Printable View
Целый день уже воюю с вирусами. Началось с того, что интернет эксплорер периодически выдавал экран с сообщением "порно управляет вашим пк" и предложением установить что-то очень полезное. CureIt нашел и вычистил множество вирусов, но после перезагрузки часть из них упорно возвращается. Лог AVZ с лечением получить не смог - во время лечения компьютер уходит в перезагрузку. Остальные логи прилагаю.
Если кто поможет, буду очень признателен.
P.S. На компьютере в WinXP 4 пользователя. Может быть вирусы восстанавливаются при логоне другим юзером?
Выполните скрипт в AVZ:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\System32\ntos.exe','');
QuarantineFile('C:\WINDOWS\System32\antiav_exe.exe','');
QuarantineFile('C:\WINDOWS\System32\DRIVERS\smtpdrv.sys','');
QuarantineFile('C:\WINDOWS\System32\drivers\mnnphn.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Epu51.sys','');
DeleteFile('C:\WINDOWS\System32\Drivers\Epu51.sys');
DeleteFile('C:\WINDOWS\System32\DRIVERS\smtpdrv.sys');
DeleteFile('C:\WINDOWS\System32\antiav_exe.exe');
DeleteFile('C:\WINDOWS\System32\ntos.exe');
DelBHO('{07B18EA9-A523-4961-B6BB-170DE4475CCA}');
DelBHO('{07B18EA1-A523-4961-B6BB-170DE4475CCA}');
DelBHO('{00A6FAF1-072E-44cf-8957-5838F569A31D}');
BC_ImportALL;
BC_DeleteSvc('smtpdrv');
BC_DeleteSvc('Epu51');
ExecuteSysClean;
ExecuteRepair(16);
BC_Activate;
RebootWindows(true);
end.[/code]
Компьютер перезагрузится.
Пришлите карантин согласно приложению 3 правил.
Выполнено. Карантин выслал:
Файл сохранён как 080106_184018_virus_478174f21521a.zip
Размер файла 370235
MD5 581af4629f664a3bcaf52848206d4110
На всякий случай повторил логи. Лечение снова привело к перезагрузке при сканировании (п.3). Остальные 2 лога приложил.
Выполните скрипт:
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
DelBHO('5DF6AFEE-2291-4041-9A74-354624861746');
QuarantineFile('C:\WINDOWS\System32\judgemq.dll','');
QuarantineFile('C:\WINDOWS\System32\DRIVERS\secdrv.sys','');
QuarantineFile('C:\WINDOWS\System32\FreezeScreenSaver.exe','');
DeleteFile('C:\WINDOWS\System32\judgemq.dll');
BC_ImportAll;
BC_QrFile('C:\WINDOWS\System32\DRIVERS\secdrv.sys');
BC_QrFile('C:\WINDOWS\System32\drivers\mnnphn.sys');
BC_Activate;
ExecuteSysClean;
RebootWindows(true);
end.[/code]
Карантин опять пришлите...
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)
Пора бы ставить SP2
Во время выполнения скрипта видел сообщения об ошибках записи в карантин. То что записалось выслал:
Файл сохранён как 080107_035209_virus_4781f649968ed.zip
Размер файла 399202
MD5 c56ccdaa1852a0010320f57c0b80a33d
C:\WINDOWS\System32\drivers\mnnphn.sys [B]Trojan.Win32.KillAV.ne[/B]
C:\WINDOWS\System32\ntos.exe[B] Trojan-Spy.Win32.Broker.ap[/B]
C:\WINDOWS\System32\FreezeScreenSaver.exe -чистый
выполните скрипт ...
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
DeleteFile('C:\WINDOWS\System32\drivers\mnnphn.sys');
BC_ImportDeletedList;
BC_DeleteSvc('MCIDRV_2600_6_0');
BC_Activate;
ExecuteSysClean;
RebootWindows(true);
end.
[/code]
повторите логи ...
Скрипт выполнен. Лог лечения и проверки опять не получил из-за перезагрузки. Остальные вот:
деинсталируйте ваш антивирус .... и сделайте новые логи ....
После деинсталляции антивируса все-равно перезагрузка на лечении AVZ. Перенес папку при сканировании которой была перезагрузка в корень, сканирование прошло нормально - может, пути были слишком длинные? Только AVZ нашла карантин, который сделал CureIt и отругалась на все эти файлы. Логи прилагаются.
Пофиксите в HijackThis строчку:
[code]O9 - Extra button: (no name) - {8DAE90AD-4583-4977-9DD4-4360F7A45C74} - (no file)[/code]
Очистите папку [b]C:\WINDOWS\Temp[/b]
Больше ничего плохого не видно.
Ставьте SP2 чем скорее тем лучше, а то скоро опять к нам вернетесь ;).
Спасибо. Постараюсь найти и установить SP2. Надеюсь, на этом проблемы исчерпаются.
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]25[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\windows\\system32\\drivers\\mnnphn.sys - [B]Trojan.Win32.KillAV.ne[/B] (DrWEB: Win32.Sector.4)[*] c:\\windows\\system32\\ntos.exe - [B]Trojan-Spy.Win32.Zbot.aay[/B] (DrWEB: Trojan.Proxy.2486)[/LIST][/LIST]