Невозможно удалить файлы из-за действия вируса

Printable View

25.01.2008, 11:32
mmv

Вложений: 2

Невозможно удалить файлы из-за действия вируса

Через флешку занесли вирус троян в компьютер.
Используя Regedit.exe вычистили зараженный каталог с файлами JambanMuV2.
Вирус посадил в запускаемые процессы два файла Flash.10.exe macromedia.10.exe.
Путем поиска в Regedite данные файлы не находятся. Drweb эти файлы как вирус не определяет,
однако хотелось бы от них избавиться,т.к при включении данного компьютера файл flash.10.exe,
находящийся в system32 сразу же цепляется на сетевой диск.
25.01.2008, 11:46
Bratez

Уберите файл virusinfo_cure.zip и загрузите его здесь:
[url]http://virusinfo.info/upload_virus.php?tid=16968[/url]
Логи сейчас гляну.

[size="1"][color="#666686"][B][I]Добавлено через 5 минут[/I][/B][/color][/size]

Отключите восстановление системы!
Выполните скрипт в AVZ:
[code]
begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\Program Files\Common Files\Microsoft Shared\DAO\MSN.msn','');
QuarantineFile('C:\WINDOWS\system32\Flash.10.exe','');
QuarantineFile('C:\Program Files\Common Files\Microsoft Shared\Macromedia.10.exe','');
DeleteFile('C:\Program Files\Common Files\Microsoft Shared\Macromedia.10.exe');
DeleteFile('C:\WINDOWS\system32\Flash.10.exe');
DeleteFile('C:\WINDOWS\system32\cmd.com');
DeleteFile('C:\WINDOWS\system32\dxdiag.com');
DeleteFile('C:\WINDOWS\system32\JambanMu.com');
DeleteFile('C:\WINDOWS\system32\msconfig.com');
DeleteFile('C:\WINDOWS\system32\ping.com');
DeleteFile('C:\WINDOWS\system32\regedit.com');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]
Компьютер перезагрузится.
Пришлите карантин согласно приложению 3 правил
(загружать тут: [url]http://virusinfo.info/upload_virus.php?tid=16968[/url]).
Обновите базы AVZ и сделайте новые логи.
25.01.2008, 15:09
mmv

Вложений: 2

Высылаю новые логи полученые после всех мероприятий, описанных выше
25.01.2008, 16:20
wise-wistful

C:\WINDOWS\system32\cmd.com, C:\WINDOWS\system32\dxdiag.com, C:\WINDOWS\system32\JambanMu.com, C:\WINDOWS\system32\msconfig.com, C:\WINDOWS\system32\ping.com, C:\WINDOWS\system32\regedit.com, C:\Program Files\Common Files\Microsoft Shared\DAO\MSN.msn, C:\WINDOWS\system32\Flash.10.exe, C:\Program Files\Common Files\Microsoft Shared\Macromedia.10.exe все [B]Trojan.Win32.VB.ayo[/B]
по поводу C:\WINDOWS\system32\spool\drivers\WIN40\0\brrbtool.exe - вирлаб ответил, что чистый.

Выполните в АВЗ

[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
TerminateProcessByName('c:\windows\system32\flash.10.exe');
DeleteFile('c:\windows\system32\flash.10.exe');
DeleteFile('C:\WINDOWS\system32\cmd.com');
DeleteFile('C:\WINDOWS\system32\dxdiag.com');
DeleteFile('C:\WINDOWS\system32\JambanMu.com');
DeleteFile('C:\WINDOWS\system32\msconfig.com');
DeleteFile('C:\WINDOWS\system32\ping.com');
DeleteFile('C:\WINDOWS\system32\regedit.com');
DeleteFile('C:\Program Files\Common Files\Microsoft Shared\Macromedia.10.exe');
DeleteFile('C:\Program Files\Common Files\Microsoft Shared\DAO\MSN.msn');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]

Повторите логи, а лог Хиджака где? Обновите базы АВЗ Файл--обновление баз, а то базы от [b]12.12.2007 10:43[/b], сегодня как-то не актуальны.
25.01.2008, 17:49
mmv

Вложений: 2

Выполнила скрипт и повторила лог, обновив базы. Файлы прилагаю
25.01.2008, 20:03
V_Bond

у вас нет прав администратора .... все бесполезно нужно зайти под админом ..
26.01.2008, 03:17
Bratez

Ну не то чтобы совсем бесполезно... Скрипт сделал свое дело, только логи ущербные получились. Отключите восстановление системы и ы выполните еще такой скрипт:
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\Program Files\Common Files\Microsoft Shared\Macromedia.10.bak');
DeleteFile('C:\WINDOWS\system32\flash.10.bak');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]
а затем сделайте все три лога по правилам.
Все это, разумеется, делать с правами администратора.
26.01.2008, 13:24
mmv

Вложений: 2

Провела полученные мероприятия под администратором.
Праттачиваю лог. В процессах злополученные файлы не обнаружены. Интересно всех ли зверьков прикончили?
26.01.2008, 13:33
Bratez

На этот раз чисто. Хотя лог HijackThis тоже бы не помешал.
Посмотрите, что из этого вам нужно:
[code]
>> Службы: разрешена потенциально опасная служба RemoteRegistry (Удаленный реестр)
>> Службы: разрешена потенциально опасная служба TermService (Службы терминалов)
>> Службы: разрешена потенциально опасная служба SSDPSRV (Служба обнаружения SSDP)
>> Службы: разрешена потенциально опасная служба TlntSvr (Telnet)
>> Службы: разрешена потенциально опасная служба Messenger (Служба сообщений)
>> Службы: разрешена потенциально опасная служба Alerter (Оповещатель)
>> Службы: разрешена потенциально опасная служба Schedule (Планировщик заданий)
>> Службы: разрешена потенциально опасная служба mnmsrvc (NetMeeting Remote Desktop Sharing)
>> Службы: разрешена потенциально опасная служба RDSessMgr (Диспетчер сеанса справки для удаленного рабочего стола)
>> Безопасность: разрешен автозапуск программ с CDROM
>> Безопасность: разрешен административный доступ к локальным дискам (C$, D$ ...)
>> Безопасность: к ПК разрешен доступ анонимного пользователя
>>> Безопасность: В IE разрешены автоматические запросы элементов управления ActiveX
>> Безопасность: Разрешена отправка приглашений удаленному помошнику
[/code]
Лишнее отключим.
22.02.2009, 03:39
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]3[/B][*]Обработано файлов: [B]23[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\program files\\common files\\microsoft shared\\dao\\msn.msn - [B]Trojan.Win32.VB.ayo[/B] (DrWEB: Win32.HLLW.Autoruner.197)[*] c:\\program files\\common files\\microsoft shared\\macromedia.10.exe - [B]Trojan.Win32.VB.ayo[/B] (DrWEB: Win32.HLLW.Autoruner.197)[*] c:\\windows\\system32\\cmd.com - [B]Trojan.Win32.VB.ayo[/B] (DrWEB: Win32.HLLW.Autoruner.197)[*] c:\\windows\\system32\\dxdiag.com - [B]Trojan.Win32.VB.ayo[/B] (DrWEB: Win32.HLLW.Autoruner.197)[*] c:\\windows\\system32\\flash.10.exe - [B]Trojan.Win32.VB.ayo[/B] (DrWEB: Win32.HLLW.Autoruner.197)[*] c:\\windows\\system32\\jambanmu.com - [B]Trojan.Win32.VB.ayo[/B] (DrWEB: Win32.HLLW.Autoruner.197)[*] c:\\windows\\system32\\msconfig.com - [B]Trojan.Win32.VB.ayo[/B] (DrWEB: Win32.HLLW.Autoruner.197)[*] c:\\windows\\system32\\ping.com - [B]Trojan.Win32.VB.ayo[/B] (DrWEB: Win32.HLLW.Autoruner.197)[*] c:\\windows\\system32\\regedit.com - [B]Trojan.Win32.VB.ayo[/B] (DrWEB: Win32.HLLW.Autoruner.197)[/LIST][/LIST]