Много троянов PassView, GoldSpy, FakeAlert и пр.

Видимая часть началась с появлением Warning! Potential Spyware operation. В ответ на клик "Да" выбрасывает на страничку с закосом под антивирусное содержание и предлагает еще какую-то прогу загрузить и запустить. Не загружал ее.

Все сделал согласно инструкции. Отключить восстановление системы не удалось, т.к. в ответ на правый клик на "Моем компьютере" и выборе пункта "свойства" выпадает сообщение, что "Операция отменена вследствие действующих для компьютера ограничений. Обратитесь к администратору сети". Ранее такого не наблюдалось, т.е. "свойства" открывались.

CureIt в safe mode обнаружил пару десятков файлов инфицированных следующей дрянью: Tool.PassView.Origin, Tool.BrutusPWS, Trojan.PWS.GoldSpy, BackDoor.Bulknet, Tool.Prockill, Trojan.FakeAlert.357 (и 311 - судя по названию как раз то самое видимое) и пр. Что не лечилось поудалял (с помощью CureIt конечно).

На форуме с моего компа при нажатии кнопки "Новая тема" и последющем вводе имени и пароля появляется страничка объявляющая, что идет переадресация, а потом выбрасывает обратно на пустые поля имени и пароля. Поэтому пост отправляю с другого компа.

Прошу помощи. Файлы прилагаются. Заодно просветите, как выполняются (посредством какой программы) скрипты?

пофиксите ...
[code]
O2 - BHO: IEHlprObj Class - {ABCDECF0-4B15-11D1-ABED-709549C10000} - C:\WINDOWS\system32\vtr.dll (file missing)
O4 - HKLM\..\Run: [WinAVX] C:\WINDOWS\system32\WinAvXX.exe
O4 - HKCU\..\Run: [WinAVX] C:\WINDOWS\system32\WinAvXX.exe
O4 - HKLM\..\Policies\Explorer\Run: [COM Ports] System32.exe
O7 - HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\System, DisableRegedit=1
O20 - AppInit_DLLs: C:\WINDOWS\system32\sulimo.dat
[/code]
выполните скрипт...
[code]
begin
SetAVZGuardStatus(True);
SearchRootkit(true, true);
QuarantineFile('C:\WINDOWS\system32\vtr.dll','');
QuarantineFile('C:\WINDOWS\system32\exe','');
QuarantineFile('C:\WINDOWS\system32\sulimo.dat','');
QuarantineFile('C:\WINDOWS\system32\WinAvXX.exe','');
QuarantineFile('c:\windows\system32\o2flash.exe','');
DeleteFile('C:\WINDOWS\system32\WinAvXX.exe');
DeleteFile('C:\WINDOWS\system32\sulimo.dat');
DeleteFile('C:\WINDOWS\system32\vtr.dll');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
пришлите карантин согласно приложения 3 правил..

Восстановление системы отключить срочно перед выполнением скрипта.

Спасибо большое за оперативность!

Пофиксил, скрипт выполнил, карантин отправил. Только карантин без пароля. Что-то не нашел я там такой опции. Пока еще разок NOD32 прогоню.

Еще какие-то действия нужны будут?

[size="1"][color="#666686"][B][I]Добавлено через 6 минут[/I][/B][/color][/size]

[quote=PavelA;143306]Восстановление системы отключить срочно перед выполнением скрипта.[/quote]

Не могу войти в "свойства" "моего компьютера". В ответ на выбор этого пункта контекстного меню выпрыгивает сообщение "Операция отменена вследствие действующих для компьютера ограничений. Обратитесь к администратору сети". Нажимаю ОК (других опций не предлагается), она же появляется второй раз. После второго раза прекращается. Ранее такого не наблюдалось, т.е. "свойства" открывались.

в AVZ
Файл -- Восст. системы п.6,8,9 отметить -- выполнить.

после этого попробовать восстановление системы отключить.

из попавших в карантин ...
C:\AddOn\Fujitsu\Fujitsu Hotkey Utility\VFuj02b1.dll - чистый
c:\windows\system32\o2flash.exe - чистый
повторите логи ...

Прошелся второй раз по полному кругу инструкции. Логи в приложении. Восстановление системы удалось отключить после запуска указанных пунктов в AVZ. Спасибо за подсказку.

Из карантина исчез один из файлов. Загрузить карантин?

Карантин загружай.

В логах чисто, зловреды не восстановились.

"Дырки" в системе еще надо позакрывать.

Очень радует!!!

Загрузил. Судя по названиям из CureIt у меня паслось с пяток вирусов, ворующих пароли. Мрак.

А как с дырками быть посоветуете или где прочитать/проконсультироваться?

[size="1"][color="#666686"][B][I]Добавлено через 55 секунд[/I][/B][/color][/size]

Такое впечатление, что ктото намеренно парольных шпионов натыкал...

это потенциальные уязвимости ....
что из этого используется ...?
>> Службы: разрешена потенциально опасная служба RemoteRegistry (Удаленный реестр)
>> Службы: разрешена потенциально опасная служба TermService (Службы терминалов)
>> Службы: разрешена потенциально опасная служба SSDPSRV (Служба обнаружения SSDP)
>> Службы: разрешена потенциально опасная служба Schedule (Планировщик заданий)
>> Службы: разрешена потенциально опасная служба mnmsrvc (NetMeeting Remote Desktop Sharing)
>> Службы: разрешена потенциально опасная служба RDSessMgr (Диспетчер сеанса справки для удаленного рабочего стола)
> Службы: обратите внимание - набор применяемых на ПК служб зависит от области применения ПК (домашний, ПК в ЛВС компании ...)!
>> Безопасность: разрешен автозапуск программ с CDROM
>> Безопасность: разрешен административный доступ к локальным дискам (C$, D$ ...)
>> Безопасность: к ПК разрешен доступ анонимного пользователя
>>> Безопасность: В IE разрешен запуск программ и файлов в IFRAME без запроса
>> Безопасность: Разрешены терминальные подключения к данному ПК

[quote=V_Bond;143383]это потенциальные уязвимости ....
что из этого используется ...?
>> Службы: разрешена потенциально опасная служба RemoteRegistry (Удаленный реестр)
>> Службы: разрешена потенциально опасная служба TermService (Службы терминалов)
>> Службы: разрешена потенциально опасная служба SSDPSRV (Служба обнаружения SSDP)
>> Службы: разрешена потенциально опасная служба Schedule (Планировщик заданий)
>> Службы: разрешена потенциально опасная служба mnmsrvc (NetMeeting Remote Desktop Sharing)
>> Службы: разрешена потенциально опасная служба RDSessMgr (Диспетчер сеанса справки для удаленного рабочего стола)
> Службы: обратите внимание - набор применяемых на ПК служб зависит от области применения ПК (домашний, ПК в ЛВС компании ...)!
>> Безопасность: разрешен автозапуск программ с CDROM
>> Безопасность: разрешен административный доступ к локальным дискам (C$, D$ ...)
>> Безопасность: к ПК разрешен доступ анонимного пользователя
>>> Безопасность: В IE разрешен запуск программ и файлов в IFRAME без запроса
>> Безопасность: Разрешены терминальные подключения к данному ПК[/quote]


Джентльмены! Спасибо огромное за помощь!!! Система вроде стабильна. Может подскажете, плз, как выключать службы и прочие дырки, кои не используются?

можем закрыть при помощи скрипта ....
(вы решили ,что вам необходимо ? )

Э-э, дайте время определиться :)

А где можно просветиться на тему того, какие дырки мне нужны, а какие нет? :?

[URL="http://www.oszone.ru/2357/Services"]Службы Windows XP[/URL]

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]3[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]