выкидывает из сети каждые 1,5 минуты

Printable View

23.10.2007, 13:03
Positive

Вложений: 3

выкидывает из сети каждые 1,5 минуты

Проблема следующего характера: сначала не открывались жесткие диски,выкидывало из сети каждые 1,5 минуты,после того, как был установлен и обновленодин из бесплатных антивирусов, он нашел кучу заразы, вроде удалил, диски стали открываться, но выкидывать из интернета не перестало, поэтому обновление баз стало в принципе невозможным. логи прилагаются)))
23.10.2007, 13:24
Bratez

1. Поищите и пришлите по правилам файлы:
[b]PowerReg SchedulerV2.exe
E:\autorun.inf[/b]

2. Пофиксите в HijackThis:
[code]
F2 - REG:system.ini: UserInit=userinit.exe,autorun.bat
O4 - Startup: PowerReg SchedulerV2.exe
[/code]
3. Выполните процедуру, описанную здесь:
[url]http://virusinfo.info/showthread.php?t=8877[/url]

4. Что за программа ROL Accelerator - вы уверены на 100% в ее безопасности?
Если нет, пришлите по правилам следующие файлы:
C:\Program Files\ROL Accelerator\trayctl.exe
C:\Program Files\ROL Accelerator\prplsf.dll
C:\Program Files\ROL Accelerator\prpl_IePopupBlocker.dll

5. Посмотрите, что нужно / не нужно из этого списка:
[code]
>> Службы: разрешена потенциально опасная служба RemoteRegistry (Remote Registry)
>> разрешена потенциально опасная служба TermService (Terminal Services)
>> разрешена потенциально опасная служба SSDPSRV (SSDP Discovery Service)
>> разрешена потенциально опасная служба Schedule (Task Scheduler)
>> Безопасность: разрешен автозапуск программ с CDROM
>> Безопасность: разрешен административный доступ к локальным дискам (C$, D$ ...)
>> Безопасность: к ПК разрешен доступ анонимного пользователя
>> Безопасность: Разрешена отправка приглашений удаленному помошнику
[/code]
23.10.2007, 15:09
Positive

1.[B]
PowerReg SchedulerV2.exe

[/B]в AVZ выдается сообщение:
Ошибка карантина файла, попытка прямого чтения (PowerReg SchedulerV2.exe)
Карантин с использованием прямого чтения - ошибка
Ошибка карантина файла, попытка прямого чтения (C:\WINDOWS\PowerReg SchedulerV2.exe)
Карантин с использованием прямого чтения - ошибка
Ошибка карантина файла, попытка прямого чтения (C:\WINDOWS\system32\PowerReg SchedulerV2.exe)
Карантин с использованием прямого чтения - ошибка
[B]
2.
[/B]пофиксила
[B]
3.
[/B]процедура выполнена
[B]
4.
[/B]программа провайдера голден телеком, предназначена для увеличения скорости соединения. Она на данном этапе не нужна, вообще можно удалить
при поиске файлы было выдано сообщение:
Ошибка карантина файла, попытка прямого чтения (C:\Program Files\ROL Accelerator\trayctl.exe)
Карантин с использованием прямого чтения - ошибка

Остальные отправила
[B]
5.
[/B][QUOTE]>> Службы: разрешена потенциально опасная служба RemoteRegistry (Remote Registry)
>> разрешена потенциально опасная служба TermService (Terminal Services)
>> разрешена потенциально опасная служба SSDPSRV (SSDP Discovery Service)
>> разрешена потенциально опасная служба Schedule (Task Scheduler)[/QUOTE]
это вообще не пойму что такое и где смотреть(((

что касаемо автозапуска cd-rom пожалуй не нужен

[QUOTE]>> Безопасность: разрешен административный доступ к локальным дискам (C$, D$ ...)
>> Безопасность: к ПК разрешен доступ анонимного пользователя
>> Безопасность: Разрешена отправка приглашений удаленному помошнику[/QUOTE]

здесь я тоже,пожалуй,ответить не смогу надо или нет, но звучит угрожающе

PS: а что вы скажете насчет следующих штуковин:
[FONT=Courier New][SIZE=2]\SystemRoot\System32\Drivers\dump_atapi.sys

\SystemRoot\System32\Drivers\dump_WMILIB.SYS

через поиск их вообще не найти(((

спасибо)))
[/SIZE][/FONT]
23.10.2007, 15:19
Bratez

Вот скрипт для отключения ненужного:
[code]
begin
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Control\LSA','RestrictAnonymous', 2);
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Control\Terminal Server','fAllowToGetHelp', 0);
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'System\CurrentControlSet\Services\LanmanServer\Parameters','AutoShareWks', 0);
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'System\CurrentControlSet\Services\CDROM','AutoRun', 0);
SetServiceStart('Schedule', 4);
SetServiceStart('SSDPSRV', 4);
SetServiceStart('TermService', 4);
SetServiceStart('RemoteRegistry', 4);
RebootWindows(true);
end.[/code]
Если компьютер в локальной сети с использованием общего доступа к файлам и принтерам, уберите из скрипта первую строчку после begin.

[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]

\SystemRoot\System32\Drivers\dump_atapi.sys
\SystemRoot\System32\Drivers\dump_WMILIB.SYS
- это "правильные" файлы, не беспокойтесь.

[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]

PowerReg SchedulerV2.exe надо было поискать в AVZ через Сервис - Поиск файлов на диске.
23.10.2007, 15:37
Positive

[quote=Bratez;144348]
PowerReg SchedulerV2.exe надо было поискать в AVZ через Сервис - Поиск файлов на диске.[/quote]

файл не найден(((

[size="1"][color="#666686"][B][I]Добавлено через 3 минуты[/I][/B][/color][/size]

и выкидывает по-прежнему(((
23.10.2007, 16:01
Bratez

Больше ничего подозрительного нет.
Вероятные причины: сбои вашего коммуникационного устройства, плохое качество линии, проблемы на стороне провайдера...
24.10.2007, 02:32
drongo

ROL Accelerator -удалить через панель управления , гадость ;)

Trojan.Win32.BHO.pv- kaspersky
24.10.2007, 09:14
Positive

нет его в панели управления, гн фактически неустановлен(((

[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]

[quote=Bratez;144363]Больше ничего подозрительного нет.
Вероятные причины: сбои вашего коммуникационного устройства, плохое качество линии, проблемы на стороне провайдера...[/quote]

верится с трудом,если честно(((
провайдеров на этой почве я сменила достаточно((( даже звонила им в службу поддержки,говорят,что все прекрасно
24.10.2007, 09:18
Positive

Вложений: 3

вот новые логи,после всех проделанных процедур)))
так,на всякий пожарный
24.10.2007, 15:09
Bratez

[quote]верится с трудом,если честно[/quote]
Я не настаиваю, я говорю "[b]вероятные[/b] причины".

Давайте будем удалять ROL Accelerator, правда это не совсем просто. Для начала скачайте вот эту программу: [url]http://www.tacktech.com/pub/winsockfix/WinsockFix.zip[/url], но пока не запускайте. Запишите все параметры ваших сетевых подключений. Затем выполните скрипт в AVZ:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\Program Files\ROL Accelerator\prpl_IePopupBlocker.dll');
DeleteFile('C:\Program Files\ROL Accelerator\prplsf.dll');
DelSPIByFileName('prplsf.dll',true);
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]
После перезагрузки выполните еще один:
[code]begin
ExecuteRepair(14);
RebootWindows(true);
end.[/code]
Возможно после этого связь с локалкой и/или интернетом будет нарушена. Тогда запустите скачанную программу и нажмите там [b]Fix[/b]. После ее завершения и перезагрузки введите ранее записанные сетевые настройки, т.к. они будут сброшены.

[size="1"][color="#666686"][B][I]Добавлено через 17 минут[/I][/B][/color][/size]

Пофиксите в HijackThis:
[code]O2 - BHO: IE_PopupBlocker Class - {656EC4B7-072B-4698-B504-2A414C1F0037} - C:\Program Files\ROL Accelerator\prpl_IePopupBlocker.dll
[/code]
и сделайте новые логи, начиная с п.10 правил.
24.10.2007, 17:55
Positive

Вложений: 2

[quote=Bratez;144619]Возможно после этого связь с локалкой и/или интернетом будет нарушена. Тогда запустите скачанную программу и нажмите там [B]Fix[/B]. После ее завершения и перезагрузки введите ранее записанные сетевые настройки, т.к. они будут сброшены.

[SIZE=1][COLOR=#666686][B][I]Добавлено через 17 минут[/I][/B][/COLOR][/SIZE]

Пофиксите в HijackThis:
[code]O2 - BHO: IE_PopupBlocker Class - {656EC4B7-072B-4698-B504-2A414C1F0037} - C:\Program Files\ROL Accelerator\prpl_IePopupBlocker.dll
[/code]и сделайте новые логи, начиная с п.10 правил.[/quote]

связь не была нарушена и мне не пришлось никакие настройки восстанавливать соответственно)))
что касается пофиксить - такой строки на этот раз найдено не было

И вообще какое-то странное поведение у компьютера, зашла в интернет, откуда меня не выкидывало, даже обновила касперского, что до этого было нереальным, в общем провела в сети аж 30 минут!
обновилась, проверила комп на вирусы, нашел следующее и удалил:
удалено: троянская программа Trojan.Win32.BHO.pv Файл: c:\program files\rol accelerator\prpl_iepopupblocker.dll
удалено: вирус Virus.VBS.Small.a Файл: C:\autorun.inf_иў«е±Џи”ЅжњЁй©¬
удалено: троянская программа Trojan.Win32.BHO.pv Файл: C:\Documents and Settings\Administrator\Desktop\avz4\Quarantine\2007-10-23\avz00003.dta
удалено: вирус Virus.VBS.Small.a Файл: C:\WINDOWS\system32\autorun.inf_иў«е±Џи”ЅжњЁй©¬
удалено: вирус Virus.VBS.Small.a Файл: D:\autorun.inf_иў«е±Џи”ЅжњЁй©¬

после этого я снова зашла в сеть, меня перезагрузило тут же 10 раз подряд((( и теперь опять те же проблемы, вырубает по прежнему, еще и винт трещит(((
24.10.2007, 18:07
Bratez

Однако в логах чистота...
Сделайте вот такой лог:
[url]http://virusinfo.info/showthread.php?t=10387[/url]
только в нормальном режиме.
24.10.2007, 18:47
Positive

Вложений: 2

может и чистота,конечно,но поведение явно подозрительное(((
сделала - прикрепила)))
24.10.2007, 18:52
Bratez

Больше ничего подозрительного в логах нет.
24.10.2007, 18:56
Positive

возможно и нет, но меня все же очень настораживает, что некоторое время до проверки касперским все работало прекрасно и в сети я могла до посинения висеть, а после того, как он снес эти вирусы все началось сначала(((
24.10.2007, 19:05
Bratez

Если у вас русская XP (не MUI-шная), то рекомендую скачать и установить вот это: [url]http://poleznosti.ru/soft/file_catalog/?file_id=20060821091454[/url]
Правда объемчик под 50 Mb...
Но есть большой шанс, что поможет вашей беде. В любом случае очень полезно.
24.10.2007, 19:11
Positive

спасибо)))) но вот щас мне придется думать, как скачать 50 метров находясь в сети по полторы минуты)))это извращение какое-то)))
и сколько лет у меня на это уйдет))))
22.02.2009, 02:42
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]3[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]