Printable View
Kaspersky AV 6.0 нашел в папке System32 зараженный вирусом Trojan-Downloader.Win32.Delf.dbo файл cscu.dll. Не может удалить его - пишет "Файл содержит троянскую программу Trojan-Downloader.Win32.Delf.dbo. Лечение невозможно: отсутствуют права на запись". Троян запускает дублирующий процесс avp.exe (в логах он может отсутствовать т.к. во время работы AVZ Касперский был отключен.
Вот необходимые файлы
Базы AVZ надо обновлять!!
Выполнить скрипт:
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('\SystemRoot\system32\drivers\cqigsjyg.dat','');
QuarantineFile('C:\Documents and Settings\All Users\Application Data\Spyware Terminator\sp_rsdrv2.sys','');
QuarantineFile('C:\WINDOWS\system32\cscu.dll','');
DeleteFile('C:\WINDOWS\system32\cscu.dll');
DelCLSID('33331111-1111-1111-1111-615111193427');
DelCLSID('33331111-1111-1111-1111-611111193423');
BC_ImportAll;
BC_Activate;
RebootWindows(true);
end.[/CODE]
Загрузить карантин.
спасибо, файл удален!:D
Карантин загрузили?
новые логи надо сделать. Посмотрим, что осталось.
еще: в автозагрузке есть неизвестный процесс: dumprep0 -k (%systemroot%\system32\dumprep0 -k;
и процесс avp в кавычках
Нужно ли что-то делать?
Выполните скрипт:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\drivers\cqigsjyg.dat','');
DeleteFile('C:\WINDOWS\system32\drivers\cqigsjyg.dat');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]
Сделайте новые логи.
[QUOTE=wheeller;154015]еще: в автозагрузке есть неизвестный процесс: dumprep0 -k (%systemroot%\system32\dumprep0 -k;
и процесс avp в кавычках
Нужно ли что-то делать?[/QUOTE]
Первый - выдача дампа в случае возникновения ошибки.
Второй - из-за длинной директории с пробелами в имени.
[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]
Вот эту ерунду еще надо профиксить:
O16 - DPF: {E cellSpacing=5 cellPadding=3 width=400} -
выполняю в AVZ скрипт лечения/карантина и сбора информации для раздела... в процессе комп перезагружается.
[size="1"][color="#666686"][B][I]Добавлено через 52 секунды[/I][/B][/color][/size]
O16 - DPF: {E cellSpacing=5 cellPadding=3 width=400} -
пофиксил
Значит, пришла пора сделать вот это:[url]http://virusinfo.info/showthread.php?t=10387[/url]
Желательно в защищенном режиме.
Сделал все по ссылке [url]http://virusinfo.info/showthread.php?t=10387[/url] . Прикрепляю файлы.
выполнте скрипт...
[code]
begin
SetAVZGuardStatus(True);
SearchRootkit(true, true);
QuarantineFile('c:\windows\system32\drivers\new_drv.sys','');
DeleteFile('C:\WINDOWS\system32\cscu.dll');
DelCLSID('59B77E0C-0EC9-4CB9-98C0-B018354DAF82');
DeleteFile('c:\windows\system32\drivers\new_drv.sys');
BC_DeleteSvc('new_drv');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
пришлите каран тин согласно приложения 3 правил...
повторите лог в SAFE MODE
Если после скрипта V_Bond в карантин ничего не попадет,
то выполните мой.
Выполнить скрипт:
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
BC_QrFile('C:\windows\system32\drivers\new_drv.sys');
BC_DeleteFile('C:\windows\system32\drivers\new_drv.sys');
DeleteFile('C:\WINDOWS\system32\cscu.dll');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]
Загрузить карантин.
Профиксить в hijackthis:
[CODE]
O2 - BHO: (no name) - {59B77E0C-0EC9-4CB9-98C0-B018354DAF82} - C:\WINDOWS\system32\cscu.dll (file missing)
O16 - DPF: {33331111-1111-1111-1111-611111193423} -
O16 - DPF: {33331111-1111-1111-1111-615111193427} -
O16 - DPF: {E cellSpacing=5 cellPadding=3 width=400} -
[/CODE]
уберите карантин из темы ... не положено ... к тому же он старый ... и там ничего интересного ...
давайте новый лог ...
1.Выполнил скрипт,
2.пофиксил (не нашел строку O2 - BHO: (no name) - {59B77E0C-0EC9-4CB9-98C0-B018354DAF82} - C:\WINDOWS\system32\cscu.dll (file missing))
беспокоит (может зря) что avp.exe присутствует дважды в процессах под SYSTEM и именем пользователя
нужен лог AVZ в SAFE MODE
[quote=V_Bond;154151]нужен лог AVZ в SAFE MODE[/quote]
как это сделать?запустить сканирование AVZ в SAFE MODE?
AVP бывает и трижды в процессах может присутствовать. Это нормально.
[quote]как это сделать?запустить сканирование AVZ в SAFE MODE?[/quote]
[url]http://virusinfo.info/showthread.php?t=10387[/url]
запустил сканирование AVZ в SAFE MODE
вот что получилось:
все что хотели убрать -убрали ....
какие-то проблемы остались ? ....