зверек завелся, не могу поймать за хвост.
интивирь не ловит.
svchost.exe ломится на адрес: 212.193.224.104 на все возможные порты.
в процессах AVZ на него ругается:
Обнаружена маскировка процесса 1288 c:\windows\system32\svchost.exe
1.4 Поиск маскировки процессов и драйверов
Маскировка процесса с PID=1288, имя = "svchost.exe", полное имя = "\Device\HarddiskVolume1\WINDOWS\system32\svchost.exe"
найти, где зверь запускается, не могу. в автозапуске всё просмотрел, глаза сломал :?
Нужны логи AVZ по правилам.
логи... кроме процитированного ничего подозрительного нет.
лог [I]Hijack[/I] я приложил по правилам.
[QUOTE=Кабанчик;157945]логи... кроме процитированного ничего подозрительного нет.
лог [I]Hijack[/I] [/QUOTE]
интересно .... почему вы так решили ?
выкладывайте ... будем смотреть есть там что-то подозрительное или нет ...
вот он, лог
C:\WINDOWS\system32\drivers\Haspnt.sys - ставил когда-то эмулятор хаспа
ccSetMgr.exe - антивирь
SPBBCSvc.exe - тоже он
ccEvtMgr.exe - тоже
DefWatch.exe - и он тоже
C:\Program Files\NETGEAR\SC101 Manager Utility\ZeteraService.exe - менеджер сетевого диска
Опасно - отладчик процесса "taskmgr.exe" = ""C:\PROGRAM FILES\надости\MS\PROCEXP.EXE"" - это программка проверенная для мониторинга процессов, synterial
вот эта зверушка мне покоя не дает:
>>>> Обнаружена маскировка процесса 544 c:\windows\system32\svchost.exe
1.4 Поиск маскировки процессов и драйверов
Маскировка процесса с PID=544, имя = "svchost.exe", полное имя = "\Device\HarddiskVolume1\WINDOWS\system32\svchost.exe"
не могу вычистить. в реестре такого пути нет. И это не системная переменнная. где искать?
Сэр, будьте любезны, прочитайте правила:
[url]http://virusinfo.info/showthread.php?t=1235[/url]
и сделайте так, как написано, иначе ничего не выйдет.
вот.
действительно, невнимательно прочитал.
Выполните скрипт в AVZ:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\mssrv32.exe','');
QuarantineFile('C:\WINDOWS\System32\Drivers\undongle.SYS','');
DeleteFile('C:\WINDOWS\system32\mssrv32.exe');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]
Компьютер перезагрузится.
Пришлите карантин согласно приложению 3 правил.
получилось!
спасибо огромное!
я вот никак понять не могу, откуда ниточку нашли?
что указывало именно на эти два файла? (третий файл в карантине, имхо, лишний, это мышиный драйвер А4, AVZ его за кейлоггер принимает)
вот по этой ссылке нужно загружать запрошенный карантин:
[url]http://virusinfo.info/upload_virus.php?tid=14982[/url]
не уж то нужно закончить университет чтоб это понять ?
mssrv32.exe - я ещё могу проследить, прямое чтение и тд
а вот как нашлась undongle.sys и зависимая служба hardlock ?
у меня никакого подозрения не вызвала.
[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]
прошу прощения. закрутился, опять невнимательно прочитал.
виноват.
исправляюсь.
mssrv32.exe - [b]Backdoor.Win32.Kbot.ac[/b]
undongle.SYS - в карантине отсутствует, хотя написано, что добавлен.
Отключите сеть и антивирус, выполните такой скрипт:
[code]
begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\Windows\System32\Drivers\undongle.SYS','');
QuarantineFile('F:\autorun.inf','');
BC_ImportQuarantineList;
BC_Activate;
RebootWindows(true);
end.[/code]
После перезагрузки сформируйте архив карантина согласно приложению 3 правил.
Только после этого включайте антивирус и сеть.
Загрузите новый карантин здесь: [url]http://virusinfo.info/upload_virus.php?tid=14982[/url]
понял, спасибо.
всё сделаю в понедельник, как доберусь до компьютера.
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]3[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\windows\\system32\\mssrv32.exe - [B]Backdoor.Win32.Kbot.ac[/B] (DrWEB: Trojan.MulDrop.8347)[/LIST][/LIST]