ХЕЛП!!!!! КАРАУЛ!!! нахватал полную подборку

Printable View

Показывать 40 сообщений этой темы на одной странице

12.09.2007, 19:27
Not

ХЕЛП!!!!! КАРАУЛ!!! нахватал полную подборку

Починил только что комп. В нете зашел на один единственный сайт (очень приличный вроде продажа моечной техники)
через несколько секунд выскочило окно, что то там ощибка....приложение будет закрыто и т.д. "Фига се..." -думаю и нажимаю волшебную комбинацию из 3х клавишь посмотреть, что за процессы запущены..... "Фиг тебе!" - сказала табличка с надписью, что данное действие запрещено администратором! "А я кто тогда???!!!!" - мелькнула мысль в голове и я запустил АВЗ...

Далее чувства были смешанные........ вобщем то по логам мои чувства будут понятны.
Про старую версию АВЗ знаю, но скачивать некогда было я сразу же подключение к нету вырубил.
В завершении скажу, что эта хрень явно не удалилась потому как пока я это писал 3 раза выскакивали таблички, что файл 5.tmp и еще какие то совершили ошибку и будут закрыты. Эти файлы я уже сегодня вручную удалая из корня, не системные они сволочи!

P.S. Может кто нибуть знает сервис где проверить сайт на предмет вирусни в режиме он-лайн?
12.09.2007, 19:39
Bratez

Да уж... Круто ты попал ;)
Пока вот так:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\svshost.dll','');
QuarantineFile('C:\WINDOWS\system32\kernelwind32.exe','');
QuarantineFile('C:\WINDOWS\System32\drivers\protect.sys','');
QuarantineFile('C:\WINDOWS\system32\DefLib.sys','');
QuarantineFile('C:\WINDOWS\system32\wininet.exe','');
QuarantineFile('C:\WINDOWS\system32\ndetect.exe','');
QuarantineFile('C:\DOCUME~1\NONEXI~1\LOCALS~1\Temp\winlogon.exe','');
QuarantineFile('C:\DOCUME~1\NONEXI~1\LOCALS~1\Temp\csrss.exe','');
DeleteFile('C:\DOCUME~1\NONEXI~1\LOCALS~1\Temp\csrss.exe');
DeleteFile('C:\DOCUME~1\NONEXI~1\LOCALS~1\Temp\winlogon.exe');
DeleteFile('C:\WINDOWS\system32\ndetect.exe');
DeleteFile('C:\WINDOWS\system32\wininet.exe');
DeleteFile('C:\WINDOWS\system32\DefLib.sys');
DeleteFile('C:\WINDOWS\System32\drivers\protect.sys');
DeleteFile('C:\WINDOWS\system32\kernelwind32.exe');
DeleteFile('C:\WINDOWS\system32\svshost.dll');
BC_ImportDeletedList;
BC_QrSvc('ICF');
BC_QrSvc('msupdate');
BC_DeleteSvc('ICF');
BC_DeleteSvc('msupdate');
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]
Карантин + новые логи в студию!

[size="1"][color="#666686"][B][I]Добавлено через 3 минуты[/I][/B][/color][/size]

Кстати, убери virusinfo_cure.zip из темы
12.09.2007, 19:41
drongo

А я предупреждал, вот доказательство под админом с эксплорером гулять ;)

[B]ай-яй не хорошо , карантин в теме прикреплять ![/B]
P.s.
ссылки он-лайн пока только drweb проверяет, можешь поставить себе плагин- но это так - игрушка: [url]http://www.freedrweb.com/browser/[/url]
Реально уменьшить шанс , то я говорил тебе не один раз:
1) Работать за компьютером с правами ограниченного пользователя.
2) Пользоваться для хождения по интернету альтернативным браузером [b]с отключёнными скриптами по умолчанию с лёгкостью разрешая доверенным сайтам выполнять скрипты [/b]([url=http://virusinfo.info/showthread.php?p=121290#post121290]Firefox[/url] и [url=http://virusinfo.info/showthread.php?t=6577]Opera[/url] это позволяют делать в отличии от IE 7 ,6....)
3) Прочитать электронную книгу "Безопасный Интернет". Универсальная защита для Windows ME - Vista": [url]http://security-advisory.newmail.ru[/url]
12.09.2007, 19:43
PavelA

Куда же тебя занесло, в смысле на какой сайт?
12.09.2007, 19:53
Not

Явно не помогло.... опять волшебная комбинация запрещена "администратором"!
Сайт позже напишу. прошелся спайботом (ничего не удаляя) караул просто. нашолсся ip в системном реестре от одного зверя 66.232.98.112
12.09.2007, 20:01
Not

почему то не загружает логи....... загрузка вроде идет а по окончании пусто...

[SIZE=1][COLOR=#666686][B][I]Добавлено через 4 минуты[/I][/B][/COLOR][/SIZE]

Карантин ушел.
Как бы исхитриться логи загрузить

вот сайт на который я зашел www[i].[/i]avtomoiki.ru (ДЛЯ ТЕХ КТО ПРОСТО ПРОСМАТРИВАЕТ ЭТОТ ТОПИК НЕ НАЖИМАЙТЕ ЭТУ ССЫЛКУ!!! ВОЗМОЖНО САЙТ ЗАРАЖЕН!!!!)
12.09.2007, 20:04
SuperBrat

Пофиксить в HijackThis:
[CODE]O2 - BHO: (no name) - {36DBC179-A19F-48F2-B16A-6A3E19B42A87} - C:\WINDOWS\system32\ipv6monl.dll
O4 - HKLM\..\Run: [System] C:\WINDOWS\system32\kernelwind32.exe
O4 - HKLM\..\Run: [spoolsvv] C:\WINDOWS\system32\spoolsvv.exe
O4 - HKLM\..\Run: [runner1] C:\WINDOWS\retadpu27.exe 61A847B5BBF72810358B2B27128065E9C084320161C4661227A755E9C2933154389A
O4 - HKCU\..\Run: [userinit] C:\WINDOWS\system32\ntos.exe
O20 - Winlogon Notify: botreg - C:\Documents and Settings\All Users\Документы\Settings\bot.dll
O21 - SSODL: SysRun - {D7FFD784-5276-42D1-887B-00267870A4C7} - C:\WINDOWS\system32\svshost.dll
O23 - Service: ICF - Unknown owner - C:\WINDOWS\system32\svchost.exe:exe.exe[/CODE]
12.09.2007, 20:07
drongo

качай 4.27, обновляй базы- сделай новые логи.
аспирин должен помочь :
[code]
begin
ExecuteRepair(6);
ExecuteRepair(9);
RebootWindows(true);
end.
[/code]
12.09.2007, 20:30
Not

[B]drongo[/B],
волшебные клавиши заработали!!!!!!!
Но вирусня еще крепко держит мой комп за задницу!
12.09.2007, 20:32
SuperBrat

[QUOTE='Not;133880']Но вирусня еще крепко держит мой комп за задницу![/QUOTE]
А скрипты, фиксы делали?
P.S. Ссылку на сайт можно убрать. Там зловредный скрипт.
12.09.2007, 20:33
Not

[B]SuperBrat[/B],

некоторых ключей при запуске не нашлось, те, что были пофиксил.
Еще что то мне подсказывает, что надо пофиксить строку которая выделена в скриншоте. Табличка выскочила как раз в момент выделения этой строки (прям как сама подсказывает!:)
[IMG]http://virusinfo.ucoz.ru/viruss/vvvirus.GIF[/IMG]

все скрипты и фиксы сделал, но некоторые пофиксить не удалось (причина описана выше и на скрине их нет)
12.09.2007, 20:37
SuperBrat

hijackthis.log сделай сейчас по новой, и AVZ 4.27 логи потом.
12.09.2007, 20:39
Not

[quote=drongo;133854]А я предупреждал, вот доказательство под админом с эксплорером гулять ;)

[B]ай-яй не хорошо , карантин в теме прикреплять ![/B]
P.s.
ссылки он-лайн пока только drweb проверяет, можешь поставить себе плагин- но это так - игрушка: [URL]http://www.freedrweb.com/browser/[/URL]
Реально уменьшить шанс , то я говорил тебе не один раз:
1) Работать за компьютером с правами ограниченного пользователя.
2) Пользоваться для хождения по интернету альтернативным браузером [B]с отключёнными скриптами по умолчанию с лёгкостью разрешая доверенным сайтам выполнять скрипты [/B]([URL="http://virusinfo.info/showthread.php?p=121290#post121290"]Firefox[/URL] и [URL="http://virusinfo.info/showthread.php?t=6577"]Opera[/URL] это позволяют делать в отличии от IE 7 ,6....)
3) Прочитать электронную книгу "Безопасный Интернет". Универсальная защита для Windows ME - Vista": [URL]http://security-advisory.newmail.ru[/URL][/quote]

Странновато как то......... я не прикреплял карантин в теме!
Я нажал вверху кнопку "прислать запрошенные файлы" и залил.......
Я что опять обгадился??????!!!!!!

фаерфокс скачаю сразу после выписки компа из стационара! чесное пионерское!!!! А вот много читать нет времени к сожалению.
12.09.2007, 20:42
RiC

Логи ещё раз повтори, достаточно 2х последних.
12.09.2007, 20:44
SuperBrat

Если никто не против, vedxg6ame4.exe убей:
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\WINDOWS\System32\vedxg6ame4.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]
12.09.2007, 20:46
Not

Интересное дело...... после выполнения первого же скрипта вылетает "экран смерти" после перезагрузки попробывал то же проделать с предидущей версией АВЗ эффект тот же..:'-(
я уже близок к суициду! (формат С:)
12.09.2007, 20:49
SuperBrat

Конструкцию (2 строчки) в скрипте попробуй убрать и выполни снова:
[CODE]SearchRootkit(true, true);
SetAVZGuardStatus(True);[/CODE]
12.09.2007, 20:50
Not

[quote=SuperBrat;133890]Конструкцию в скрипте попробуй убрать и выполни снова:
[code]SearchRootkit(true, true);
SetAVZGuardStatus(True);[/code][/quote]

вот со слова конструкцию пожалуйста подробнее.........:embarasse
12.09.2007, 20:52
SuperBrat

Мой код будет вот таким:
[CODE]begin
DeleteFile('C:\WINDOWS\System32\vedxg6ame4.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]
12.09.2007, 20:53
Not

создается впечатление, что система спотыкается после попытки выполнения скриптом команды "перезагрузка"

Показывать 40 сообщений этой темы на одной странице