Printable View
Не могу запустить AVZ и CureIt при запуске AVZ пишет
Запрос ReadProcessMemory или WriteProcessMemory был выполнен только частично
AVG AntiSpyWare определяет
C:\WINDOWS\system32\24ff35e.exe -> Not-A-Virus.SpamTool.Win32.Agent.ej
файлы 24ff35e.exe изменяется только имя повторяется 200 раз
symantec тихо сдался на милость врагу одна надежда на virusinfo
[url]http://virusinfo.info/showthread.php?t=12591[/url]
протестировал, логи посылаю
выполните скрипт ....
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('c:\docume~1\admini~1\locals~1\temp\winlxrn.exe','');
QuarantineFile('c:\windows\system32\1d7dc.exe','');
DeleteFile('c:\windows\system32\1d7dc.exe');
DeleteFile('c:\docume~1\admini~1\locals~1\temp\winlxrn.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
пришлите карантин согласно приложеия 3 правил ...
повторите логи ...
Карантин залил, CureIt запустить так и не смог
Давайте свежие логи.
Свежие логи
отключите антивирус ... деинсталируйте антиспай ...
пофиксите ...
[code]
O3 - Toolbar: (no name) - {E0E899AB-F487-11D5-8D29-0050BA6940E3} - (no file)
O4 - HKLM\..\Run: [IpSec] C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\wineuje.exe
[/code]
выполните скрипт ...
[code]
begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\Program Files\Punto Switcher\ps.exe','');
QuarantineFile('C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\z9P563xv.sys','');
QuarantineFile('C:\WINDOWS\system32\sr763291.dll','');
QuarantineFile('c:\docume~1\admini~1\locals~1\temp\wineuje.exe','');
DeleteFile('c:\docume~1\admini~1\locals~1\temp\wineuje.exe');
DeleteFile('C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\z9P563xv.sys');
DeleteFile('C:\WINDOWS\system32\sr763291.dll');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
пришлите карантин согласно приложения 3 правил ...
повторите логи ...
карантин послал
вот логи
c:\docume~1\admini~1\locals~1\temp\wineuje.exe [B]Trojan-Downloader.Win32.Small.hyi [/B]
C:\WINDOWS\system32\svchost.exe - попробуйте скопировать в карантин авз ( сервис- поиск файлов на диске) если скопируется пришлите по правилам .
Пришлите по правилам файл C:\WINDOWS\system32\DRIVERS\tcpip.sys
что-то уж больно свежая у него дата...
C:\WINDOWS\system32\svchost.exe не копируется в карантин
[size="1"][color="#666686"][B][I]Добавлено через 8 минут[/I][/B][/color][/size]
C:\WINDOWS\system32\DRIVERS\tcpip.sys выслал
[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]
C:\WINDOWS\system32\svchost.exe по правилам тоже лезть в карантин не хочет
svchost.exe не копируется -это хорошо .... значит прошет по базе безопасных ...
tcpip.sys - чистый ...
Что делать дальше
при перезагрузке все равно пытается зарегистрироваться какоето оборудование
в диспетчере устройств есть знаки вопроса ?
да есть
на чем стоят знаки вопроса ?
нашел в regedite пишет активный сервис use4odkw
[size="1"][color="#666686"][B][I]Добавлено через 58 секунд[/I][/B][/color][/size]
[QUOTE=V_Bond;179403]на чем стоят знаки вопроса ?[/QUOTE]
неизвестное устройство
сделайте принтскрин диспетчера устройств ...
в avz в сервисах по анализу реестра есть строка MCIDRV_2600_6_0 ссылается на файл c:\windows\system32\drivers\qinolm.sys