Printable View
Месяц назад нахватался разных троянов и прочего (пароли украли, в мой банкинг зашли, деньги украли :'-( итп... ), потом вроде бы подчистил, но что-то осталось. То окна браузера выскакивают, то текст в командной строке FARа выскакивает "testtesttesttesttesttesttesttesttesttesttest", то IE начинает подтормаживать не открывая ссылки в новых окнах. Никак не могу вычистить до победного конца. Помогите пожалуйста.
1.[url=http://virusinfo.info/showthread.php?t=7239]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".[/url]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\My Docs\cpa.bat','');
QuarantineFile('C:\WINDOWS\system32\dmuti.dll','');
QuarantineFile('C:\WINDOWS\Installer\{B9F1A536-6964-4BAC-9A36-D83AB0826D33}\IconB9F1A5362.exe','');
QuarantineFile('c:\temp\winlogon.exe','');
QuarantineFile('C:\WINDOWS\system32\ntos.exe','');
QuarantineFile('\SystemRoot\system32\DRIVERS\tcpip.sys','');
DeleteFile('C:\WINDOWS\system32\ntos.exe');
DeleteFile('c:\temp\winlogon.exe');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]
После выполнения скрипта компьютер перезагрузится.
Прислать карантин согласно [b]приложения 3 [url=http://virusinfo.info/showthread.php?t=1235]правил [/url][/b].
Загружать по ссылке: [url]http://virusinfo.info/upload_virus.php?tid=14503[/url]
2.Пофиксить в HijackThis следующие строчки ( [url]http://virusinfo.info/showthread.php?t=4491[/url] )
[CODE]O21 - SSODL: DrvInfo - {C888CF11-124F-3562-44AC-E685D962C63C} - (no file)
[/CODE]
[quote=Muzzle;153198]
...
После выполнения скрипта компьютер перезагрузится.
Прислать карантин...
2.Пофиксить в HijackThis следующие строчки [/quote]
Все сделал и выслал.
ps: cpa.bat - это мой бат-файл и я его вставил в планировщик. я к тому, что он вне подозрений должен быть.
Пофиксите в HijackThis:
[code]
O2 - BHO: (no name) - {F17F9592-9469-4151-B7F7-8154992BC4ED} - C:\WINDOWS\system32\dmuti.dll (file missing)
[/code]
Выполните скрипт:
[code]
begin
BC_DeleteSvc('VSSNla');
BC_Activate;
RebootWindows(true);
end.[/code]
Сделайте новые логи для контроля.
Пофиксил, скрипт выполнил. Высылаю логи.
Больше ничего плохого не видно.
Как чувствует себя пациент?
В качестве профилактики предлагается отключить все ненужное из этого:
[code]
>> Службы: разрешена потенциально опасная служба TermService (Службы терминалов)
>> Службы: разрешена потенциально опасная служба SSDPSRV (Служба обнаружения SSDP)
>> Службы: разрешена потенциально опасная служба mnmsrvc (NetMeeting Remote Desktop Sharing)
>> Службы: разрешена потенциально опасная служба RDSessMgr (Диспетчер сеанса справки для удаленного рабочего стола)
>> Безопасность: разрешен автозапуск программ с CDROM
>> Безопасность: разрешен административный доступ к локальным дискам (C$, D$ ...)
>> Безопасность: к ПК разрешен доступ анонимного пользователя
[/code]
[QUOTE]>> Безопасность: разрешен административный доступ к локальным дискам (C$, D$ ...)
>> Безопасность: к ПК разрешен доступ анонимного пользователя[/QUOTE]
Подскажите пожалуйста как это отключить ?
Можно таким скриптом:
[code]
begin
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Control\LSA','RestrictAnonymous', 2);
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'System\CurrentControlSet\Services\LanmanServer\Parameters','AutoShareWks', 0);
RebootWindows(true);
end.[/code]
Однако, если есть локалка с использованием общего доступа к файлам и принтерам, то анонима отключать не надо.
Большое спасибо за помощь !
Пациент чувствует себя хорошо, странностей в поведении не наблюдается.
Хотелось бы услышать Ваши рекомендации чтоб в будущем не нахватать опять всяких гадостей.
Советую работать за компьютером под пользователем с ограниченными правами.
По возможности не пользоваться Internet Explorer,а использовать альтернативные браузеры,например Firefox,Opera(с отключёнными java скриптами,разрешать их выполнение только для доверенных сайтов)
Советую прочитать [URL="http://security-advisory.newmail.ru/"]электронную книгу[/URL] "Безопасный Интернет. Универсальная защита для Windows ME - Vista".
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]15[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]