Printable View
Добрый день и снова..... c:\windows\system32\eq заражен Trojan-Downloader.BAT.Ftp.ab
Касперский через день его находит и в карантин его.....
и жутко ползет верх трафик.......>>>>>>>>>>>
Ссылка на прошлые мои лечения
[URL]http://virusinfo.info/showthread.php?t=16906&highlight=downloader[/URL]
Логи скидываю....
Выполните скрипт в AVZ:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\WinTcpips.exe','');
DeleteFile('C:\WINDOWS\system32\WinTcpips.exe');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]
Компьютер перезагрузится.
Пришлите карантин согласно приложению 3 правил
(загружать тут: [url]http://virusinfo.info/upload_virus.php?tid=17113[/url]).
Сделайте новые логи, начиная с п.10 правил.
Карантин отправила... Логи во вложении..
Карантин пуст. Уж не антивирус ли съел нашу добычу? ;)
Пофиксите в HijackThis:
[code]
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\program files\google\googletoolbar1.dll (file missing)
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar1.dll (file missing)
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKLM\..\Run: [Windows Services Aganter] WinTcpips.exe
O4 - HKLM\..\RunServices: [Windows Services Aganter] WinTcpips.exe
O4 - HKCU\..\Run: [Windows Services Aganter] WinTcpips.exe
O20 - Winlogon Notify: reset5 - C:\WINDOWS\SYSTEM32\reset5.dll
[/code]
Выполните скрипт в AVZ:
[code]
begin
RegKeyParamDel('HKEY_USERS', '.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run', 'Microsoft Winedows startup');
RegKeyParamDel('HKEY_USERS', '.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run', 'Windows Services Aganter');
RebootWindows(true);
end.[/code]
Компьютер перезагрузится.
Повторите два последних лога.
Пофиксила, скрипт в AVZ выполнила........:)))
Лови логи.......
Я понимаю, что сейчас ответите, что логи чистые....
Ну, да, вроде исходящий траффик уменьшился....
Но, где искать КОРЕНЬ ЗЛА......
И ведь действительно чистые ;) Только один ключик остался из-за неточности в скрипте. Я подправил, выполните еще раз скрипт из сообщения #4.
Посмотрите, нужно ли вам что-либо из этого:
[code]
>> Службы: разрешена потенциально опасная служба RemoteRegistry (Удаленный реестр)
>> Службы: разрешена потенциально опасная служба TermService (Службы терминалов)
>> Службы: разрешена потенциально опасная служба Schedule (Планировщик заданий)
>> Службы: разрешена потенциально опасная служба mnmsrvc (NetMeeting Remote Desktop Sharing)
>> Службы: разрешена потенциально опасная служба RDSessMgr (Диспетчер сеанса справки для удаленного рабочего стола)
> Службы: обратите внимание - набор применяемых на ПК служб зависит от области применения ПК (домашний, ПК в ЛВС компании ...)!
>> Безопасность: разрешен автозапуск программ с CDROM
>> Безопасность: разрешен административный доступ к локальным дискам (C$, D$ ...)
>> Безопасность: к ПК разрешен доступ анонимного пользователя
>> Безопасность: Разрешены терминальные подключения к данному ПК
>> Безопасность: Разрешена отправка приглашений удаленному помошнику
[/code]
Лишнее отключим.
И устаревший антивирус вам давно пора заменить на 7-ю версию.
Комп работает в корпоративной сети, оставьте необходимые для этого службы и безопасности, а лишнее отключите.
Насколько целесообразно менять AVKP версии 5.0.144 на свежую 7-ю версию или Aviru Antiviru, а может просто "свежего" доктора....:D
[QUOTE=Варвара;179897]Насколько целесообразно менять AVKP версии 5.0.144 на свежую 7-ю версию или Aviru Antiviru, а может просто "свежего" доктора....:D[/QUOTE]1. Устаревшую версию надо заменить, т.к. старый движок не может распознавать и побеждать новых зловредов.
2. Чем заменить - решайте после установки пробных версий. М.б. с нашей точки зрения лучший антивирус не подружится с Вашими рабочими приложениями и/или железом и будет только грузить систему.
[quote=Варвара;179897]Комп работает в корпоративной сети, оставьте необходимые для этого службы и безопасности, а лишнее отключите.
[/quote]
Напишите скрипт....... Так все-таки КАКОЙ антивирус???
[quote=Варвара;179897]Комп работает в корпоративной сети[/quote]
Тогда наверно стоит посоветоваться с вашим сисадмином.
[quote=Варвара;179897]
Насколько целесообразно менять AVKP версии 5.0.144 на свежую 7-ю версию или Aviru Antiviru, а может просто "свежего" доктора....:D[/quote]
Свежий Доктор или KAV 7 намного более "продвинуты", так что не сомневайтесь, меняйте.
а на каком fttp можно скачать 7-ю версию Каспера???
Посоветовалась с главным IT-инженером. Нужно закрыть все, кроме
>> Безопасность: разрешен автозапуск программ с CDROM
>> Безопасность: разрешен административный доступ к локальным дискам (C$, D$ ...)
>> Безопасность: к ПК разрешен доступ анонимного пользователя
[url]http://www.kaspersky.ru/trials[/url]
Вот скрипт для отключения ненужного:
[code]
begin
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Control\Terminal Server','fAllowToGetHelp', 0);
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Control\Terminal Server','fDenyTSConnections', 1);
SetServiceStart('RDSessMgr', 4);
SetServiceStart('mnmsrvc', 4);
SetServiceStart('Schedule', 4);
SetServiceStart('TermService', 4);
SetServiceStart('RemoteRegistry', 4);
RebootWindows(true);
end.[/code]
Благодарю........ и спокойной ночи..........
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]2[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]