При подключении флэшки к ноуту Семантик обнаружил вирус Hacktool.Rootkit в зараженном файле wincab.sys. Успешно был удален. При повторном включении ноута Семантик снова обнаружил Hacktool.Rootkit. удаляет его и уже зависает. Одновременно появляется сообщение об ошибке приложения amvo.exe: "Инструкция по адресу "0х10013f65" обратилась к памяти по адресу "0х00ff873a". Память не может быть "read".
Посоветуйте
Надо делать логи по правилам:
[url]http://virusinfo.info/showthread.php?t=1235[/url]
Если в нормальном режиме не получается, попробуйте в безопасном.
[QUOTE=M@xim;168895]
Посоветуйте[/QUOTE]
Советуем [URL="http://virusinfo.info/showthread.php?t=1235"]прочитать и в точности выполнить[/URL]. :xmas:
Ребята, все сделал по правилам, только случайно надавил сохранить сообщение до того как присоединил файлы. В режиме правки теперь не могу прикрепить подготовленные файлы. В ответ на загрузку файликов пишут вот это
[B]M@xim[/B], вы не имеете прав для доступа к этой странице. Это может быть вызвано несколькими причинами:
[LIST=1][*]Ваш аккаунт имеет недостаточно прав для доступа к этой странице. Вы пытаетесь редактировать чье-то сообщение, использовать административные полномочия или прочие опции ограниченного доступа?[*]Вы пытаетесь написать сообщение, но ваш аккаунт отключен администрацией или ожидает активации.[/LIST]
Заархивируйте логи в один архив и положите на [url]http://filehoster.ru/[/url]
Сделал.
Выполните скрипт в AVZ:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\Documents and Settings\Katya\Local Settings\Temp\help.exe','');
QuarantineFile('D:\autorun.inf','');
QuarantineFile('C:\autorun.inf','');
QuarantineFile('C:\WINDOWS\system32\wincab.sys','');
QuarantineFile('C:\WINDOWS\system32\amvo0.dll','');
QuarantineFile('C:\WINDOWS\system32\amvo.exe','');
DeleteFile('C:\WINDOWS\system32\amvo.exe');
DeleteFile('C:\WINDOWS\system32\amvo0.dll');
DeleteFile('C:\WINDOWS\system32\wincab.sys');
DeleteFile('C:\autorun.inf');
DeleteFile('D:\autorun.inf');
DeleteFile('C:\Documents and Settings\Katya\Local Settings\Temp\help.exe');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]
Компьютер перезагрузится.
Пришлите карантин согласно приложению 3 правил.
Сделайте новые логи.
Загрузил как надо.
Архив карантина выслал. Получили?
Да. ;)
AVZ - Сервис - Поиск файлов на диске, поищите [b]dosocom.com[/b]
Если найдется - пришлите экземпляр по правилам, у себя удалите.
[size="1"][color="#666686"][B][I]Добавлено через 2 минуты[/I][/B][/color][/size]
Сделайте новые логи.
Файл не нашелся. Прикрепляю логи после лечения. По моему все в порядке. А вы что скажете?
Все чисто.
Рекомендуется отключить все что вам не нужно из этого:
[code]
>> Службы: разрешена потенциально опасная служба RemoteRegistry (Удаленный реестр)
>> Службы: разрешена потенциально опасная служба TermService (Службы терминалов)
>> Службы: разрешена потенциально опасная служба SSDPSRV (Служба обнаружения SSDP)
>> Службы: разрешена потенциально опасная служба Schedule (Планировщик заданий)
>> Службы: разрешена потенциально опасная служба mnmsrvc (NetMeeting Remote Desktop Sharing)
>> Службы: разрешена потенциально опасная служба RDSessMgr (Диспетчер сеанса справки для удаленного рабочего стола)
>> Безопасность: разрешен автозапуск программ с CDROM
>> Безопасность: разрешен административный доступ к локальным дискам (C$, D$ ...)
>> Безопасность: к ПК разрешен доступ анонимного пользователя
>> Безопасность: Разрешена отправка приглашений удаленному помошнику
[/code]
[size="1"][color="#666686"][B][I]Добавлено через 4 минуты[/I][/B][/color][/size]
Включите в Проводнике показ скрытых и системных файлов, вставьте флэшку [b]удерживая клавишу Shift[/b], затем откройте щелчком в [b]левой[/b] части окна Проводника и удалите autorun.inf, dosocom.com и другие посторонние файлы.
Не работает крыжик на показ скрытых файлов. Ставлю показывать скрытые файлы, а возвращается в положение не показывать. Что делать?
AVZ - Файл - Восстановление системы - п.6 и 8 - Выполнить.
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]16[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\autorun.inf - [B]Trojan-GameThief.Win32.OnLineGames.mif[/B] (DrWEB: Win32.HLLW.Autoruner)[*] c:\\windows\\system32\\amvo.exe - [B]Worm.Win32.AutoRun.bnq[/B] (DrWEB: Win32.HLLW.Autoruner.1020)[*] c:\\windows\\system32\\amvo0.dll - [B]Worm.Win32.AutoRun.bnq[/B] (DrWEB: Trojan.PWS.Wsgame.2387)[*] d:\\autorun.inf - [B]Trojan-GameThief.Win32.OnLineGames.mif[/B] (DrWEB: Win32.HLLW.Autoruner)[/LIST][/LIST]