Printable View
Здравствуйте.
Перепробовал кучу антивирусов - не помогло.
Проблема следующая:
какая-то пакость засела на компе и использует explorer.exe для массовой рассылки спама. Попытки блокировать explorer.exe через брандмауэр ни к чему не приводят, он сам добавляется в исключения.
AdAware находит какой-то троян - удаляет его, но он восстанавливается при каждой загрузке системы.
Сделал логи - помогите, плиз.
P.S.: При сканировании отключал сетевое подключение
Выполнить скрипт, отключив Симантек.
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('\WINDOWS\system32\ntoskrnl.exe','');
QuarantineFile('C:\WINDOWS\system32\ntkrnlpa.exe','');
BC_ImportAll;
BC_Activate;
RebootWindows(true);
end.[/CODE]
Загрузить карантин по ссылке вверху темы.
подготовить диск с дистрибутивом ХР, возможно, будем восст. файлы.
Либо готовится качать триал-версию касперского 7-го.
Сделать лог [url]http://virusinfo.info/showthread.php?t=10387[/url]
скрипт выполнил - архив загрузил
лог сделал
по поводу триала касперского - у меня есть, но при установке комп перегружается в самом начале, т.е. после распаковки инсталлера
Сообщение об успешной загрузке архива было? Я его не вижу.
Последний лог не принес и-ции о новых зловредах.
Касперский может не ставиться из-за Нортона антивируса. Они друг друга не любят.
Нортон поставил только вчера, а каспера пытался ранее - глухой ребут
кроме того при попытке сегодня снести нортона - получаю bsod (ругается на память)
файл закачал только что...
C:\WINDOWS\system32\ntoskrnl.exe - Trojan.Spambot.2445/Trojan.Win32.Patched.au
C:\WINDOWS\system32\ntkrnlpa.exe - Trojan.Win32.Patched.au
C:\WINDOWS\system32\ntoskrnl.exe - Trojan.Spambot.2445 (Др.Веб),Trojan.Win32.Patched.au(Касперский)
Надо заменять.
Пуск--выполнить--cmd
expand x:\i386\ntoskrnl.ex_ y:\windows\system32\ntoskrnl.exe
x - буква CD, y - буква диска с windows xp
Либо грузиться в Command Prompt и выполнять эту команду.
C:\WINDOWS\system32\ntoskrnl.exe - заменил
C:\WINDOWS\system32\ntkrnlpa.exe - укосил
мои дальнейшие действия..?
Пробуй установить Касперского и провериться полностью.
Плюс новый комплект логов.
удалил без проблем нортона
спокойно поставил 7-го касперского
проверил на максимуме - все вроде нормально
сделал новые логи
не понравилось это - C:\WINDOWS\system32\drivers\klif.sys
[QUOTE=Studalex;137758]не понравилось это - C:\WINDOWS\system32\drivers\klif.sys[/QUOTE]
Зря. ;) Это драйвер Касперского.
Вот это еще нужно поднастроить:
>> Службы: разрешена потенциально опасная служба SSDPSRV (Служба обнаружения SSDP)
>> Службы: разрешена потенциально опасная служба Schedule (Планировщик заданий)
> Службы: обратите внимание - набор применяемых на ПК служб зависит от области применения ПК (домашний, ПК в ЛВС компании ...)!
>> Безопасность: разрешен автозапуск программ с CDROM
>> Безопасность: разрешен административный доступ к локальным дискам (C$, D$ ...)
>> Безопасность: к ПК разрешен доступ анонимного пользователя
Редко у кого получается безболезненно удалить Нортона. Обычно он много следов в реестре оставляет.
>> Службы: разрешена потенциально опасная служба SSDPSRV (Служба обнаружения SSDP)
отключил
>> Службы: разрешена потенциально опасная служба Schedule (Планировщик заданий)
отключил
>> Безопасность: разрешен автозапуск программ с CDROM
тут неважно CDROM все равно временно ставил
>> Безопасность: разрешен административный доступ к локальным дискам (C$, D$ ...)
убрал доступ
>> Безопасность: к ПК разрешен доступ анонимного пользователя
это нужно
>>Редко у кого получается безболезненно удалить Нортона. Обычно он >>много следов в реестре оставляет.[/quote]
ну тут особых проблем никогда не было, люблю реестр за его ветвистость ;)
благодарствую за помощь.
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]2[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\windows\\system32\\ntkrnlpa.exe - [B]Trojan.Win32.Patched.au[/B] (DrWEB: Trojan.Spambot.2453)[*] c:\\windows\\system32\\ntoskrnl.exe - [B]Trojan.Win32.Patched.au[/B] (DrWEB: Trojan.Spambot.2453)[/LIST][/LIST]