Printable View
Добрый вечер!
Второй день борюсь.. Происходит что-то странное - постоянно сыпятся трояны, самые разные, касперский их блокирует. При проверке - находит все время кучу новых.
И, некий руткит (в одном из сообщений касперский назвал его Rootkit.Win32.Agent.jp) - касперский не может с ним справится.. Постоянно открываются окна с предложением загрузить errorsafе.
Spybot тоже постоянно находит, удаляет, но он появляется снова.. :(
1. Пофиксить в HijackThis следующие строчки ( [url]http://virusinfo.info/showthread.php?t=4491[/url] )[code]
F2 - REG:system.ini: UserInit=userinit.exe
O2 - BHO: Her - {971D5B7B-F7DF-43ee-B771-6B7FA09975C3} - C:\WINDOWS\system32\sipov.dll[/code]
2.
отключить антивирус.
AVZ Файл - Выполнить скрипт --Скопировать ниже написанный скрипт-- Запустить.
[code]begin
BC_QrFile('C:\WINDOWS\Temp\startdrv.exe');
BC_QrFile('C:\WINDOWS\SYSTEM32\DRIVERS\RUNTIME2.SYS');
BC_QrFile('C:\WINDOWS\system32\drivers\ip6fw.sys');
BC_DeleteFile('C:\WINDOWS\Temp\startdrv.exe');
BC_DeleteFile('C:\WINDOWS\SYSTEM32\DRIVERS\RUNTIME2.SYS');
BC_DeleteFile('C:\WINDOWS\system32\drivers\ip6fw.sys');
BC_DeleteSvc('runtime');
BC_DeleteSvc('runtime2');
BC_DeleteSvc('Ip6Fw');
BC_Activate;
RebootWindows(true);
end.[/code]
3.отключить антивирус.
AVZ Файл - Выполнить скрипт --Скопировать ниже написанный скрипт-- Запустить.
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\PROGRA~1\PHASEO~1\CAPTUR~1\DCIMImp.exe','');
QuarantineFile('C:\WINDOWS\system32\sipov.dll','');
DeleteFile('C:\WINDOWS\system32\sipov.dll');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
ExecuteRepair(6);
ExecuteRepair(9);
ExecuteRepair(12);
ExecuteRepair(13);
RebootWindows(true);
end.
[/code]
Прислать карантин согласно приложения 3 правил .
Загружать по ссылке: [url]http://virusinfo.info/upload_virus.php?tid=13017[/url]
4.Обновить антивирус и произвести сканирование как указано : [url]http://virusinfo.info/showthread.php?t=12112[/url] .
5.
Сделайте новые логи после лечения и присоедините к следующему сообщению
[size="1"][color="#666686"][B][I]Добавлено через 2 часа 34 минуты[/I][/B][/color][/size]
sipov.dll - Trojan-Spy.Win32.Banker.exc (kaspersky)
Базы надо обновлять ;)
Логи будут?
Спасибо огроменное! Окна пропали. :)) Касперский сейчас делает полную проверку, доделает - кину логи. Карантин я отправила. Спасибо!
Но с базами - непонятно.. вчера вечером все обновила, полностью.. и поставила - чтобы он сам, постоянно проверял обновления и закачивала. Т.е. должно было быть свежее.
Вот.. Только что-то там опять, кажется, нашлось..
Уже лучше.
1.Пофиксить в HijackThis следующие строчки ( [url]http://virusinfo.info/showthread.php?t=4491[/url] )
[code]
O1 - Hosts: 127.0.0.2 ad.fastclick.net
O1 - Hosts: 127.0.0.3 ads.fastclick.net
O1 - Hosts: 127.0.0.4 ar.atwola.com
O1 - Hosts: 127.0.0.5 atdmt.com
O1 - Hosts: 127.0.0.9 awaps.net
O1 - Hosts: 127.0.0.28 media.fastclick.net
O1 - Hosts: 127.0.0.39 spd.atdmt.com
O1 - Hosts: 127.0.0.20 fastclick.net
O1 - Hosts: 127.0.0.41 symantecstore.com
O1 - Hosts: 127.0.0.41 www.symantecstore.com
и все остальные 01 ...
O4 - HKLM\..\Run: [startdrv] C:\WINDOWS\Temp\startdrv.exe[/code]
2.скачать ccleaner, установить и почистить им основательно.[url]http://soft.softodrom.ru/ap/p5628.shtml[/url] Перед установкой убрать галку с установки тулбара.
3.Насчёт ваших дырок в системе:
[code]Службы: разрешена потенциально опасная служба RemoteRegistry (Удаленный реестр)
>> Службы: разрешена потенциально опасная служба TermService (Службы терминалов)
>> Службы: разрешена потенциально опасная служба SSDPSRV (Служба обнаружения SSDP)
>> Службы: разрешена потенциально опасная служба Schedule (Планировщик заданий)
>> Службы: разрешена потенциально опасная служба mnmsrvc (NetMeeting Remote Desktop Sharing)
>> Службы: разрешена потенциально опасная служба RDSessMgr (Диспетчер сеанса справки для удаленного рабочего стола)
> Службы: обратите внимание - набор применяемых на ПК служб зависит от области применения ПК (домашний, ПК в ЛВС компании ...)!
>> Безопасность: разрешен автозапуск программ с CDROM
>> Безопасность: разрешен административный доступ к локальным дискам (C$, D$ ...)
>> Безопасность: к ПК разрешен доступ анонимного пользователя
>> Безопасность: Разрешена отправка приглашений удаленному помошнику[/code]
Советую всё залатать, чтобы это сделать нужно выполнить следующий скрипт AVZ:
[code]begin
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Control\Terminal Server','fAllowToGetHelp', 0);
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'System\CurrentControlSet\Services\CDROM','AutoRun', 0);
SetServiceStart('RDSessMgr', 4);
SetServiceStart('mnmsrvc', 4);
SetServiceStart('Schedule', 4);
SetServiceStart('SSDPSRV', 4);
SetServiceStart('RemoteRegistry', 4);
ExecuteRepair(12);
ExecuteRepair(13);
RebootWindows(true);
end.[/code]
4. Kaspersky ->включите веб антивирус на максимальную защиту - действие при обнаружении вируса - заблокировать .
Нужно ещё сканировать все диски(как я указал выше) хотя-бы раз в неделю , можно в настройках поставить чтобы автоматом делал.
Также желательно файрвол в добавок поставить, так как у вас только антивирус. Или удалить антивирус и поставить KIS там всё есть.
5. Чтобы уменьшить шанс заражения, на будущее :
1) Работать за компьютером с правами ограниченного пользователя.
2) Пользоваться для хождения по интернету альтернативным браузером [b]с отключёнными скриптами по умолчанию с лёгкостью разрешая доверенным сайтам выполнять скрипты [/b]([url=http://virusinfo.info/showthread.php?p=121290#post121290]Firefox[/url] и [url=http://virusinfo.info/showthread.php?t=6577]Opera[/url] это позволяют делать в отличии от IE 7 ,6....)
3) Прочитать электронную книгу "Безопасный Интернет". Универсальная защита для Windows ME - Vista": [url]http://security-advisory.newmail.ru[/url]
P.S. сделать лог hijackthis, посмотрим как вы справились .
Сделала 1 и 2. По-поводу третьего - у меня активсинх - он будет работать? И сеть на два компа, инет идет через второй (т.е. я без второго компа к инету не подключаюсь)..
Будет инет, если повозиться ;)
а если не возиться нужно парочку стереть, сейчас исправлю . Актив синк не нуждается в этом особо ;)
Поправил. Сделать логи с другого компьютера в новой теме .
Активсинх не работает. :( Вернее, работает, но данные не переносит. Вроде, все делает, но пишет "При работе активсинх возникла неполадка. код поддержки: 85010014
У меня активсинк фурычит, всё закрыто.
Переставить его пробовала?
неа.. сейчас поищу дистрибутив.. он сам по себе - работает, но с аутлука, с календаря - данные не переносит
upd. нашла проблему. Со службами не связано, я поставила mozilla, вот оно и заглючило. :)
Так заработал актив синк или нет ?
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]11[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\windows\\system32\\sipov.dll - [B]Trojan-Banker.Win32.Banker.exc[/B] (DrWEB: Trojan.Iespy)[/LIST][/LIST]