Printable View
Доброго времени суток. Отрубили интернет, оказалось что из-за вирусов. При попытке выполнить стандартный скрипт в AVZ компьютер просто сразу перезагружается (как только идет проверка руткитов - но это по моему наблюдению). Кроме того компьютер проверялся НОД-32, около 20 вирусов нашел. А также позволяет запустить AVZ в безопасном режиме - прикрепленные логи именно с такой проверки.
Cureit также не запускается.
:( вообщем плохие дела. Надеюсь на Вашу помощь.
Пофиксите [CODE]2 - REG:system.ini: Shell=Explorer.exe "C:\WINDOWS\KesenjanganSosial.exe"
O4 - HKCU\..\Run: [amva] C:\WINDOWS\system32\amvo.exe
[/CODE]
Выполните скрипт в безопасном режиме:
[CODE]begin
DeleteFile('C:\WINDOWS\KesenjanganSosial.exe');
DeleteFile('C:\Recycled\Recycled\ctfmon.exe');
DeleteFile('C:\Documents and Settings\Тамара\Главное меню\Программы\Автозагрузка\ctfmon.exe');
DeleteFile('C:\WINDOWS\system32\drivers\Oiwm60.sys');
DeleteFile('C:\Documents and Settings\Тамара\Шаблоны\7932-NendangBro.com');
DeleteFile('C:\WINDOWS\system32\amvo.exe');
DeleteFile('C:\WINDOWS\system32\Drivers\Jlcq52.sys');
ExecuteSysClean;
BC_ImportAll;
BC_Activate;
RebootWindows(true);
end.[/CODE]
После скрипта повторите логи.
Выкладываю логи после выполнения скриптов.
Восстановление системы: включено \отключить ....
выполните скрипт ...
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('H:\autorun.inf','');
QuarantineFile('E:\autorun.inf','');
QuarantineFile('D:\autorun.inf','');
QuarantineFile('C:\autorun.inf','');
QuarantineFile('C:\qd.cmd','');
QuarantineFile('C:\juok3st.bat','');
QuarantineFile('C:\m1t8ta.com','');
QuarantineFile('C:\d.com','');
QuarantineFile('C:\h.cmd','');
QuarantineFile('Jlcq52.sys','');
SetServiceStart('Jlcq52', 4);
DeleteService('Jlcq52');
DeleteFile('Jlcq52.sys');
DeleteFile('C:\d.com');
DeleteFile('C:\m1t8ta.com');
DeleteFile('C:\juok3st.bat');
DeleteFile('C:\qd.cmd');
DeleteFile('C:\autorun.inf');
DeleteFile('D:\autorun.inf');
DeleteFile('E:\autorun.inf');
DeleteFile('H:\autorun.inf');
BC_DeleteSvc('Jlcq52');
BC_ImportDeletedList;
ExecuteRepair(6);
ExecuteRepair(8);
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
пришлите карантин согласно приложения 3 правил ...
повторите логи ....
Восстановление отключила. Повторяю логи. Карантин выслала.
задания в планировщике ваши .... ?
Нет.
выполните скрипт ....
[code]
begin
SetAVZGuardStatus(True);
SearchRootkit(true, true);
QuarantineFile('C:\Documents and Settings\Тамара\Шаблоны\7932-NendangBro.com','');
DeleteFile('C:\Documents and Settings\Тамара\Шаблоны\7932-NendangBro.com');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
повторите логи ...
и меняйте пароли от всего что есть ... от аси пароли еще не ушли ?
Асей не пользуются. Остальные пароли вроде целы.
логи были успел посмотреть ...
пуск- панель управления - назначенные задания удалите все задания ....
"пароли целы" - это хорошо , но лучше заменить ...
больше не вижу ничего подозрительного ...
какие-то проблемы остались ?
восстановил.
Спасибо. Задания удалили...пароли сменим...
Компьютер ведет себя нормально. Интернет подрубили обратно - сказали, что антивирь у них автоматом отключает... комп в сети уже более часа..всё работает - так что думаю что всё почистили)))
Еще раз спасибо Вам огромное )
Чтобы уменьшить шанс заражения, на будущее :
1) Работать за компьютером с правами ограниченного пользователя.
2) Пользоваться для хождения по интернету альтернативным браузером [b]с отключёнными скриптами по умолчанию с лёгкостью разрешая доверенным сайтам выполнять скрипты [/b]([url=http://virusinfo.info/showthread.php?p=121290#post121290]Firefox[/url] это позволяeт делать в отличии от IE 7 ,6....)
3) Прочитать электронную книгу "Безопасный Интернет". Универсальная защита для Windows ME - Vista": [url]http://security-advisory.virusinfo.info/[/url]
Приму к сведению, спасибо. Видимо вирусы гуляли у нас по локалке. Только что обнаружися компьютер (у подруги ниже этажом) с абсолютно схожими "симптомами"...тоже отрубили от инета и перезагруз при попытке просканить антивирусом... Так что думаю завтра отсканить у нее с avz всё, и вновь с вашей помощью и ее комп в строй ввести :icon_smil
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]49[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\documents and settings\\радкевич\\local settings\\temp\\29.tmp - [B]Trojan.Win32.Pakes.brq[/B] (DrWEB: BackDoor.Bulknet.102)[*] c:\\h.cmd - [B]Trojan-GameThief.Win32.OnLineGames.qip[/B] (DrWEB: Trojan.MulDrop.6474)[*] c:\\program files\\rupass\\rupass.dll - [B]not-a-virus:AdWare.Win32.BitAccelerator.h[/B] (DrWEB: Trojan.BitAcc.5)[*] c:\\windows\\mmall.exe - [B]Trojan-Proxy.Win32.Wopla.ac[/B] (DrWEB: Trojan.DownLoader.36532)[*] c:\\windows\\system32\\drivers\\ctl_w32.sys - [B]Rootkit.Win32.Agent.pq[/B] (DrWEB: Trojan.NtRootKit.496)[*] c:\\windows\\system32\\drivers\\esb47.sys - [B]Rootkit.Win32.Agent.px[/B] (DrWEB: Trojan.Sentinel)[*] c:\\windows\\system32\\drivers\\lqv84.sys - [B]Trojan-Downloader.Win32.Mutant.aim[/B] (DrWEB: BackDoor.Bulknet.112)[*] c:\\windows\\system32\\drivers\\runtime2.sys - [B]Rootkit.Win32.Agent.pq[/B] (DrWEB: Trojan.NtRootKit.496)[*] c:\\windows\\system32\\drivers\\symavc32.sys - [B]Rootkit.Win32.Agent.px[/B] (DrWEB: Trojan.Sentinel)[*] c:\\windows\\system32\\mssrv32.exe - [B]Backdoor.Win32.Kbot.s[/B] (DrWEB: Trojan.MulDrop.8347)[*] c:\\windows\\system32\\search32.dll - [B]Trojan.Win32.StartPage.avw[/B] (DrWEB: Trojan.StartPage.20519)[*] c:\\windows\\temp\\arm3af3.tmp - [B]Trojan.Win32.Pakes.bpn[/B] (DrWEB: BackDoor.Bulknet)[*] c:\\windows\\temp\\arm6b18.tmp - [B]Trojan.Win32.Tiny.n[/B] (DrWEB: Trojan.Proxy.2752)[*] c:\\windows\\temp\\arm67b.tmp - [B]Trojan.Win32.Pakes.bpa[/B] (DrWEB: BackDoor.Bulknet.91)[*] c:\\windows\\temp\\startdrv.exe - [B]Trojan-Downloader.Win32.Diehard.cu[/B] (DrWEB: BackDoor.Bulknet.104)[/LIST][/LIST]