Как исправить последствия вируса?

Printable View

15.10.2007, 13:38
Dida

Вложений: 6

Как исправить последствия вируса?

[SIZE=3][FONT=Times New Roman]Приветствую! [/FONT][/SIZE]
[SIZE=3][FONT=Times New Roman]Хапнул вирусы: [/FONT][/SIZE]
[SIZE=3][FONT=Times New Roman]C:\WINNT\system32\Parser2NDFL.dll инфицирован Trojan.DownLoader.origin [/FONT][/SIZE]
[SIZE=3][FONT=Times New Roman]C:\WINNT\system32\drivers\asc3550u.sys инфицирован Trojan.Proxy.origin [/FONT][/SIZE]
[SIZE=3][FONT=Times New Roman]C:\5.tmp инфицирован Trojan.Packed.147 [/FONT][/SIZE]
[SIZE=3][FONT=Times New Roman]Пролечил Dr.Web v4.44... (Удалил).. вроде все ОК... все работает, но... при подключении сетевого кабеля (локальная сеть) сразу перезагрузи системы. При выключении автоперезагрузки, машина вылетает в "Экран смерти"... сообщение: "KMODE_EXCEPTION_NOT_HANDLED". В журнале системы сообщение: Компьютер был перезагружен после критической ошибки: 0x0000001e (0xc0000005, 0x00000000, 0x00000000, 0x00000000).[/FONT][/SIZE]
[SIZE=3][FONT=Times New Roman]Грешил на сетевую карту... поменял на другую, все так же перегружаемся. Попробовал воспользоваться утилитой WinsockFix, эффекта "0". Мне тут намекнули, что что-то с "сетевыми интерфейсами".... а как переустановить сетевые интерфейсы?[/FONT][/SIZE]
[SIZE=3][FONT=Times New Roman]Подскажите хоть в какую сторону "копать" ;) Что в системе не так и как подправить? [/FONT][/SIZE]
[SIZE=3][FONT=Times New Roman]Заранее спасибо![/FONT][/SIZE]
15.10.2007, 13:59
borka

[QUOTE=Dida;142242][SIZE=3][FONT=Times New Roman]Приветствую! [/FONT][/SIZE]
[SIZE=3][FONT=Times New Roman]Хапнул вирусы: [/FONT][/SIZE]
[SIZE=3][FONT=Times New Roman]C:\WINNT\system32\Parser2NDFL.dll инфицирован Trojan.DownLoader.origin [/FONT][/SIZE]
[SIZE=3][FONT=Times New Roman]C:\WINNT\system32\drivers\asc3550u.sys инфицирован Trojan.Proxy.origin [/FONT][/SIZE]
[SIZE=3][FONT=Times New Roman]C:\5.tmp инфицирован Trojan.Packed.147 [/FONT][/SIZE]
[SIZE=3][FONT=Times New Roman]Пролечил Dr.Web v4.44... (Удалил).. вроде все ОК... все работает, но... при подключении сетевого кабеля (локальная сеть) сразу перезагрузи системы. При выключении автоперезагрузки, машина вылетает в "Экран смерти"... сообщение: "KMODE_EXCEPTION_NOT_HANDLED". В журнале системы сообщение: Компьютер был перезагружен после критической ошибки: 0x0000001e (0xc0000005, 0x00000000, 0x00000000, 0x00000000).[/FONT][/SIZE][/QUOTE]
Если есть дамп памяти, можете обратиться в [url=support.drweb.com/request]Суппорт Доктора Веба[/url].

[QUOTE=Dida;142242][SIZE=3][FONT=Times New Roman]Грешил на сетевую карту... поменял на другую, все так же перегружаемся. Попробовал воспользоваться утилитой WinsockFix, эффекта "0". Мне тут намекнули, что что-то с "сетевыми интерфейсами".... а как переустановить сетевые интерфейсы?[/FONT][/SIZE]
[SIZE=3][FONT=Times New Roman]Подскажите хоть в какую сторону "копать" ;) Что в системе не так и как подправить? [/FONT][/SIZE]
[SIZE=3][FONT=Times New Roman]Заранее спасибо![/FONT][/SIZE][/QUOTE]
Какой антивирус установлен? Если Доктор Веб, попробуйте spiderml -remove, или более кардинально - запишите Ваши сетевые настройки и попробуйте выполнить [b]netsh winsock reset[/b] (если у Вас ХР SP2).
15.10.2007, 14:19
Dida

[quote=borka;142248]Если есть дамп памяти, можете обратиться в [URL="http://support.drweb.com/request"]Суппорт Доктора Веба[/URL].).[/quote]

[FONT=Times New Roman][SIZE=3]Угу.... в суппорт обращался :( После "изучения" дампа... тех поддержка снизошла до ответа, что Dr.Web в перезагрузках не виноват :) ... а кто б спорил..., но файлы-то "Удалял" Dr.Web ;) Рекомендовали " переустановить сетевые интерфейсы"... но как это сделать умолчали.... Может кто подскажет?[/SIZE][/FONT]
[quote=borka;142248]Какой антивирус установлен? Если Доктор Веб, попробуйте spiderml -remove, или более кардинально - запишите Ваши сетевые настройки и попробуйте выполнить [B]netsh winsock reset[/B] (если у Вас ХР SP2).[/quote]
[SIZE=3][FONT=Times New Roman]Как выполнить эти "кардинальные" меры на 2000-ке?[/FONT][/SIZE]
[SIZE=3][FONT=Times New Roman][SIZE=3][FONT=Times New Roman]Dr.Web снес напрочь, перезагруз остался... [/FONT][/SIZE]
[/FONT][/SIZE][SIZE=3][FONT=Times New Roman]Стоит win2000? b , и был Dr.Web 4.44[/FONT][/SIZE]
15.10.2007, 14:36
Shu_b

У данного ресурса есть правила - [url]http://virusinfo.info/showthread.php?t=1235[/url] , после выполнения которых оказывается помощь. Гадания на кофейной гуще, взгляды сквозь сумрак и.т.д. редко приносят положительный эффект.
15.10.2007, 14:41
borka

[QUOTE=Dida;142256][FONT=Times New Roman][SIZE=3]Угу.... в суппорт обращался :([/FONT][/SIZE][/QUOTE]
Есть предложение продолжить обсуждение [url=http://forum.drweb.com/viewtopic.php?t=6318]на форуме Dr.Web[/url].
15.10.2007, 18:35
Dida

[quote=Shu_b;142260]У данного ресурса есть правила....[/quote]
[FONT=Times New Roman][SIZE=3]Сори... Не думал, что по моей проблеме это так критично. Исправился. Логии закачал. [/SIZE][/FONT]
[SIZE=3][FONT=Times New Roman]Заранее спасибо.[/FONT][/SIZE]
15.10.2007, 19:23
PavelA

AVZ Файл - Выполнить скрипт --Скопировать ниже написанный скрипт-- Запустить.
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINNT\Temp\startdrv.exe','');
QuarantineFile('Nljs57.sys','');
BC_QrSvc('Nljs57');
BC_DeleteFile('C:\WINNT\Temp\startdrv.exe');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]

Загрузить карантин. Надеюсь модераторы перенесут тему в нужный раздел. Сверху будет тогда ссылка для закачки.

Мне кажется, что здесь далеко не все удалено Доктором.
16.10.2007, 03:45
Bratez

Пофиксите в HijackThis:
[code]
O4 - HKLM\..\Run: [startdrv] C:\WINNT\Temp\startdrv.exe
[/code]
Выполните скрипт в AVZ:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINNT\System32\Drivers\Nljs57.sys','');
DeleteFile('C:\WINNT\System32\Drivers\Nljs57.sys');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]
IMHO проблема должна решиться.
Карантин пришлите согласно приложению 3 правил.
Сделайте новые логи для контроля.
16.10.2007, 13:59
Dida

PavelA, Bratez спасибо за ценные советы!
Выполнив ваши рекомендации... проблема разрешена! Сеть заработала. Новые логии и вирус закачал на форум.
Еще разок, огромное спасибо за квалифицированную и оперативную помощь!!!

ЗЫ. Странно... то что AVZ скинул в карантин, теперь определяется DrWeb 4.44 как avz00001.dta - инфицирован Trojan.NtRootKit.414 но, правда, как только появилась сеть ;) я обновил базы.
16.10.2007, 14:01
Shu_b

[color=#CC0000]карантин нужно загружать согласно приложения 3 правил![/color][CODE] Scan taken on 16 Oct 2007 10:06:18 (GMT)
A-Squared Found nothing
AntiVir Found TR/Rootkit.Gen
ArcaVir Found nothing
Avast Found Win32:Agent-MET
AVG Antivirus Found BackDoor.Generic8.UKX
BitDefender Found Trojan.Srizbi.V
ClamAV Found nothing
CPsecure Found nothing
Dr.Web Found Trojan.NtRootKit.414
F-Prot Antivirus Found nothing
F-Secure Anti-Virus Found Rootkit.Win32.Agent.kb
Fortinet Found W32/Agent.KB!tr.rkit
Kaspersky Anti-Virus Found Rootkit.Win32.Agent.kb
NOD32 Found Win32/Rootkit.Agent.HU
Norman Virus Control Found nothing
Panda Antivirus Found Trj/Downloader.MDW
Rising Antivirus Found nothing
Sophos Antivirus Found nothing
VirusBuster Found nothing
VBA32 Found Rootkit.Win32.Agent.kb [/CODE]
16.10.2007, 14:20
Dida

Да вроде так и делал... единственное, что архивировал уже на Flash-ке уже на другой машине. Исправил и перезалил.
16.10.2007, 14:32
PavelA

[QUOTE=Dida;142528]ЗЫ. Странно... то что AVZ скинул в карантин, теперь определяется DrWeb 4.44 как avz00001.dta - инфицирован Trojan.NtRootKit.414 но, правда, как только появилась сеть ;) я обновил базы.[/QUOTE]

Логи надо было сюда, а карантин по ссылке.