Avast заявил про neshta и несколько троянов и замолчал. 80avp08.com лезет в system32

Printable View

02.01.2008, 15:12
Yperite

Вложений: 3

Avast заявил про neshta и несколько троянов и замолчал. 80avp08.com лезет в system32

перед новым годом принес домой на флэшке какуюто дрянь. Антивирь, а именно Avast(база совсем свежая) заявил про neshta и несколько троянов и замолчал.
при включении компа експлорер пытается открыть для записи на всех дисках autorun.inf 80avp08.com и ntde1ect.com
естественно включен блокировшик аваста и я все запрещаю.

При попытке открыть диски D и E 80avp08.com пытается изменить
C:\windows\system32\wincab.sys
C:\windows\system32\amvo.exe
C:\windows\system32\amvo0.dll
--
C:\windows\system32\amvo9.dll
и создать в папке temp файл типа u7dj3lm.sys (название каждый раз разное)

При попытке открыть С ntde1ect.com пытается изменить
C:\windows\system32\wincab.sys
C:\windows\system32\avpo.exe
C:\windows\system32\avpo0.dll
--
C:\windows\system32\avpo9.dll
также пытется создать в папке temp файл типа u7dj3lm.sys (название каждый раз разное)
02.01.2008, 15:17
Макcим

[COLOR="Red"][B]Отключите восстановление системы![/B][/COLOR]

[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните[/URL] скрипт в AVZ[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
DelBHO('C5428486-50A0-4a02-9D20-520B59A9F9B3');
DelBHO('C5428486-50A0-4a02-9D20-520B59A9F9B2');
QuarantineFile('C:\Documents and Settings\Yperite\Local Settings\Temp\7.dll','');
QuarantineFile('C:\WINDOWS\system32\avpo.exe','');
QuarantineFile('C:\WINDOWS\system32\amvo.exe','');
QuarantineFile('C:\WINDOWS\EARTHV~1.SCR','');
QuarantineFile('C:\WINDOWS\system32\wincab.sys','');
DeleteFile('C:\WINDOWS\system32\wincab.sys');
DeleteFile('C:\WINDOWS\system32\amvo.exe');
DeleteFile('C:\WINDOWS\system32\avpo.exe');
DeleteFile('C:\Documents and Settings\Yperite\Local Settings\Temp\7.dll');
BC_ImportALL;
BC_Activate;
ExecuteSysClean;
RebootWindows(true);
end.[/CODE]Загрузите карантин по [URL="http://virusinfo.info/upload_virus.php?tid=15896"]этой[/URL] ссылке. Повторите логи.
02.01.2008, 21:32
Yperite

Вложений: 1

благодарю. карантин отправил логи прикрепил.

и к вопросу о восстановлении системы: это в принципе нужно включать, или можно так и оставить?
02.01.2008, 21:34
Макcим

Логов нужно 3 штуки :) Восстановление системы можно оставить отключенным. Толку от него ни какого.
02.01.2008, 21:35
Yperite

Вложений: 1

теперь точно прикрепил
02.01.2008, 21:41
Yperite

Вложений: 1

все, третий. сори за флуд
02.01.2008, 21:53
V_Bond

осталось убрать мусор ...
пофиксите ...
[code]
O2 - BHO: ShoppingReport - {100EB1FD-D03E-47FD-81F3-EE91287F9465} - C:\Program Files\ShoppingReport\Bin\2.0.26\ShoppingReport.dll (file missing)
O9 - Extra button: ShopperReports - Compare product prices - {C5428486-50A0-4a02-9D20-520B59A9F9B2} - C:\Program Files\ShoppingReport\Bin\2.0.26\ShoppingReport.dll (file missing)
O9 - Extra button: ShopperReports - Compare travel rates - {C5428486-50A0-4a02-9D20-520B59A9F9B3} - C:\Program Files\ShoppingReport\Bin\2.0.26\ShoppingReport.dll (file missing)
[/code]
какие-то проблемы остались ?
02.01.2008, 22:03
Yperite

проблем нет. (надеюсь)
все сделано весьма оперативно, что не может не радовать
02.01.2008, 22:07
V_Bond

можно закрыть потенциальные уязвимости ... что из этого используется ?
>> Службы: разрешена потенциально опасная служба RemoteRegistry (Удаленный реестр)
>> Службы: разрешена потенциально опасная служба TermService (Службы терминалов)
>> Службы: разрешена потенциально опасная служба SSDPSRV (Служба обнаружения SSDP)
>> Службы: разрешена потенциально опасная служба Schedule (Планировщик заданий)
>> Службы: разрешена потенциально опасная служба mnmsrvc (NetMeeting Remote Desktop Sharing)
>> Службы: разрешена потенциально опасная служба RDSessMgr (Диспетчер сеанса справки для удаленного рабочего стола)
> Службы: обратите внимание - набор применяемых на ПК служб зависит от области применения ПК (домашний, ПК в ЛВС компании ...)!
>> Безопасность: разрешен автозапуск программ с CDROM
>> Безопасность: разрешен административный доступ к локальным дискам (C$, D$ ...)
>> Безопасность: к ПК разрешен доступ анонимного пользователя
22.02.2009, 03:17
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]18[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\documents and settings\\yperite\\local settings\\temp\\7.dll - [B]Rootkit.Win32.Vanti.gv[/B] (DrWEB: Trojan.PWS.Gamania.5967)[*] c:\\program files\\seekmo\\bin\\10.0.406.0\\hostoe.dll - [B]not-a-virus:AdWare.Win32.HotBar.ck[/B] (DrWEB: Adware.Zango.82)[*] c:\\windows\\system32\\amvo.exe - [B]Worm.Win32.AutoRun.blj[/B] (DrWEB: Trojan.MulDrop.6474)[*] c:\\windows\\system32\\avpo.exe - [B]Worm.Win32.AutoRun.km[/B] (DrWEB: Win32.HLLW.Autoruner.437)[/LIST][/LIST]