Printable View
доброго времени суток, помогите избавиться от вредителей, пожалуйста. :)
и если это возможно, скажите, это я сам где-то нахапал такой букет вирусов в инете, или меня кто-то целенаправленно ломает (с сетки, например.) просто проблема с вирусами для меня в последние полгода черезчур актульна, при всём моём старании не "заплывать" на подозрительные сайты ))
заранее спасибо.
Platform: Windows XP SP1 (WinNT 5.01.2600) - вот с этим у вас постоянно будут проблемы с вирусами ....
нужно срочно обновлятся до SP2 , но ваш крек не сработает...
выполните скрипт...
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
QuarantineFile('C:\Documents and Settings\HooverCraft\mspool.exe','');
QuarantineFile('C:\Documents and Settings\HooverCraft\spool.exe','');
QuarantineFile('C:\WINDOWS\all.exe','');
QuarantineFile('C:\WINDOWS\Temp\startdrv.exe','');
QuarantineFile('Ybr26.sys','');
QuarantineFile('\SystemRoot\System32\DRIVERS\tcpip.sys','');
QuarantineFile('\SystemRoot\SYSTEM32\spooldr.sys','');
QuarantineFile('c:\windows\spooldr.exe','');
DeleteFile('c:\windows\spooldr.exe');
DeleteFile('\SystemRoot\SYSTEM32\spooldr.sys');
DeleteFile('C:\WINDOWS\Temp\startdrv.exe');
DeleteFile('C:\WINDOWS\System32\svchost.exe:ext.exe');
BC_ImportAll;
BC_QrSvc('Ybr26');
BC_DeleteSvc('FCI');
BC_Activate;
ExecuteSysClean;
RebootWindows(true);
end.
[/code]
пришлите карантин согласно приложения 3 правил...
спасибо за оперативный ответ.
но вот какая проблема: после запуска вашего скрипта, сначала видно, что AVZ выполняет какие-то заданные этим скриптом операции, но потом без всяких предупреждения винда резко срывается на рестарт. пробовал 2 раза в обычном режиме + 1 раз в безопасном. что делать? :(
в архиве карантина все файлы, что там есть.
что идет ребут это нормально .... так прописано в скрипте .... карантин загрузите по ссылке [url]http://virusinfo.info/upload_virus.php?tid=13086[/url] ... из темы его убрать ...
сделал всё, как вы сказали!
C:\Documents and Settings\HooverCraft\mspool.exe [B]Trojan-Downloader.Win32.Agent.dxb[/B]
C:\Documents and Settings\HooverCraft\spool.exe [B]Backdoor.Win32.Small.cko [/B]
c:\windows\spooldr.exe [B]Email-Worm32.Zhelatin.ki[/B]
C:\WINDOWS\System32\DRIVERS\tcpip.sys [B]Trojan.Win32.Patched.ao[/B]
C:\WINDOWS\SYSTEM32\spooldr.sys[B] Email-Worm32.Zhelatin.ki[/B]
C:\WINDOWS\all.exe [B]DLOADER.Trojan[/B]
C:\WINDOWS\Temp\startdrv.exe [B]Trojan.MulDrop.9300 [/B]
выполните скрипт...
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
DeleteFile('C:\Documents and Settings\HooverCraft\mspool.exe');
DeleteFile('C:\Documents and Settings\HooverCraft\spool.exe');
DeleteFile('C:\WINDOWS\all.exe');
BC_ImportAll;
BC_Activate;
ExecuteSysClean;
RebootWindows(true);
end.
[/code]
tcpip.sys -патченый ,необходимо заменить на чистый .... замену производить в SAFE MODE ....
повторите логи ...
извините, а что это за файл tcpip.sys и как я его могу поменять? где взять чистый файл?
(последний скрипт ещё не выполнял)
tcpip.sys - можно вылечить касперским ... или взять из дистрибутива...
подскажите, а что делать, если не знаешь, где на дистрибутиве находится этот файл? поиски не помогли :( самое интересное, в моменте установки касперского (специально для удаления этого файла), винда опять же срывается в ресет где то на середине установки...
берите этот ...
спасибо, взял, вроде замена файла прошла без проблем.
вот новые логи.
выполните скрипт ...
[code]
begin
SearchRootkit(false, true);
RegKeyParamDel('HKEY_LOCAL_MACHINE','SYSTEM\CurrentControlSet\Services\Ybr26','Start');
RebootWindows(true);
end.
[/code]
после перезагрузки еще один ...
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\drivers\Ybr26.sys','');
DeleteFile('C:\WINDOWS\system32\drivers\Ybr26.sys');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
пришлите карантин согласно приложения 3 правил...
повторите логи...
выполнил последние 2 скрипта, после их выполнения заархивировал все файлы карантина, что были. но после этого сделать логи для "скрита лечения и сбора информации для..." не позволяет - вскоре после старта винда самостоятельно перезагружается. всё, чем удалось разжиться, это лог из hijackthis.
карантин закачал по ссылке [url]http://virusinfo.info/upload_virus.php?tid=13086[/url]
сделайте лог [url]http://virusinfo.info/showthread.php?t=10387[/url] ...
сделал.
пытаюсь сделать аттачмент (с тем самым логом) - пишеь что [B]avz_sysinfo.xml / avz_sysinfo.html - некорректный файл. :( что делать дальше? пока выложил их оба в одном архиве, иначе не получалось.[/B]
Запускайте из командной строки: Пуск - Выполнить - sfc/scannow
Утилите требуется инсталляционный диск с операционной системой он должен быть в CD -ROM ...
зловредов в логе не видно ...
пишет, что винде не удалось найти "sfc/scannow"... проверьте, что имя было введено правильно и т.д...
если вводить "sfc / scannow", то выскакивает какое-то окно, которое моментально исчезает.
что я делаю не так?
диск с виндой в сд-роме..
нужно так ... sfc /scannow ... ссори торопился когда писал...
процесс дошёл до определенного момента, когда система говорит, что-то типа "файлы были найден и должны быть скопированы в кэш .dll" просит вставить диск ХР про - он и был в сиди роме с самого начала, но система начинает ругаться, что дисск не тот и "хотите ли вы пропустить файл?" после бесчётного количества пришлось отменить эту операцию.
есть ли у вас ещё какие-нибудь предложения?
значит диск действительно не тот ... или тот, но сильно очень пиратский ...