Printable View
Добрый день! Имеется в наличии контроллер домена на win srv 2003 r2 sp2 на нём из защиты стоит агент DrWeb enterprise. И каждый день он находит по 200 вирусов Trojan.Click1.18983 по пути C:\windows\system32\vezwxz.w удаляет их и они заново туда пишутся. И ещё я заметил что создается много запланированных заданий с сылкой на выполнение этого файла C:\windows\system32\vezwxz.w
Уважаемый(ая) [B]xelax[/B], спасибо за обращение на наш форум!
Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].
Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните в АВЗ:[/URL]
[CODE]begin
QuarantineFile('C:\1','');
QuarantineFile('C:\WINDOWS\system32\01.tmp','');
DeleteFile('C:\WINDOWS\system32\01.tmp');
DeleteService('tchgdyf');
DeleteService('gbhcfx');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
end.[/CODE]
[COLOR="#FF0000"]Перезагрузите компьютер[/COLOR]
[B]После перезагрузки:[/B]
- Выполните в АВЗ:
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
Файл [B]quarantine.zip[/B] из папки AVZ загрузите по ссылке "[COLOR="Red"][B]Прислать запрошенный карантин[/B][/COLOR]" вверху темы.
- [URL="http://virusinfo.info/showthread.php?t=53070"][B]Сделайте лог полного сканирования MBAM[/B][/URL].
- [B]Обновите базы АВЗ[/B] (АВЗ -> меню "Файл" -> "Обновление баз" -> "Пуск") и повторите логи.
Все названные выше оперции проделал. Прикрепляю лог. И ещё эта зараза с такими же симптомами была замечена ещё на 5 машинах в домене!!
- [URL="http://virusinfo.info/showthread.php?t=53070&p=493584&viewfull=1#post493584"]Удалите в MBAM[/URL] все.
У Вас сетевой червь. Отключайте все компьютеры от сети и лечите каждый. И обновите виндовс, ie и все программы работающие в сети...
И по схеме поставил MBAM удалил всё и работать на каждой машине?
Нет. Давайте лучше что-нибудь из этого [url]http://virusinfo.info/showthread.php?t=15927[/url]
[QUOTE=Techno;921287]Нет. Давайте лучше что-нибудь из этого [url]http://virusinfo.info/showthread.php?t=15927[/url][/QUOTE]
Попробовал ещё на 3х ранее инфицированных, но якобы отлеченных DrWebом установить MBAM заапустил на полныйы скан, он ничего не нашёл!!! Думаете CureIT что то найдет?
ну если вылечены drweb'ом, то cureit точно больше ничего не найдет:)
Лечите остальные, и главное обновления все поставьте на виндовс и ie обновите.
[QUOTE=Techno;921296]ну если вылечены drweb'ом, то cureit точно больше ничего не найдет:)
Лечите остальные, и главное обновления все поставьте на виндовс и ie обновите.[/QUOTE]
С обновлениями проблема...сеть где эта зараза без интернета...
Ничего не помогло...сегодня вот такая картина(скрин прилагаю)
Нужно обновляться...
Помогло вот это решение от поддержки DrWeb:
Если заражённый файл обнаруживается в C:\WINDOWS\system32, значит, червю на удалённой машине удалось подобрать пароль к системе и записать через сеть свою копию на диск. Это означает, что у пароль одной из учётных записей либо слишком простой, либо отсутствует вообще.
Если инфекция обнаруживается в \Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\, то это попытка записать файл червя на диск компьютера через уязвимости Windows, которые, очевидно, не закрыты соответствующими обновлениями.
патчи, указанные в следующих информационных бюллетенях Microsoft:
MS08-067 ([url]http://www.microsoft.com/technet/security/bulletin/ms08-067.mspx);[/url]
MS08-068 ([url]http://www.microsoft.com/technet/security/bulletin/ms08-068.mspx);[/url]
MS09-001 ([url]http://www.microsoft.com/technet/security/bulletin/ms09-001.mspx[/url]).
Так же возможен вариант запуска с флеш-накопителей.
Для того, чтобы перекрыть первый путь, нужно задать сложные пароли для всех учётных записей на компьютере (включая встроенную учётную запись с именем "Администратор") или отключить соответствующие системные сервисы, чтобы вообще убрать возможность удалённого управления Вашим компьютером через сеть даже при знании соответствующих паролей.
Для того, чтобы перекрыть второй путь, необходимо установить критические обновления, ссылки на которые даны в описании червя.
Для третьего варианта - отключение автозапуска со сменных носителей, ну или в крайней мере, блокировка сменных носителей на станциях.
Далее необходимо запустить сканирование на станциях, которые подверглись заражению.
Про обновления Вам и здесь писали. В сети у Вас Кидо орудует. Вам дали ссылку только на три основных патча
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]5[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]