Printable View
Появляется зараза после нескольких минут работы в интернете. Перепробовали все, что можно, никак не получается избавиться. Проблема обнаружена на нескольких машинах, хотя бы только по этому нужно разобраться в причинах появления и методах борьбы с заразой. По инструкции собрал информацию с одного из пациентов
Уважаемый(ая) [B]just_nic[/B], спасибо за обращение на наш форум!
Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].
Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
Очистите куки и кэш браузеров
это было сделано первым делом)
ipconfig /flushdns тоже
странными мне показались эти строки:
[QUOTE]
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] D:\WINDOWS\system32\CTFMON.EXE (User '?')
O4 - HKUS\S-1-5-19\..\Run: [VistaIcon] D:\Program Files\VistaDriveIcon\VistaDrv.exe (User '?')
O4 - HKUS\S-1-5-19\..\RunOnce: [ZZZZ1_FirstLogonSetting] %SystemRoot%\System32\rundll32.exe advpack.dll,LaunchINFSection D:\WINDOWS\INF\custom.inf,OnceFirstLogonInstall,0 (User '?')
O4 - HKUS\S-1-5-19\..\RunOnce: [IE8_02] rundll32 advpack.dll,LaunchINFSectionEx IE8int.inf,AfterUserStart,,4,N (User '?')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] D:\WINDOWS\system32\CTFMON.EXE (User '?')
O4 - HKUS\S-1-5-20\..\RunOnce: [ZZZZ1_FirstLogonSetting] %SystemRoot%\System32\rundll32.exe advpack.dll,LaunchINFSection D:\WINDOWS\INF\custom.inf,OnceFirstLogonInstall,0 (User '?')
O4 - HKUS\S-1-5-21-861567501-920026266-1644491937-500\..\Run: [ctfmon.exe] D:\WINDOWS\system32\ctfmon.exe (User '?')
O4 - HKUS\S-1-5-18\..\RunOnce: [IE8_01] regsvr32 /s /n /i:u shell32 (User '?')
O4 - HKUS\.DEFAULT\..\RunOnce: [IE8_01] regsvr32 /s /n /i:u shell32 (User 'Default user')
[/QUOTE]
Пробовал их фиксить - hijack как бы фиксит, сканирую опять - часть из них опять на месте, опять выделяю и fix them. Раза с третьего фиксятся все. Перезагружал - проверял, не появляются снова, но и проблему это не решает...
особенно странными показались мне эти две строки:
[QUOTE]
O4 - HKUS\S-1-5-18\..\RunOnce: [IE8_01] regsvr32 /s /n /i:u shell32 (User '?')
O4 - HKUS\.DEFAULT\..\RunOnce: [IE8_01] regsvr32 /s /n /i:u shell32 (User 'Default user')
[/QUOTE]
Если кто-то знает что происходит при их инициализации, поделитесь, плз
Далее идут строки:
[QUOTE]
O4 - S-1-5-21-861567501-920026266-1644491937-500 Startup: _uninst_71099801.lnk = D:\Documents and Settings\Admin\Local Settings\Temp\_uninst_71099801.bat (User '?')
O4 - Startup: _uninst_71099801.lnk = D:\Documents and Settings\Admin\Local Settings\Temp\_uninst_71099801.bat
[/QUOTE]
По факту такого файла - [B]D:\Documents and Settings\Admin\Local Settings\Temp\_uninst_71099801.bat[/B] не существует... записи однако все равно почистил
еще строки
[QUOTE]
O22 - SharedTaskScheduler: Предзагрузчик Browseui - {438755C2-A8BA-11D1-B96B-00A0C90312E1} - D:\WINDOWS\system32\browseui.dll
O22 - SharedTaskScheduler: Демон кэша категорий компонентов - {8C7461EF-2B13-11d2-BE35-3078302C2030} - D:\WINDOWS\system32\browseui.dll
[/QUOTE]
На не зараженных системах (точнее на системах зараженных чем-то другим) таких строк не встречал. Тут же на всех трех исследуемых мной и зараженных именно этой заразой машинах присутствуют эти записи. Фиксятся тоже не сразу, но, надо сказать, фиксятся...
[B]как бы резюмируя[/B]: все, что было убрано из загрузки, на работоспособности системы не отразилось, ось загрузилась норм и работает, обратно записи не появляются.
Решает ли это проблему... пока не знаю - потому что серферить через rdp+radmin+3g модем крайне неприятно. Десяток страниц открывается пока без баннера... остальные результаты будут завтра
Эти записи были не зловредные, просто мусор.