Printable View
У меня установлен Антивирус Касперского 6 ,он находит этот вирус (обнаружено: троянская программа Trojan.Win32.BHO.abo Файл: C:\WINDOWS\system32\adpti.dll/PE_Patch.UPX/UPX ), но лечить и удалить не может.:blink:
Видел тему как вы помогали с этим трояном уже кому-то, поможите и мне пожалста!
Best regards
Sergio F.
Вот такой наборчик получился:
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\drivers\eyprbyjv.dat','');
QuarantineFile('C:\WINDOWS\system32\dllcache\winlogon.exe','');
QuarantineFile('C:\WINDOWS\system32\DRIVERS\lirsgt.sys','');
QuarantineFile('C:\WINDOWS\system32\Mouse.dll','');
QuarantineFile('C:\WINDOWS\system32\Mousexp.exe','');
DelBHO('{262671F4-D2C8-44DD-865E-365E3B15BEF3}');
QuarantineFile('C:\WINDOWS\system32\adpti.dll','');
QuarantineFile('C:\Payment5\update.exe','');
QuarantineFile('C:\WINDOWS\system32\ntos.exe','');
DeleteFile('C:\WINDOWS\system32\ntos.exe');
BC_DeleteFile('C:\WINDOWS\system32\ntos.exe');
DeleteFile('C:\WINDOWS\system32\adpti.dll');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]
Выполнить скрипт, загрузить карантин по ссылке вверху темы.
Сделать новые логи.
Написал как вы предложили скрипт, потом проверяю на синтаксис,а он ругается на запятые и закрывающую скобку в конце строк 4,5,6,7,8,10,11,12.
Я их убрал,но он выдает новую фигню,мол "Not enough actual parameters в позиции 4:16"
Что же мне дальше делать?:unsure:
В скрипте ошибок нет. Попробуйте заново скопировать.
Действительно все верно в скрипте.Только я забыл отключить Каспера когда выполнял скрипт.Вот файлы.
Я надеюсь логи сами перезаписались,после очередной проверки,потому как сам я ничего не подчищал.
[b]Rootkit.Win32.Agent.ql[/b] C:\WINDOWS\system32\drivers\eyprbyjv.dat
Чистые:
C:\WINDOWS\system32\Mouse.dll
C:\WINDOWS\system32\DRIVERS\lirsgt.sys
C:\WINDOWS\system32\Mousexp.exe
C:\Payment5\update.exe
Выполните
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
DeleteFile('C:\WINDOWS\system32\drivers\eyprbyjv.dat');
BC_ImportDeletedList;
BC_DeleteFile('C:\WINDOWS\system32\drivers\eyprbyjv.dat');
BC_DeleteSvc('hhdxcrom');
BC_Activate;
ExecuteSysClean;
RebootWindows(true);
end.[/code]
Вроде троян удалил.Но после выполнения скрипта система подвисла,пришлось через экстренное выключение компа перезагружаться.После перезагрузки Каспер выдал мессагу о "обнаружен троянская программа Rootkit.Win32.Agent.ql Файл: D:\avz4\Quarantine\2007-12-27\avz00002.dta" , я его удалил и все.
Кстати, так должно быть,что файл карантина заражен был?
Карантин содержит в себе зловред, но модифицирует его таким образом, чтобы он не мог запуститься :smile: В общем - все нормально...
Что из этого не нужно?
>> Службы: разрешена потенциально опасная служба RemoteRegistry (Удаленный реестр)
>> Службы: разрешена потенциально опасная служба TermService (Службы терминалов)
>> Службы: разрешена потенциально опасная служба SSDPSRV (Служба обнаружения SSDP)
>> Службы: разрешена потенциально опасная служба Schedule (Планировщик заданий)
>> Службы: разрешена потенциально опасная служба mnmsrvc (NetMeeting Remote Desktop Sharing)
>> Службы: разрешена потенциально опасная служба RDSessMgr (Диспетчер сеанса справки для удаленного рабочего стола)
> Службы: обратите внимание - набор применяемых на ПК служб зависит от области применения ПК (домашний, ПК в ЛВС компании ...)!
>> Безопасность: разрешен автозапуск программ с CDROM
>> Безопасность: разрешен административный доступ к локальным дискам (C$, D$ ...)
>> Безопасность: к ПК разрешен доступ анонимного пользователя
>> Безопасность: Разрешена отправка приглашений удаленному помошнику
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]21[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\windows\\system32\\drivers\\eyprbyjv.dat - [B]Rootkit.Win32.Agent.tw[/B] (DrWEB: Trojan.NtRootKit.511)[/LIST][/LIST]