\WINDOWS\spooldr.exe');
DeleteFile('C:\WINDOWS\SYSTEM32\spooldr.sys');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]
После перезагрузки еще один:
[code]
begin
SearchRootkit(false, true);
RegKeyParamDel('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Services\Yux51', 'Start');
RebootWindows(true);
end.[/code]
Снова будет перезагрузка.
После этого поищите с помощью AVZ (Сервис - Поиск файлов на диске) следующие файлы:
[B]protect.sys[/B]
[B]Yux51.sys[/B]
добавьте их в карантин, и весь карантин отправьте через эту форму:
[url]http://virusinfo.info/upload_virus.php?tid=12320[/url]
P.S. Что за программа [B]spampal[/B]? Вы ее сами ставили?
SpamPal-это программа, которая фильтрует почту и письма спам помечает меткой **SPAM**, очень удобная.
Остальное все сделал и выгрузил карантин!
Ответ из ЛК:
C:\WINDOWS\system32\Xmxrpth.dll- Trojan.Win32.Inject.er,
C:\WINDOWS\system32\drivers\Yux51.sys - Rootkit.Win32.Agent.ea
C:\WINDOWS\system32\drivers\protect.sys - чистый. Я, правда, в этом не уверен
Вот итог по protect.sys:
[CODE][B]AVG 7.5.0.485 2007.09.10 PSW.Agent.NWI [/B]
BitDefender 7.2 2007.09.11 -
CAT-QuickHeal 9.00 2007.09.10 -
[B]ClamAV 0.91.2 2007.09.11 Trojan.Agent-7550 [/B]
[B]DrWeb 4.33 2007.09.10 Trojan.NtRootKit.361 [/B]
eSafe 7.0.15.0 2007.09.04 -
eTrust-Vet 31.1.5124 2007.09.10 -
Ewido 4.0 2007.09.10 -
FileAdvisor 1 2007.09.11 -
Fortinet 3.11.0.0 2007.09.11 -
F-Prot 4.3.2.48 2007.09.11 -
F-Secure 6.70.13030.0 2007.09.11 -
Ikarus T3.1.1.12 2007.09.11 -
Kaspersky 4.0.2.24 2007.09.11 -
McAfee 5116 2007.09.10 -
Microsoft 1.2803 2007.09.11 -
[B]NOD32v2 2520 2007.09.11 Win32/SpamTool.Agent.NAJ [/B]
Norman 5.80.02 2007.09.10 -
[B]Panda 9.0.0.4 2007.09.11 Rootkit/Agent.GJE [/B][/CODE]
Спасиб, большое!
Это,наверное, еще не все. Сделай новый комплект логов для контроля ситуации.
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]5[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\windows\\system32\\drivers\\protect.sys - [B]Rootkit.Win32.Agent.jj[/B] (DrWEB: Trojan.NtRootKit.429)[*] c:\\windows\\system32\\drivers\\yux51.sys - [B]Rootkit.Win32.Agent.it[/B] (DrWEB: Trojan.NtRootKit.371)[*] c:\\windows\\system32\\xmxrpth.dll - [B]Trojan-PSW.Win32.LdPinch.dvz[/B] (DrWEB: Trojan.Inject.398)[/LIST][/LIST]