Printable View
На машине каспер, со старыми базами, проактивной защитой ругается на system32\svchost.exe. Проверял с флешки DrWeb 4.44 с последними базами, нашел троянов, но в system32\svchost.exe ничего. Далее проверял avz4 версии 4.25, собственно она и послала сюда. Однажды было похожее, тогда avz4 успешно прибил гадость. Логи прилагаются. Надеюсь на помощь. Спасибо.
[quote=JohnDoe;143175]На машине каспер, со старыми базами, проактивной защитой ругается на system32\svchost.exe. Проверял с флешки DrWeb 4.44 с последними базами, нашел троянов, но в system32\svchost.exe ничего. Далее проверял avz4 версии 4.25, собственно она и послала сюда. Однажды было похожее, тогда avz4 успешно прибил гадость. Логи прилагаются. Надеюсь на помощь. Спасибо.[/quote]
Нужно повторить логи с AVZ актуальной версии 4.27 с обновленной базой (как я понял по логам, в версию 4.25 была вручную подсунута база от 4.27)
1. Скачайте свежую версию AVZ (4.27) и обновите ее базы.
2. Очистите временные файлы IE и папку E:\WINDOWS\Temp.
3. Выполните скрипт в AVZ:
[code]
begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('E:\WINDOWS\system32\DefLib.sys','');
QuarantineFile('E:\Documents and Settings\Ирина\Local Settings\Temp\winlogon.exe','');
QuarantineFile('e:\windows\system32\svchost.exe:ext.exe:$DATA','');
QuarantineFile('e:\windows\system32\svchost.exe:ext.exe','');
QuarantineFile('E:\WINDOWS\system32\svshost.dll','');
QuarantineFile('E:\WINDOWS\msdnc4.exe','');
QuarantineFile('E:\WINDOWS\System32\drivers\protect.sys','');
DeleteFile('E:\WINDOWS\System32\drivers\protect.sys');
DeleteFile('E:\WINDOWS\msdnc4.exe');
DeleteFile('E:\WINDOWS\system32\svshost.dll');
DeleteFile('e:\windows\system32\svchost.exe:ext.exe:$DATA');
DeleteFile('e:\windows\system32\svchost.exe:ext.exe');
DeleteFile('E:\Documents and Settings\Ирина\Local Settings\Temp\winlogon.exe');
DeleteFile('E:\WINDOWS\system32\DefLib.sys');
BC_ImportALL;
BC_DeleteSvc('FCI');
BC_DeleteSvc('protect');
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]
Компьютер перезагрузится.
4. Пришлите содержимое карантина согласно приложению 3 правил.
5. Пофиксите в HijackThis:
[code]
O21 - SSODL: SysRun - {D7FFD784-5276-42D1-887B-00267870A4C7} - E:\WINDOWS\system32\svshost.dll (file missing)
[/code]
6. Сделайте новые логи.
[b]Зайцев Олег[/b]
да, каюсь. Обновления баз беру из сети утилитой. То что версия обновилась, проглядел. Как доберусь до машины, обязательно сделаю новые логи.
Вот я добрался до машины. Тут уже снесли каспера и Nod32 поставили. Просканил систему последней avz4. Логи прилагаются. Лог HijackThis после исправления O21 - SSODL: SysRun - {D7FFD784-5276-42D1-887B-00267870A4C7} - .....
Выполните скрипт:
[code]
begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('e:\windows\system32\svchost.exe:ext.exe:$DATA','');
QuarantineFile('e:\windows\system32\svchost.exe:ext.exe','');
QuarantineFile('E:\WINDOWS\system32\svshost.dll','');
QuarantineFile('E:\WINDOWS\msdnc4.exe','');
DeleteFile('E:\WINDOWS\msdnc4.exe');
DeleteFile('E:\WINDOWS\system32\svshost.dll');
DeleteFile('e:\windows\system32\svchost.exe:ext.exe:$DATA');
DeleteFile('e:\windows\system32\svchost.exe:ext.exe');
BC_ImportALL;
BC_DeleteSvc('FCI');
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]
После перезагрузки карантин по правилам + новые логи.
[size="1"][color="#666686"][B][I]Добавлено через 36 секунд[/I][/B][/color][/size]
P.S. Базы AVZ обновить не забудьте.
[size="1"][color="#666686"][B][I]Добавлено через 2 минуты[/I][/B][/color][/size]
Восстановление системы отключите!!
И еще вот этот файлик в карантин после скрипта закиньте:
E:\Program Files\Аськи\R&Q\plugins\History_alexey.dll
[b]Bratez[/b]
Я не стал ждать скрипта. Я выполнил тот что вы написали до этого. Он без ошибок отработал. Вот логи после лечения.
Содержимое карантина отправил.
[size="1"][color="#666686"][B][I]Добавлено через 6 минут[/I][/B][/color][/size]
да вот еще. После лечения, при выключении/перезагрузке на диск А ругается. что нету его. Хотя это м.б Nod32, сканировать хочет.
в карантин попал только ...
E:\WINDOWS\msdnc4.exe
[code]
AhnLab-V3 2007.10.18.0 2007.10.17 -
AntiVir 7.6.0.27 2007.10.18 [B]DR/Delphi.Gen[/B]
Authentium 4.93.8 2007.10.17 -
Avast 4.7.1051.0 2007.10.17 -
AVG 7.5.0.488 2007.10.18 -
BitDefender 7.2 2007.10.18 -
CAT-QuickHeal 9.00 2007.10.18 -
ClamAV 0.91.2 2007.10.17 -
DrWeb 4.44.0.09170 2007.10.18 -
eSafe 7.0.15.0 2007.10.15 -
eTrust-Vet 31.2.5220 2007.10.18 -
Ewido 4.0 2007.10.18 -
FileAdvisor 1 2007.10.18 -
Fortinet 3.11.0.0 2007.10.18 -
F-Prot 4.3.2.48 2007.10.18 -
F-Secure 6.70.13030.0 2007.10.18 -
Ikarus T3.1.1.12 2007.10.18 -
Kaspersky 7.0.0.125 2007.10.18 -
McAfee 5143 2007.10.17 -
Microsoft 1.2908 2007.10.18 -
NOD32v2 2601 2007.10.18 -
Norman 5.80.02 2007.10.18 -
Panda 9.0.0.4 2007.10.18 -
Prevx1 V2 2007.10.18 -
Rising 19.45.32.00 2007.10.18 -
Sophos 4.22.0 2007.10.18 [B]Mal/Dropper-T[/B]
Sunbelt 2.2.907.0 2007.10.18 -
Symantec 10 2007.10.18 -
TheHacker 6.2.9.097 2007.10.18 -
VBA32 3.12.2.4 2007.10.17 [B]suspected of Trojan-PSW.Pinch.90 [/B](paranoid heuristics)
VirusBuster 4.3.26:9 2007.10.17 -
Webwasher-Gateway 6.6.1 2007.10.18 [B]Trojan.Delphi.Gen[/B]
[/code]
больше не вижу ничего подозрительного в логах ...
[b]V_Bond[/b]
Там еще должен был быть E:\Program Files\Аськи\R&Q\plugins\History_alexey.dll. Его тоже в карантин занесло. Сейчас попробую найти вчерашний карантин. Он на флешке должен был остатся. и еще раз отправлю.
[size="1"][color="#666686"][B][I]Добавлено через 8 минут[/I][/B][/color][/size]
отправил. Что сохранилось. Там должно быть
E:\Documents and Settings\Ирина\Local Settings\Temp\winlogon.exe
E:\Documents and Settings\Ирина\Local Settings\Temporary Internet Files\Content.IE5\GD6Z81I3\603-a[1].exe
E:\Documents and Settings\Ирина\Local Settings\Temporary Internet Files\Content.IE5\KDYN8BO9\file[1].exe
E:\Program Files\Аськи\R&Q\plugins\History_alexey.dll
Хорошо, что прислали.
winlogon.exe - [b]Trojan.Spambot.2490[/b] (DrWeb) свежая модификация, еще не все детектят.
History_alexey.dll - чистый.
Систему вроде вылечил. Здорово. Оч хорошая прога avz4. Есть много "вкусных" возможностей. :)
Можете повторить логи,чтоб убедиться что всё чисто.
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]20[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] e:\\documents and settings\\ирина\\local settings\\temporary internet files\\content.ie5\\gd6z81i3\\603-a[1].exe - [B]Trojan.Win32.Agent.cez[/B] (DrWEB: Trojan.Packed.147)[*] e:\\documents and settings\\ирина\\local settings\\temp\\winlogon.exe - [B]Trojan.Win32.Agent.cez[/B] (DrWEB: Trojan.Packed.147)[*] e:\\windows\\msdnc4.exe - [B]Trojan-Spy.Win32.Webmoner.eq[/B] (DrWEB: Trojan.Packed.194)[/LIST][/LIST]