Провайдер отключает от интернета

Printable View

21.09.2007, 00:27
Guant

Вложений: 2

Провайдер отключает от интернета

Пришло уведомление от провайдера, мол у меня вирус, идет активность по 25 порту. В свойствах соединения действительно нездоровая активность, очень много отправленных байт. NODом чистил но осталась какая то бяка. При выполнении Скрипта лечения/карантина и сбора информации для раздела "Помогите!" выдает синий экран смерти... В остальном ПК работает нормально.
Не знаю где искать эту гадость...
21.09.2007, 00:34
Kuzz

Выполните скрипт в AVZ (AVZ, Меню Файл\Выполнить скрипт. [URL="http://virusinfo.info/showthread.php?t=7239"]Подробнее...[/URL]):
[code]
begin
SearchRootkit(false, true);
BC_QrFile('C:\WINDOWS\system32\F8186BC3Lhl39.sys');
BC_DeleteFile('C:\WINDOWS\system32\F8186BC3Lhl39.sys');
BC_QrFile('C:\WINDOWS\system32\polh.dll','');
RegKeyParamDel('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Services\Lhl39', 'Start');
RebootWindows(true);
end.
[/code]
После выполнения скрипта компьютер перезагрузится.
После перезагрузки пришлите попавшие в карантин файлы согласно правилам (для отправки файлов следует воспользоваться ссылкой "Прислать запрошенные файлы" над первым сообщением темы)
21.09.2007, 00:40
V_Bond

пофиксите ....
[code]
O2 - BHO: (no name) - {25AD49A2-94F3-42BD-F434-2604812C897D} - (no file)
O21 - SSODL: DCOM Server 25319 - {2C1CD3D7-86AC-4068-93BC-A02304B25319} - C:\WINDOWS\system32\polh.dll (file missing)
O22 - SharedTaskScheduler: DCOM Server 25319 - {2C1CD3D7-86AC-4068-93BC-A02304B25319} - C:\WINDOWS\system32\polh.dll (file missing)
O22 - SharedTaskScheduler: sdgfdgdgdtj - {25AD49A2-94F3-42BD-F434-2604812C897D} - (no file)
[/code]
21.09.2007, 10:05
Guant

[quote=Kuzz;136388]begin
SearchRootkit(false, true);
BC_QrFile('C:\WINDOWS\system32\F8186BC3Lhl39.sys');
BC_DeleteFile('C:\WINDOWS\system32\F8186BC3Lhl39.sys');
BC_QrFile('C:\WINDOWS\system32\polh.dll','');
RegKeyParamDel('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Services\Lhl39', 'Start');
RebootWindows(true);
end.[/quote]
AVZ ругался на синтаксис, убрал а 5 строке кавычки после запятой.
Сразу после выполнения этого скрипта вылетает синий экран смерти, в карантине ничего не сохранилось.
21.09.2007, 10:09
V_Bond

выполните скрипт ...
[code]
begin
SearchRootkit(false, true);
RegKeyParamDel('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Services\Lhl39', 'Start');
RebootWindows(true);
end.
[/code]
после перезагрузки еще один ...
[code]
begin
DeleteFile('C:\WINDOWS\system32\F8186BC3Lhl39.sys');
BC_ImportDeletedList;
BC_Activate;
ExecuteSysClean;
RebootWindows(true);
end.
[/code]
повторите логи...
21.09.2007, 10:18
Kuzz

[QUOTE='Guant;136441']AVZ ругался на синтаксис,[/QUOTE]
Да, я поставил лишние кавычки.

Теперь выполняйте рекомендации [B]V_Bond[/B].
21.09.2007, 10:34
Guant

V_Bond
На первый скрипт выдал сообщение что успешно выполнен и тут же синий экран...
Второй скрипт приминился без проблем.
При сборе логов как и в первый раз, синий экран. Два других лога я отправил.
21.09.2007, 10:36
V_Bond

логи нужно прикреплять ...
21.09.2007, 11:01
Guant

Вложений: 2

Логи
21.09.2007, 11:26
Numb

Давайте попробуем так: качайте бета-версию cureit! отсюда: [url]ftp://ftp.drweb.com/pub/drweb/cureit/cureit-beta.exe[/url]
Отключитесь от сети, отключите монитор NOD-а (в идеале, вообще деинсталлируйте его на время) и отключите автоматическое восстановление системы. Запустите полную проверку машины CureIt! ВНИМАНИЕ: при старте утилиты, предлагается провести экспресс-проверку, по окончании которой следует самостоятельно отметить пункт "Полная проверка" и нажать кнопку "выполнить". По окончании проверки, повторите логи, начиная с п. 10 правил и прикрепите к теме, в дополнение к ним, к ним файл %userprofile%\DoctorWeb\cureit.log
21.09.2007, 13:38
Guant

Вложений: 4

Изначально проверял Cureit, ничего не находил. Сейчас проверил Cureit-beta. Что то нашел и почистил. Интернет активность кажись прекратилась. Карантин мне чистить? Логи выложил...
21.09.2007, 14:13
drongo

1.Пофиксить в HijackThis следующие строчки ( [url]http://virusinfo.info/showthread.php?t=4491[/url] )
[code]
O22 - SharedTaskScheduler: DCOM Server 25319 - {2C1CD3D7-86AC-4068-93BC-A02304B25319} - C:\WINDOWS\system32\polh.dll (file missing)
O22 - SharedTaskScheduler: sdgfdgdgdtj - {25AD49A2-94F3-42BD-F434-2604812C897D} - (no file)[/code]

2.AVZ Файл - Выполнить скрипт --Скопировать ниже написанный скрипт-- Запустить.

[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\WINDOWS\system32\polh.dll');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
ExecuteRepair(6);
ExecuteRepair(9);
RebootWindows(true);
end.[/code]
3.
Насчёт ваших дырок в системе:
[code]Службы: разрешена потенциально опасная служба TermService (Службы терминалов)
>> Службы: разрешена потенциально опасная служба SSDPSRV (Служба обнаружения SSDP)
>> Службы: разрешена потенциально опасная служба mnmsrvc (NetMeeting Remote Desktop Sharing)
>> Службы: разрешена потенциально опасная служба RDSessMgr (Диспетчер сеанса справки для удаленного рабочего стола)
> Службы: обратите внимание - набор применяемых на ПК служб зависит от области применения ПК (домашний, ПК в ЛВС компании ...)!
>> Безопасность: разрешен автозапуск программ с CDROM
>> Безопасность: разрешен административный доступ к локальным дискам (C$, D$ ...)
>> Безопасность: к ПК разрешен доступ анонимного пользователя[/code]

Если комп домашний без сетки всё закрыть используя следующий скрипт:
[code]begin
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Control\LSA','RestrictAnonymous', 2);
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'System\CurrentControlSet\Services\LanmanServer\Parameters','AutoShareWks', 0);
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'System\CurrentControlSet\Services\CDROM','AutoRun', 0);
SetServiceStart('RDSessMgr', 4);
SetServiceStart('mnmsrvc', 4);
SetServiceStart('SSDPSRV', 4);
SetServiceStart('TermService', 4);
RebootWindows(true);
end.[/code]

P.S. Чтобы уменьшить шанс заражения, на будущее :
1) Работать за компьютером с правами ограниченного пользователя.
2) Пользоваться для хождения по интернету альтернативным браузером [b]с отключёнными скриптами по умолчанию с лёгкостью разрешая доверенным сайтам выполнять скрипты [/b]([url=http://virusinfo.info/showthread.php?p=121290#post121290]Firefox[/url] и [url=http://virusinfo.info/showthread.php?t=6577]Opera[/url] это позволяют делать в отличии от IE 7 ,6....)
3) Прочитать электронную книгу "Безопасный Интернет". Универсальная защита для Windows ME - Vista": [url]http://security-advisory.newmail.ru[/url]

Вы можете нас отблагодарить, оказав нам помощь в сборе базы безопасных файлов : [url]http://virusinfo.info/showthread.php?t=3519[/url]
Мы будем Вам очень благодарны!