Trojan.Nsanti.Packed и др.

Printable View

16.01.2008, 20:57
AndreyM16

Trojan.Nsanti.Packed и др.

Подцепил недавно троян. Проверял DrWebом никакого эффекта. Не отображаются скрытые файлы и папки. SpIDer Guard при открытии из моего компьютера дисков все время лечит один и тот же файл
C:\Documents and Settings\Andrey\Local Settings\Temp\bh.dll - инфицирован Trojan.Nsanti.Packed

После лечения AVZ диски из мой компьютер вообще при щелчке не открываются, приходится вручную искать explorer. Помогите вылечить комп. Высылаю необходимые логи.
16.01.2008, 21:01
Макcим

[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните[/URL] скрипт в AVZ[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
QuarantineFile('C:\WINDOWS\system32\Filt\ASWFilt.dll','');
QuarantineFile('C:\WINDOWS\system32\amvo0.dll','');
DeleteFile('C:\WINDOWS\system32\amvo0.dll');
DeleteFile('C:\autorun.inf');
DeleteFile('E:\autorun.inf');
BC_ImportALL;
BC_Activate;
ExecuteSysClean;
ExecuteRepair(6);
ExecuteRepair(8);
RebootWindows(true);
end.[/CODE]Загрузите карантин согласно приложению №3 правил. Повторите логи.
16.01.2008, 21:40
AndreyM16

Огромное спасибо

Вроде сейчас все нормально. ОГРОМНОЕ СПАСИБО:biggrin:. Высылаю логи

Еще один вопрос. В одном из постов прочитал что троян мог попасть из флешки, подскажите что нужно сделать. Проверить флешку AVZ (удерживая Shift от автозапуска)?
16.01.2008, 21:49
V_Bond

отключите антивирус ...
выполните скрипт ...
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\WINDOWS\system32\amvo0.dll');
DeleteFile('C:\autorun.inf');
DeleteFile('E:\autorun.inf');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
повторите логи ...
16.01.2008, 22:06
AndreyM16

Выполнил, вот логи
16.01.2008, 22:17
V_Bond

вся компания на месте ....
отключите антивирус и фаервол ...
выполните скрипт ...
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\WINDOWS\system32\amvo0.dll');
DeleteFile('C:\autorun.inf');
DeleteFile('E:\autorun.inf');
DeleteFile('C:\n1deiect.com');
DeleteFile('C:\WINDOWS\system32\amvo0.bak');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
повторите логи....
16.01.2008, 22:41
AndreyM16

Вроде сейчас отключил в трее все что мог, мои логи
16.01.2008, 23:10
Макcим

[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните[/URL] скрипт в AVZ[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
DeleteFile('C:\WINDOWS\system32\amvo0.dll');
BC_DeleteFile('C:\WINDOWS\system32\amvo0.dll');
DeleteFile('C:\autorun.inf');
DeleteFile('E:\autorun.inf');
BC_DeleteFile('C:\autorun.inf');
BC_DeleteFile('E:\autorun.inf');
BC_Activate;
SysCleanAddFile('C:\WINDOWS\system32\amvo0.dll');
ExecuteSysClean;
RebootWindows(true);
end.[/CODE]Повторите логи.
16.01.2008, 23:31
AndreyM16

Мои логи. Что то не лечится?
16.01.2008, 23:35
V_Bond

попробуйте выполнить любой из скриптов в Safe mode ...
17.01.2008, 00:02
AndreyM16

Выполнил последний в Safe mode и потом HiJackThis в обычном режиме.
17.01.2008, 01:35
AndreyM16

Еще один вопрос? А логи которые я высылаю не старые?! Посмотрите пожалуйста.
17.01.2008, 01:37
V_Bond

старые ....
[code]
Сканирование запущено в 16.01.2008 20:23:57
[/code]
пошутили вы над нами ...
17.01.2008, 01:40
AndreyM16

А как в AVZ выполнить скрипт чтобы был создан лог или нужно повторно выполнить то что написано в правилах?

ИЗВИНИТЕ. Прогнал совсем.
17.01.2008, 01:50
V_Bond

да повторно все как вы делале в первом посте ...только ЗАНОВО ....
17.01.2008, 02:35
AndreyM16

Наконец-то получил новые логи(в прошлый раз все перепутал). Заливаю их.
17.01.2008, 02:54
V_Bond

в логах все нормально можно отключить лишнее из этого списка ...
>> Службы: разрешена потенциально опасная служба RemoteRegistry (Удаленный реестр)
>> Службы: разрешена потенциально опасная служба TermService (Службы терминалов)
>> Службы: разрешена потенциально опасная служба SSDPSRV (Служба обнаружения SSDP)
>> Службы: разрешена потенциально опасная служба Schedule (Планировщик заданий)
>> Службы: разрешена потенциально опасная служба mnmsrvc (NetMeeting Remote Desktop Sharing)
>> Службы: разрешена потенциально опасная служба RDSessMgr (Диспетчер сеанса справки для удаленного рабочего стола)
> Службы: обратите внимание - набор применяемых на ПК служб зависит от области применения ПК (домашний, ПК в ЛВС компании ...)!
>> Безопасность: разрешен автозапуск программ с CDROM
>> Безопасность: разрешен административный доступ к локальным дискам (C$, D$ ...)
>> Безопасность: к ПК разрешен доступ анонимного пользователя
>> Безопасность: Разрешена отправка приглашений удаленному помошнику
17.01.2008, 02:59
AndreyM16

Большое спасибо за помощь, наконец то избавился от этих троянов.