Printable View
Ув. админ.!
Антивирус касперского сообщил, что комп. заражен Trojan-Spy.Win32.Banker.fov.
При попытке удалить вирус, комп. начинал перезагружаться.
Скачала CureIT, AVZ, HijackThis. Проделала по порядку все, что у вас написано в правилах.
Сейчас Касперский молчит, но сомнения гнетут. Вдруг еще чего-нибудь осталось?
Посмотрите, пожалуйста!
Выполните скрипт в AVZ:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\ati2psag.sys','');
QuarantineFile('C:\WINDOWS\system32\mswapi.dll','');
QuarantineFile('C:\WINDOWS\system32\ati2paag.dll','');
DeleteFile('C:\WINDOWS\system32\ati2paag.dll');
DeleteFile('C:\WINDOWS\system32\ati2psag.sys');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]
Компьютер перезагрузится.
Пришлите карантин согласно приложению 3 правил.
[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]
Вот это можно пофиксить в HijackThis:
[code]O20 - Winlogon Notify: reset6 - mswshl.dll (file missing)
[/code]
Карантин нужно присылать по приложению 3 Правил!
Выполните скрипт в AVZ:
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\WINDOWS\system32\mswapi.dll');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]
После перезагрузки пофиксите в HijackThis, если останется:
[code]O2 - BHO: (no name) - {e3a729da-eabc-df50-1842-dfd682644311} - C:\WINDOWS\system32\mswapi.dll
[/code]
Обновите базы AVZ!
Сделайте новые логи.
[size="1"][color="#666686"][B][I]Добавлено через 3 минуты[/I][/B][/color][/size]
P.S. У вас устаревшая версия антивируса Касперского, рекомендуется перейти на 7.0.
Это не у меня устаревшая версия, это у моей конторы устаревшая версия Касперского. Надо будет поднять вопрос.
Что там с моим коняшкой? (компом в смысле)
в логах чисто ..... с этим _
>> Службы: разрешена потенциально опасная служба TermService (Службы терминалов)
>> Службы: разрешена потенциально опасная служба SSDPSRV (Служба обнаружения SSDP)
>> Службы: разрешена потенциально опасная служба Schedule (Планировщик заданий)
>> Службы: разрешена потенциально опасная служба RDSessMgr (Диспетчер сеанса справки для удаленного рабочего стола)
> Службы: обратите внимание - набор применяемых на ПК служб зависит от области применения ПК (домашний, ПК в ЛВС компании ...)!
>> Безопасность: разрешен автозапуск программ с CDROM
>> Безопасность: разрешен административный доступ к локальным дискам (C$, D$ ...)
>> Безопасность: к ПК разрешен доступ анонимного пользователя
сами разберетесь ?
Карантин таки уберите из темы - не положено. Для этого есть ссылка вверху темы. Кстати, мне кажется, этот карантин сделан до выполнения моего первого скрипта, а надо было после... Сделайте, как написано в приложении 3 правил, хотелось бы все же получить эти псевдо-ati-шные файлики, их копии в карантине должны быть.
Честно говоря, я юзер самый обычный. Системщики в отсутствии:один болеет, второй в отпуске, третий - "очумелые ручки" к нему идти себе дороже.
Поясните, что делать, пожалуйста. Спасибо.
Как делать карантин описано в правилах...
Службы скажите какие не нужны, мы поможем
>> Безопасность: разрешен автозапуск программ с CDROM
>> Безопасность: разрешен административный доступ к локальным дискам (C$, D$ ...)
>> Безопасность: к ПК разрешен доступ анонимного пользователя
Ничего такого разрешено не было точно. Доступ к ПК только с паролем.
Как все это убирается?
>> Службы: разрешена потенциально опасная служба TermService (Службы терминалов)
>> Службы: разрешена потенциально опасная служба SSDPSRV (Служба обнаружения SSDP)
>> Службы: разрешена потенциально опасная служба Schedule (Планировщик заданий)
>> Службы: разрешена потенциально опасная служба RDSessMgr (Диспетчер сеанса справки для удаленного рабочего стола)
Насчет этих ничего сказать не могу. Они нужны, вообще, для нормальной жизни. Можно без них обойтись?
Да, карантин отправила ка положено. Извините, что сначала так получилось. Не разобралась. Теперь буду знать.:)
Не могу прочитать приват: настройки нашего прокси не дают. Сорри...
[code]
begin
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Control\LSA','RestrictAnonymous', 2);
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'System\CurrentControlSet\Services\LanmanServer\Parameters','AutoShareWks', 0);
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'System\CurrentControlSet\Services\CDROM','AutoRun', 0);
SetServiceStart('TermService', 4);
RebootWindows(true);
end.
[/code]
BTW:
[b]mswapi.dll[/b] добавлен в базы KAV под именем [b]Trojan-Spy.Win32.Iespy.ef[/b]
Скриптик проработал. Можно вздохнуть свободно?
А то начальство работу требует...
Дык уже давно чисто у вас (см. сообщение #6) ;)
Большое спасибочки! :)
Советуем прочитать [URL="http://security-advisory.newmail.ru/"]электронную книгу[/URL] "Безопасный Интернет. Универсальная защита для Windows ME - Vista".
Вы можете нас отблагодарить, [URL="http://www.virusinfo.info/showthread.php?t=3519"]оказав нам помощь в сборе базы безопасных файлов[/URL]. Мы будем Вам очень благодарны!
Удачи!
Файл сделала, а закачать не могу. Говорит:
Невозможно отобразить страницу
Интересно, эта лажа у меня или у вас?
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]1[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\windows\\system32\\mswapi.dll - [B]Trojan-Spy.Win32.Iespy.ef[/B] (DrWEB: Trojan.Iespy)[/LIST][/LIST]