Printable View
во время работы windows выскакивают окна "Windows sequrity alert" ,spyware alert и windows alert которые при любом нажатии перекидывают на интернет адреса ! Антивирус касперского не дал ни каких результатов кроме попыток атаки на компьютер,Ad-Aware SE Personal тоже обнаруживает вредоносные обьекты каждый раз! Любая попытка отключить появление окон и попыток обнаружить вирусы не удалась!
Пофиксите в hijackThis:
[code]
F2 - REG:system.ini: UserInit=userinit.exe,C:\WINDOWS\system32\scvhost\svchost.exe,wuauserv.exe
O2 - BHO: MSVPS System - {6EB10F79-5E53-4F76-B146-409EFCDCB957} - C:\WINDOWS\movctrlfqd.dll
O2 - BHO: (no name) - {9AFD91F9-6B03-4D22-A1E1-67D224CB7AB1} - (no file)
O4 - HKLM\..\Run: [Salestart] "C:\Program Files\Common Files\PCSecureSystem\bm.exe" dm=http://pcsecuresystem.com; ad=http://pcsecuresystem.com
O4 - HKLM\..\Run: [rtasks] C:\Program Files\PCSecureSystem\rtasks.exe
[/code]
Не перезагружаясь после фикса, выполните скрипт в AVZ:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\movctrlfqd.dll','');
QuarantineFile('wuauserv.exe','');
QuarantineFile('C:\WINDOWS\system32\scvhost\svchost.exe','');
QuarantineFile('C:\Program Files\PCSecureSystem\rtasks.exe','');
QuarantineFile('C:\Program Files\Common Files\PCSecureSystem\bm.exe','');
QuarantineFile('C:\Documents and Settings\Scorpion\Рабочий стол\install_en.exe','');
QuarantineFile('C:\DOCUME~1\АЛЕКСЕЙ\LOCALS~1\Temp\Rar$EX17.875\P2kAutostart.exe','');
QuarantineFile('\??\C:\WINDOWS\system32\drivers\oreans32.sys','');
QuarantineFile('C:\WINDOWS\ocgrep.dll','');
QuarantineFile('C:\WINDOWS\bxsbang.dll','');
DeleteFile('C:\Program Files\Common Files\PCSecureSystem\bm.exe');
DeleteFile('C:\Program Files\PCSecureSystem\rtasks.exe');
DeleteFile('C:\WINDOWS\system32\scvhost\svchost.exe');
DeleteFile('wuauserv.exe');
DeleteFile('C:\WINDOWS\movctrlfqd.dll');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]
Компьютер перезагрузится.
Пришлите карантин согласно приложению 3 правил.
Всё выполнил! Вопрос как найти карантин!
См. [b]приложение 3 правил[/b].
прислать весь карантин или нужно определенные
Ну если он приемлемого размера - шлите весь.
Если черезчур большой - выберите файлы, упомянутые в скрипте.
прислал все
ocgrep.dll, bxsbang.dll - [b]not-a-virus:AdWare.Win32.Vapsup[/b]
Больше ничего интересного в карантин не попало.
Выполните скрипт в AVZ:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\WINDOWS\bxsbang.dll');
DeleteFile('C:\WINDOWS\ocgrep.dll');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]
Пофиксите в HijackThis:
[code]
O4 - HKLM\..\Run: [NI.UGA6P_0001_N122M2210] "C:\Documents and Settings\Scorpion\Рабочий стол\install_en.exe"
O4 - HKCU\..\Run: [P2kAutostart] C:\DOCUME~1\АЛЕКСЕЙ\LOCALS~1\Temp\Rar$EX17.875\P2kAutostart.exe
O9 - Extra button: (no name) - {9819CC0E-9669-4D01-9CD7-2C66DA43AC6C} - (no file)
O21 - SSODL: bxsbang - {A830561B-F299-4265-8AB4-02D60D1EDDC8} - C:\WINDOWS\bxsbang.dll
O21 - SSODL: ocgrep - {42836129-E969-4555-BDA1-C1C6594A7AFD} - C:\WINDOWS\ocgrep.dll
[/code]
и сделайте новые логи.
не поличилось найти
O21 - SSODL: bxsbang - {A830561B-F299-4265-8AB4-02D60D1EDDC8} - C:\WINDOWS\bxsbang.dll
O21 - SSODL: ocgrep - {42836129-E969-4555-BDA1-C1C6594A7AFD} - C:\WINDOWS\ocgrep.dll
на рабочем столе появилась картинка при нажатии происходит переброс на интернет ссылку
Вот свойства данного обьекта
[COLOR="Black"]тип Рисунок GIF
протокол File Protocol
адрес url file:///C:/WINDOWS/privacy_danger/images/spacer.gif[/COLOR]
новые логи пришлю через несколько минут пока комп выполняет скрипты
Вот новые скрипты
Больше ничего подозрительного не видно.
На всякий случай еще вот этот файл пришлите по правилам:
C:\WINDOWS\nssfrch.dll
Если Megaupload и переводчики удалены, можно пофиксить это:
[code]
O2 - BHO: Mega Manager IE Click Monitor - {bf00e119-21a3-4fd1-b178-3b8537e75c92} - C:\Program Files\Megaupload\Mega Manager\MegaIEMn.dll (file missing)
O3 - Toolbar: XTRANS - {DBBABB93-DDBC-48CA-B6BE-7F85E50D8FC7} - C:\Program Files\X-Translator PLATINUM\PRMTET\PrmtETru.dll (file missing)
O3 - Toolbar: PROMT - {FF284F5C-7CF9-4682-8701-D467C1DBB99F} - C:\Program Files\PRMT6\PRMTIE\prmtie.dll (file missing)
[/code]
Рекомендации:
1. Желательно отключить все ненужное из этого списка:
[code]
>> Службы: разрешена потенциально опасная служба RemoteRegistry (Удаленный реестр)
>> разрешена потенциально опасная служба TermService (Службы терминалов)
>> разрешена потенциально опасная служба SSDPSRV (Служба обнаружения SSDP)
>> разрешена потенциально опасная служба Schedule (Планировщик заданий)
>> Безопасность: разрешен автозапуск программ с CDROM
>> Безопасность: разрешен административный доступ к локальным дискам (C$, D$ ...)
>> Безопасность: к ПК разрешен доступ анонимного пользователя
>> Безопасность: Разрешена отправка приглашений удаленному помошнику
[/code]
2. Версия антивируса устаревшая. Актуальна 7.0.0.125. Если ваш ключ не идет на 7-ку, поставьте хотя бы 6.0.2.621.
3. Почему-то очень много системных файлов не проходят по базе безопасных, хотя дата у них старая. Обновите базы антивируса и сделайте полную проверку компьютера в безопасном режиме (хоть и маловероятно, но вдруг таки файловый вирус).
отправил нужный файл
отключил службы
вот только с безопасностью не могу найти их
Сообщения перестали появляться вот только на рабочем столе не убирается gif с ссылкой на интернет адрес! Эта заставка стоит поверх рабочей картинки и ее ни как не убрать если надо могу прислать скрин рабочего стола ! при наведение на нее курсор сменяется на изображение руки с запрещающим знаком! помогите удалить ее!
сейчас установлю антивирус и проверю систему об результатах напишу как только антивирус проверит систему
[url=http://virusinfo.info/showpost.php?p=64376&postcount=1]Пофиксте[/url] в HijackThis следующие строки:
[quote]
O24 - Desktop Component 0: (no name) - file:///C:/DOCUME~1/АЛЕКСЕЙ/LOCALS~1/Temp/msoclip1/01/clip_image002.gif
O24 - Desktop Component 1: Privacy Protection - file:///C:\WINDOWS\privacy_danger\index.htm
[/quote]
И точно! nssfrch.dll - [b]not-a-virus:AdWare.Win32.Agent.sn[/b]
Выполните скрипт:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\WINDOWS\nssfrch.dll');
BC_DeleteFile('C:\WINDOWS\nssfrch.dll');
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]
и пофиксите:
[code]O3 - Toolbar: The nssfrch - {DF0ACE0C-4A3F-4A1F-8676-BA16DEB23C70} - C:\WINDOWS\nssfrch.dll[/code]
По "безопасности" вот скрипт:
[code]
begin
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Control\Terminal Server','fAllowToGetHelp', 0);
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Control\LSA','RestrictAnonymous', 2);
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'System\CurrentControlSet\Services\LanmanServer\Parameters','AutoShareWks', 0);
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'System\CurrentControlSet\Services\CDROM','AutoRun', 0);
end.[/code]
Если у вас локалка с доступом к файлам и принтерам, уберите строчку, в которой RestrictAnonymous.
Спасибо большое за вашу помощь! Хорошо что вы есть!
P.S Все проблемы исчезли ! Сейчас проверяю компьютер Касперским 7( полная проверка) если что-нибудь обнаружится то напишу
P.P.S Посоветуйте какой лучше антивирус и фаэрвол! Антивирус у меня "Антивирус Касперского 7.0" а вой фаэрвол стандартный XP!Может заменить, а...
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]24[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\windows\\bxsbang.dll - [B]Trojan.Win32.Vapsup.iy[/B] (DrWEB: Adware.Adrep)[*] c:\\windows\\nssfrch.dll - [B]not-a-virus:AdWare.Win32.Agent.sn[/B] (DrWEB: Adware.Mygeek)[*] c:\\windows\\ocgrep.dll - [B]Trojan.Win32.Vapsup.ja[/B] (DrWEB: Adware.Adrep)[/LIST][/LIST]