Printable View
Система - w2k3 SP2. Terminal Services - использую.
Сначала был синий экран смерти, с ошбкой чего там _page_ и amon.sys (библиотечка нода). снес нод, сситема заработала, но через очень здорово вырос файл подкачки до 1.5. гига и в последстие памяти и дальше не хватало. Прошелся AVZ. Удалил w32sys15.exe. Вот что осталось. Ещё эта штука украла пароли от ФТП и внедрила некий код (см. cod.txt) в конец каждой страницы сайта. Помогите вылечить.
P.S. что за код такой, что делает?
Ваш код это [b]Trojan-Downloader.JS.Remora.bp[/b]
Восстановление системы: включено - отключить
[url=http://virusinfo.info/showthread.php?t=7239]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".[/url]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
ClearHostsFile;
QuarantineFile('C:\WINDOWS\system32\DefLib.sys','');
QuarantineFile('bootrom8.dll','');
QuarantineFile('C:\WINDOWS\system32\w32sys5.exe','');
QuarantineFile('C:\WINDOWS\system32\ntos.exe','');
DeleteFile('C:\WINDOWS\system32\ntos.exe');
DeleteFile('C:\WINDOWS\system32\w32sys5.exe');
BC_ImportAll;
BC_DeleteFile('C:\WINDOWS\system32\ntos.exe');
BC_DeleteFile('C:\WINDOWS\system32\DefLib.sys');
BC_DeleteSvc('Deflib');
BC_Activate;
ExecuteSysClean;
RebootWindows(true);
end.[/CODE]
После выполнения скрипта компьютер перезагрузится.
Прислать карантин согласно [b]приложения 3 [url=http://virusinfo.info/showthread.php?t=1235]правил [/url][/b].
Загружать по ссылке: [url]http://virusinfo.info/upload_virus.php?tid=16768[/url]
А восстановление как отключить не подскажите?
Посмотрите здесь [url]http://virusinfo.info/showthread.php?t=1235[/url]
смотрел, система windows 2k3 Server. Там ничего по нему нет
[size="1"][color="#666686"][B][I]Добавлено через 4 часа 5 минут[/I][/B][/color][/size]
А если без отключения восстановления системы попробовать, 100% троян возвратится?
Делайте без отключения.
отправил
В карантине:
ntos.exe - [b]Trojan-PSW.Win32.Zbot.ds[/b]
DefLib.sys - [b]Trojan.Win32.Agent.asu[/b]
w32sys5.exe - [b]Trojan-PSW.Win32.LdPinch.fbm[/b]
Пофиксите в HijackThis:
[code]
F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,C:\WINDOWS\system32\ntos.exe,C:\Documents and Settings\Administrator\Application Data\ntos.exe,
O20 - Winlogon Notify: bootrom8 - bootrom8.dll (file missing)
[/code]
Выполните скрипт в AVZ:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
ClearQuarantine;
QuarantineFile('C:\Documents and Settings\Administrator\Application Data\ntos.exe','');
DeleteFile('C:\Documents and Settings\Administrator\Application Data\ntos.exe');
DeleteFile('C:\WINDOWS\system32\ntos.exe');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]
Компьютер перезагрузится.
Пришлите карантин согласно приложению 3 правил
Сделайте новые логи.
F2 в HijackThis не нашел, карантин закачал 080122_172812_virus_47967c0c3c6ee.zip
Логи скоро будут
Логи с обновленными за сегодня базами
[b]Trojan-PSW.Win32.Zbot.ds[/b] C:\WINDOWS\system32\ntos.exe
[b]Trojan.Win32.Agent.asu[/b] C:\WINDOWS\system32\DefLib.sys
[b]Trojan-PSW.Win32.LdPinch.fbm[/b] C:\WINDOWS\system32\w32sys5.exe
Очистьте временные файлы IE, смените все пароли.
>> Internet Explorer - разрешено использование ActiveX, не помеченных как безопасные
Выполните:
[code]var
X : integer;
begin
X := ExecuteWizard('TSW', 1, 1, true);
AddToLog('Количество найденных проблем = '+inttostr(X));
end.[/code]
Какие проблемы остались?
Да вроде не осталось проблем.
Подозрительные объекты из отчета удалять(3 файла)?
[size="1"][color="#666686"][B][I]Добавлено через 1 час 11 минут[/I][/B][/color][/size]
Раз уж пометили, что все ок, то АП. Большое спасибо!
Подозрительные объекты из отчета удалять(3 файла)?
Нет, что нужно - мы удалили ;)
Не забудьте сменить пароли
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]13[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\windows\\system32\\deflib.sys - [B]Trojan.Win32.Agent.asu[/B] (DrWEB: Trojan.NtRootKit.312)[*] c:\\windows\\system32\\ntos.exe - [B]Trojan-Spy.Win32.Zbot.yq[/B] (DrWEB: Trojan.Proxy.2684)[*] c:\\windows\\system32\\w32sys5.exe - [B]Trojan-PSW.Win32.LdPinch.fbm[/B] (DrWEB: Trojan.PWS.LDPinch.4182)[/LIST][/LIST]