Проверка др вебом дала следующий результат:
trojan.pws.ldpinch.2526 - p423ck.exe
trojan.pws.ldpinch.2526 - lsass_dll[1].exe
worm.sifiliz - ormis[1].htm
trojan.spyblock - system101.#ll
backdoor.huai.576 - boy.exe
win32.HLLM.Reset - AUHook.dll
Логи прилагаются:
Пофиксите в HijackThis:
[code]
O2 - BHO: (no name) - {e3a729da-eabc-df50-1842-dfd682644311} - C:\WINDOWS\system32\mswapi.dll (file missing)
O4 - HKCU\..\Run: [lich] C:\lich.exe
[/code]
Выполните скрипт в AVZ:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\lich.exe','');
QuarantineFile('C:\WINDOWS\system32\mswapi.dll','');
QuarantineFile('C:\PROGRA~1\INSTAL~1\{BBE2F~1\setup.exe','');
DeleteFile('C:\WINDOWS\system32\mswapi.dll');
DeleteFile('C:\lich.exe');
DelBHO('{e3a729da-eabc-df50-1842-dfd682644311}');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]
Компьютер перезагрузится.
Пришлите карантин согласно приложению 3 правил.
Сделайте новые логи, начиная с п.10 правил.
Пароли все (почта,сайты, кошельки, аська) придется менять, скорее всего они ушли на сторону.
Карантин закачал:
Файл сохранён как 080110_231705_virus_4786fbd1d2263.zip
Размер файла 210489
MD5 127b664dd1aed05c0b2f78a504576ea7
Да, не обнаружилась строка в логе HijackThis:
O4 - HKCU\..\Run: [lich] C:\lich.exe
Еще подозрительны вот эти неизвестные параметры:
O17 - HKLM\..\Tcpip\Parameters: NameServer = 89.108.89.184
O17 - HKLM\..\Tcpip\Parameters: NameServer = 89.108.89.184
O17 - HKLM\..\Tcpip\Parameters: NameServer = 89.108.89.184
откуда они взялись?
Логи прилагаю:
это
O17 - HKLM\..\Tcpip\Parameters: NameServer = 89.108.89.184
как я понимаю ваш провайдер ....
[code]
role: AGAVA NOC
address: AGAVA JSC
address: Oruzheiniy per., 25/1, office 8
address: 125047 Moscow
address: Russia
phone: +7 495 4081790
phone: +7 495 4086755
fax-no: +7 495 4081790
[/code]
C:\PROGRA~1\INSTAL~1\{BBE2F~1\setup.exe - чистый
что из этого не нужно ...
[code]
>> Службы: разрешена потенциально опасная служба TermService (Службы терминалов)
>> Службы: разрешена потенциально опасная служба Alerter (Оповещатель)
>> Службы: разрешена потенциально опасная служба mnmsrvc (NetMeeting Remote Desktop Sharing)
>> Службы: разрешена потенциально опасная служба RDSessMgr (Диспетчер сеанса справки для удаленного рабочего стола)
> Службы: обратите внимание - набор применяемых на ПК служб зависит от области применения ПК (домашний, ПК в ЛВС компании ...)!
>> Безопасность: разрешен автозапуск программ с CDROM
>> Безопасность: разрешен административный доступ к локальным дискам (C$, D$ ...)
>> Безопасность: к ПК разрешен доступ анонимного пользователя
[/code]
в логах чисто ....
я могу точно сказать что это не наш провайдер :) тем более этот комп ходит в инет через шлюз на другом компе, который указан тут:
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = 169.254.20.172:80 и физически находится в Иркутске
попробую учетную запись сделать админской и проверить настройки tcp/ip видно они закреплены под этой учетной записью и под админом не меняются...
теперь по службам: в принципе ни одна не нужна
по безопасности: главное чтобы комп работал в сети (на нем есть общая папка)
выполните скрипт ...
[code]
begin
SetServiceStart('RDSessMgr', 4);
SetServiceStart('mnmsrvc', 4);
SetServiceStart('Alerter', 4);
SetServiceStart('TermService', 4);
RebootWindows(true);
end.
[/code]
скрипт выполнил, так что делать с
O17 - HKLM\..\Tcpip\Parameters: NameServer = 89.108.89.184?
изменил учетную запись на админа, но в настройках tcp/ip 89.108.89.184 не было...
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]7[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]