Printable View
Добрый день. Помогите, пожалуйста, избавиться от вредоносных процессов. Началось все несколько недель назад с появления процесса safesurf. Теперь проскакивает еще и wasppacer. Возможно в в процессе участвует xstarter который запускает все остальное. Антивирусные программы эти файлы вредоносными не считают.
Файлы расположены в папке C:\wmpub\logs\wa. Папка уже около 700 мб.
Как это все вычистить?
Спасибо.
Уважаемый(ая) [B]Discover[/B], спасибо за обращение на наш форум!
Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].
Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
Сделайте [url=http://virusinfo.info/showthread.php?t=115256]логи RSIT.[/url]
[url=http://virusinfo.info/showthread.php?t=121767]Сделайте полный образ автозапуска uVS[/url].
готово
[quote="Discover;1032781"]Антивирусные программы эти файлы вредоносными не считают.[/quote]
потому, что это не вирусы ;).
пока
[LIST][*]Скачайте [B][URL="http://general-changelog-team.fr/en/downloads/finish/20-outils-de-xplode/2-adwcleaner"]AdwCleaner (by Xplode)[/URL][/B] и сохраните его на [B]Рабочем столе[/B].[*]Запустите его нажмите кнопку [B]"Scan"[/B] и дождитесь окончания сканирования.[*]Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: [B][COLOR="Blue"]C:\AdwCleaner[R1].txt[/COLOR][/B].[*]Прикрепите отчет к своему следующему сообщению.[/LIST]
[COLOR="silver"]- - - Добавлено - - -[/COLOR]
+ [url=http://virusinfo.info/showthread.php?t=121769]Выполните скрипт в uVS[/url]
[CODE];uVS v3.81.1 [http://dsrt.dyndns.org]
;Target OS: NTv5.2
OFFSGNSAVE
delall %SystemDrive%\WA\CSRSS.EXE
zoo %SystemDrive%\INTEL\WEB\MICROSOFT\SAFESURF.EXE
delall %SystemDrive%\INTEL\WEB\MICROSOFT\SAFESURF.EXE
zoo %SystemDrive%\WMPUB\LOGS\WA\SMSS.EXE
; C:\WMPUB\LOGS\WA\SMSS.EXE
bl 4C4EDE2CFD2001DF8FF0B93CE596D684 278675
delall %SystemDrive%\WMPUB\LOGS\WA\SMSS.EXE
; C:\WMPUB\LOGS\WA\WASPPACER.EXE
addsgn 925277EA0E6AC1CC0B744A4EA34F06193B8A8C4E1B4948FB483C2EB2C046E1DCA91185DF39129C925E870F81C5F8B5EBA6AD05CA54DAB02C2CACD1284C18A19D 8 WaspAce Navigator
zoo %SystemDrive%\WMPUB\LOGS\WA\WASPPACER.EXE
bl D86B6DC185CCC47707B918A9F105D49E 821304
; zoo %SystemDrive%\WMPUB\LOGS\WA\WASPPACER.EXE
zoo %SystemDrive%\INTEL\WEB\MICROSOFT\SURFGUARD.EXE
delall %SystemDrive%\INTEL\WEB\MICROSOFT\SURFGUARD.EXE
chklst
delvir
restart[/CODE]
- Сделайте лог [url=http://virusinfo.info/showpost.php?p=457118&postcount=1]полного сканирования МВАМ.[/url]
Скрипт выполнил. После перезагрузки surfguard в процессах остался.
Судя по информации из process explorer "C:\Intel\Web\Microsoft\safesurf.exe" запущен процессом C:\Intel\Web\Microsoft\xStarter\services.exe /startedbyscm:2020FC88-40E2E8D8-srvXStarter
Отчеты прикрепил
Здравствуйте!
Закройте все программы
Отключите
- ПК от интернета/локалки.
[url=http://virusinfo.info/showthread.php?t=130828]- Антивирус и Файрвол[/url]
[url=http://virusinfo.info/showthread.php?t=7239]Выполните скрипт в АВЗ[/url] -
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
ClearQuarantineEx(true);
QuarantineFile('C:\Program Files\Common Files\Microsoft Shared\System\svchost.exe','');
DeleteFile('C:\Program Files\Common Files\Microsoft Shared\System\svchost.exe');
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.
[/code]
[color=#FF0000]После выполнения скрипта компьютер перезагрузится.[/color]
Файл [b]quarantine.zip[/b] из папки AVZ загрузите по ссылке "[color=Red][b]Прислать запрошенный карантин[/b][/color]" вверху темы.
[quote="Discover;1034685"]Судя по информации из process explorer "C:\Intel\Web\Microsoft\safesurf.exe" запущен процессом C:\Intel\Web\Microsoft\xStarter\services.exe /startedbyscm:2020FC88-40E2E8D8-srvXStarter[/quote]
значит запускается через эту программу [url]http://www.xstarter.com/rus/index.html[/url]
Если вы сами не ставили эту программу, то посмотрите, возможно будет файл
[CODE]C:\Intel\Web\Microsoft\xStarter\unins000.exe[/CODE]
или другой файл для деинсталяции этой программы, в списке установленных её похоже нет.
Добрый день. Скрипт выполнил, карантин загрузил
Файл сохранён как 130909_071243_2013-09-06_522d74eb650da.zip
Размер файла 438835
MD5 dcec64e327a501041a120f8dec0138a2
Файл закачан, спасибо!
Файла деинсталляции xStarter не обнаружил, но получилось вручную удалить службу xStarter (Windows Tasks Sheduler). Пока подозрительные процессы не появляются.
Странная ситуация с папками c:\intel\ и c:\wmpub\
В проводнике их нет, но при выполнении команды DIR в командной строке их видно, и все содержимое тоже на месте.
Включите просмотр скрытых файлов в проводнике и удалите папки c:\intel, c:\wmpub и c:\wa (если есть) со всем содержимым.
Сделайте новый полный образ автозапуска uVS, зачистим хвосты.
Просмотр скрытых файлов в проводнике включен, все равно каталогов не видно.
Удалить получилось только командами в cmd:
takeown /r /f [папка]
win: rd /s /q [папка]
Образ автозапуска загрузил через карантин.
Файл сохранён как 130909_115217_SERVER_2013-09-09_15-36-53_522db67110dec.zip
Размер файла 768192
MD5 a990281619532dfa34807c4a41ff7e40
[QUOTE=Vvvyg;1036945]Сделайте новый полный образ автозапуска uVS, зачистим хвосты.[/QUOTE]
И смените админские пароли, если ещё этого не сделали.
Пароли администраторов сменил сразу, но на сервере есть еще rdp пользователи, им всем тоже пароли нужно сменить?
Еще была проблема с тем что сервер был открыт для rdp подключений снаружи, сейчас убрал его за аппаратный vpn.
Ну, если снаружи теперь за VPN, это не так критично. Хотя, смену паролей всем пользователям принято делать регулярно, с интервалом в несколько месяцев максимум.
Выполните скрипт в AVZ при наличии доступа в интернет:[CODE]var
LogPath : string;
ScriptPath : string;
begin
LogPath := GetAVZDirectory + 'log\avz_log.txt';
if FileExists(LogPath) Then DeleteFile(LogPath);
ScriptPath := GetAVZDirectory +'ScanVuln.txt';
if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 1) then ExecuteScript(ScriptPath) else begin
if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 0) then ExecuteScript(ScriptPath) else begin
ShowMessage('Невозможно загрузить скрипт AVZ для обнаружения наиболее часто используемых уязвимостей!');
exit;
end;
end;
if FileExists(LogPath) Then ExecuteFile('notepad.exe', LogPath, 1, 0, false)
end.[/CODE]
После его работы, если будут найдены уязвимости, в блокноте откроется файл avz_log.txt со ссылками на обновления системы и критичных к безопасности программ, которые нужно загрузить и установить. В первую очередь это относится к броузерам, Java, Adobe Acrobat/Reader и Adobe Flash Player.
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]2[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]