Printable View
Снова обращаюсь к вам за помощью.
Антивирус обнаруживает вирусы, но избавиться от них не может. Постоянно удаляет файл deflib.exe. Внешних проявлений не замечаю, разве что частое зависание Эксплорера.
Логи прикрепляю.
Дополнительный вопрос: при выполнении скриптов автоматически проверялся только диск С. У меня временные интернет-файлы сохраняются на другом диске и на нем же установлены некоторые программы. Надо ли что-то делать дополнительно?
1. AVZ Файл - Выполнить скрипт --Скопировать ниже написанный скрипт-- Запустить.
[code]begin
QuarantineFile('c:\windows\system32\inetsrv\inetinfo.exe','');
QuarantineFile('\SystemRoot\system32\DRIVERS\tcpip.sys','');
QuarantineFile('C:\WINDOWS\system32\ASWLSVC.exe','');
QuarantineFile('c:\docume~1\sergey~1\locals~1\temp\winlogon.exe','');
DeleteFile('c:\docume~1\sergey~1\locals~1\temp\winlogon.exe');
BC_DeleteSvc('FCI');
BC_DeleteSvc('RasAutoTlntSvr');
BC_DeleteSvc('wuauservTlntSvr');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
ExecuteRepair(6);
ExecuteRepair(9);
RebootWindows(true);
end.[/code]
Прислать карантин согласно приложения 3 правил .
Загружать по ссылке: [url]http://virusinfo.info/upload_virus.php?tid=12546[/url]
2. Чистить временные файлы нужно ;)
Антивирус ваш уже морально устарел и не поддерживается ;) Удалить и поставить последнею версию.
3.
Насчёт ваших дырок в системе:
[code]Службы: разрешена потенциально опасная служба RemoteRegistry (Удаленный реестр)
>> Службы: разрешена потенциально опасная служба TermService (Службы терминалов)
>> Службы: разрешена потенциально опасная служба SSDPSRV (Служба обнаружения SSDP)
>> Службы: разрешена потенциально опасная служба Schedule (Планировщик заданий)
>> Службы: разрешена потенциально опасная служба mnmsrvc (NetMeeting Remote Desktop Sharing)
>> Службы: разрешена потенциально опасная служба RDSessMgr (Диспетчер сеанса справки для удаленного рабочего стола)
> Службы: обратите внимание - набор применяемых на ПК служб зависит от области применения ПК (домашний, ПК в ЛВС компании ...)!
>> Безопасность: разрешен автозапуск программ с CDROM
>> Безопасность: разрешен административный доступ к локальным дискам (C$, D$ ...)
>> Безопасность: к ПК разрешен доступ анонимного пользователя
>>> Безопасность: В IE разрешена загрузка подписанных элементов ActiveX без запроса
>> Безопасность: Разрешена отправка приглашений удаленному помошнику[/code]
Что используется? остальное поможем закрыть.
Скрипт выполнен, файл отправлен.
[QUOTE='drongo;135609']Что используется? остальное поможем закрыть.[/QUOTE]
Знать бы еще, что это и для чего :embarasse Тогда смогу понять, что используется. Можете помочь?
[size="1"][color="#666686"][B][I]Добавлено через 3 часа 31 минуту[/I][/B][/color][/size]
Сейчас добавилась новая проблема. На форумах авторизация работает, а в различных панелях управления на сайтах - нет. В саму панель зайти могу - авторизация срабатывает, но при попытке что-либо сделать снова требует авторизации.
ну если сетка(несколько компов ), то это оставить:
>> Безопасность: разрешен административный доступ к локальным дискам (C$, D$ ...)
>> Безопасность: к ПК разрешен доступ анонимного пользователя
Службы: разрешена потенциально опасная служба TermService (Службы терминалов)
А если один комп, то всё можно закрыть. Максимум, если что перестанет работать скажите, исправить легко.
насчёт авторизации- может куки перекрыты ?
firefox поставь и настрой- будет счастье ;)
[size="1"][color="#666686"][B][I]Добавлено через 2 минуты[/I][/B][/color][/size]
файлы отправили на анализ.
[quote=drongo;135711]ну если сетка(несколько компов ), то это оставить:
насчёт авторизации- может куки перекрыты ?[/quote]
У меня беспроводная сеть с ноутбуком. Как удалить ненужное?
Куки не были запрещены. Не работает авторизация только там, где нет опции "Входить автоматически при каждом посещении".
А вирус по-прежнему лезет :(
Выполните такой скрипт:
[code]
begin
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Control\Terminal Server','fAllowToGetHelp', 0);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1001', 1);
SetServiceStart('RDSessMgr', 4);
SetServiceStart('mnmsrvc', 4);
SetServiceStart('Schedule', 4);
SetServiceStart('SSDPSRV', 4);
SetServiceStart('RemoteRegistry', 4);
RebootWindows(true);
end.[/code]
и сделайте новые логи.
[QUOTE='Bratez;135755']Выполните такой скрипт[/QUOTE]
Обязательно в безопасном режиме?
Вот новые логи
Поищите с помощью AVZ такой файл:
C:\WINDOWS\LogWatNT.exe
Если найдется - пришлите по правилам.
Файла нет.
сделайте [URL="http://virusinfo.info/showthread.php?t=10387"]такой[/URL] лог
Как вы просили.
Выполните такой скрипт:
[code]
begin
BC_DeleteSvc('aspnet_stateRpcLocator');
BC_DeleteSvc('aspnet_stateRpcLocatorClipSrv');
BC_DeleteSvc('FCI');
BC_DeleteSvc('MSWinLogonProcService');
BC_DeleteSvc('NlaNetlogon');
BC_DeleteSvc('RasAutoTlntSvr');
BC_DeleteSvc('wuauservTlntSvr');
BC_DeleteSvc('LogWatch');
BC_Activate;
RebootWindows(true);
end.[/code]
Сделайте новый лог HijackThis.
Готово.
Больше ничего плохого не вижу.
Проблема все еще проявляется? Как именно?
Спасибо! Пока больше никаких проявлений. Авторизация на сайтах тоже работает.
Нужно ли закрыть какие-то службы и как это сделать?
Что у меня было?
[size="1"][color="#666686"][B][I]Добавлено через 47 секунд[/I][/B][/color][/size]
Скажите, есть ли необходимость в смене паролей?!
Лишние службы уже отключили (см. сообщение 6).
Был [B]Trojan-Proxy.Win32.Small.fz [/B] и ошметки чего-то другого.
Пароли на всякий случай смените.
Советую работать за компьютером под пользователем с ограниченными правами.
По возможности не пользоваться Internet Explorer,а использовать альтернативные браузеры,например Firefox,Opera(с отключёнными java скриптами,разрешать их выполнение только для доверенных сайтов)
Советую прочитать [URL="http://security-advisory.newmail.ru/"]электронную книгу[/URL] "Безопасный Интернет. Универсальная защита для Windows ME - Vista".
Вы можете нас отблагодарить, [URL="http://www.virusinfo.info/showthread.php?t=3519"]оказав нам помощь в сборе базы безопасных файлов.[/URL] Мы будем Вам очень благодарны!
Удачи!