Printable View
Было несколько вирусов, в том числе те, которые характеризуются наличием файлов Beep.sys, mustafx.exe, kurva.dat и т.д. Файлы побил, но AVZ все равно находит кей-руты. Причем после каждой перезагрузки имя перехватчика меняется. Обычно оно имеет следующий вид sp??.sys Помогите добить гада.
Вашего руткита зовут DAEMON Tools :smile: В логах всё нормально. Что из этого нужно?[CODE]>> Службы: разрешена потенциально опасная служба RemoteRegistry (Удаленный реестр)
>> Службы: разрешена потенциально опасная служба TermService (Службы терминалов)
>> Службы: разрешена потенциально опасная служба SSDPSRV (Служба обнаружения SSDP)
>> Службы: разрешена потенциально опасная служба Schedule (Планировщик заданий)
>> Службы: разрешена потенциально опасная служба mnmsrvc (NetMeeting Remote Desktop Sharing)
>> Службы: разрешена потенциально опасная служба RDSessMgr (Диспетчер сеанса справки для удаленного рабочего стола)
>> Безопасность: разрешен автозапуск программ с CDROM
>> Безопасность: разрешен административный доступ к локальным дискам (C$, D$ ...)
>> Безопасность: к ПК разрешен доступ анонимного пользователя
>> Безопасность: Разрешена отправка приглашений удаленному помошнику[/CODE]
Большое Спасибо!
Косил я взглядом в его сторону, но не думал, что он так маскироваться будет.
Непонятно зачем?
А из потенциально опасных только автозапуск CD нужен.
Вот скрипт для отключения ненужного:
[code]
begin
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Control\LSA','RestrictAnonymous', 2);
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Control\Terminal Server','fAllowToGetHelp', 0);
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'System\CurrentControlSet\Services\LanmanServer\Parameters','AutoShareWks', 0);
SetServiceStart('RDSessMgr', 4);
SetServiceStart('mnmsrvc', 4);
SetServiceStart('Schedule', 4);
SetServiceStart('SSDPSRV', 4);
SetServiceStart('TermService', 4);
SetServiceStart('RemoteRegistry', 4);
RebootWindows(true);
end.[/code]
* Если есть локалка с общим доступом к файлам и принтерам, уберите первую строчку после begin.
на всякий случай вот эти найти ,скопировать и прислать :
C:\WINDOWS\system32\HOLIDA~1.SCR
C:\WINDOWS\system32\drivers\Beep.sys
C:\WINDOWS\system32\drivers\spyh.sys
C:\WINDOWS\system32\dllcache\fuurod.sys
трех файлов уже нет (spyh.sys каждый раз меняет название, beep.sys я уже удалил, fuurod.sys или подобный, который не давал запустить AVZ стал, похоже, жертвой самого AVZ, т.к. после первого же прохода AVZ стал запускаться без проблем). А HOLIDA~1.SCR был намеренно установлен. Спасибо за участие.