не удается просканировать

Проблема в том что день назад 1 комп начал ломиться на большое количество ip по различным портам и вешал мне фаервол......

Полечив диски McAfee не получил желаемого результата...
Проверил с помошью AVZ систему получил результат что подозрительный _svchost .... на этом работа с компом была завершена, но ломиться по портам на ip он продолжал.....

на следующий день этот комп не проявлял такой агрессии по отношению к портам за что был выпущен в интернет...... но через какое-то время начал жестко юзать 25 порт по многим ip......

Продолжительние попытки полечить систему не увенчались успехом...... а AVZ стал выходить из под пользователя при сканировании..... поэтому у меня не создается лог....

Что делать????

[QUOTE=IRBIS;185102]у меня не создается лог....
Что делать????[/QUOTE]
что все три ?

а нам логи нужnы из под админа, и сканировать не нaдо- скрипты сами всё сделают.
Если не выходит, то переименовать avz. Опять не выходит- avptool

Короче вот все что удалось выжать из компа даже при переименнованном ехе он первый скрипт не дорабатвает и лог не создается перезагрузил комп. 2 других вкладываю....

[b]Отключите восстановление системы![/b]
Пофиксите в HijackThis:
[code]
O20 - AppInit_DLLs: C:\WINDOWS\system32\mmmqzhqz.dll
O20 - Winlogon Notify: LogCrypt - C:\WINDOWS\SYSTEM32\LogCrypt.dll
O20 - Winlogon Notify: partnershipreg - C:\Documents and Settings\All Users\Документы\Settings\partnership.dll
[/code]
Выполните скрипт в AVZ:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
StopService('Xej27');
SetServiceStart('Xej27', 4);
StopService('Rhf27');
SetServiceStart('Rhf27', 4);
QuarantineFile('C:\WINDOWS\system32\_svchost.exe','');
QuarantineFile('C:\WINDOWS\system32\Drivers\Xej27.sys','');
QuarantineFile('C:\WINDOWS\system32\Drivers\Rhf27.sys','');
QuarantineFile('C:\WINDOWS\system32\mmmqzhqz.dll','');
QuarantineFile('C:\WINDOWS\system32\LogCrypt.dll','');
QuarantineFile('C:\Documents and Settings\All Users\Документы\Settings\partnership.dll','');
DeleteFile('C:\Documents and Settings\All Users\Документы\Settings\partnership.dll');
DeleteFile('C:\WINDOWS\system32\LogCrypt.dll');
DeleteFile('C:\WINDOWS\system32\mmmqzhqz.dll');
DeleteFile('C:\WINDOWS\system32\Drivers\Rhf27.sys');
DeleteFile('C:\WINDOWS\system32\Drivers\Xej27.sys');
DeleteFile('C:\WINDOWS\system32\_svchost.exe');
BC_ImportALL;
ExecuteSysClean;
BC_DeleteSvc('Xej27');
BC_DeleteSvc('Rhf27');
BC_Activate;
RebootWindows(true);
end.[/code]
Компьютер перезагрузится.
Пришлите карантин согласно приложению 3 правил
(загружать тут: [url]http://virusinfo.info/upload_virus.php?tid=17756[/url]).
Сделайте новые логи.

Спасибо комп перестал ломиться на порты.... карантин выслал, щас буду делать логи заново....

Вобщем опишу ситуацию которая последовала за чудесным излечением......

У меня получилось слеать лог описаный в 8 пункте после чего комп перезагрузили и вошли под другой учетной записью (это было необходимо) (в это время меня уже не было рядом с компом)

На следующий день (тоесть сегодня) обноружилось что комп методично опять стучиться по портам. но я выпонил 2 скрипт, и проверку 2 программой.

Высылаю эти файлы.......

Щас поставил выполняться скрипт из п.8. так что вот.......
Впервые на такое натыкаюсь.....

virusinfo_cure.zip - из темы убрать - это карантин
выполните скрипт ...
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
StopService('Xej27');
SetServiceStart('Xej27', 4);
StopService('Rhf27');
SetServiceStart('Rhf27', 4);
DeleteFile('C:\Documents and Settings\All Users\Документы\Settings\partnership.dll');
DeleteFile('C:\WINDOWS\system32\LogCrypt.dll');
DeleteFile('C:\WINDOWS\system32\Drivers\Rhf27.sys');
DeleteFile('C:\WINDOWS\system32\Drivers\Xej27.sys');
DeleteFile('C:\WINDOWS\system32\_svchost.exe');
BC_ImportALL;
ExecuteSysClean;
BC_DeleteSvc('Xej27');
BC_DeleteSvc('Rhf27');
BC_DeleteSvc('Microsoft P2P2 Service');
BC_Activate;
RebootWindows(true);
end.
[/code]
пофиксите ....
[code]
O20 - Winlogon Notify: LogCrypt - C:\WINDOWS\SYSTEM32\LogCrypt.dll
O20 - Winlogon Notify: partnershipreg - C:\Documents and Settings\All
Users\Документы\Settings\partnership.dll
[/code]
повторите логи ....

Выполнил указания просканил систему скриптом.получил 1 лог. после перезагрузки при попытке создать 2 лог.. система перезагружалась. выполнил несколько попыток, потом переименовал avptool обратно в avz создал второй лог и третий соответственно вывсылаю....

Все опять на месте. У вас появлялось сообщение "Скрипт выполнен без ошибок", или резко происходила перезагрузка?

Сейчас напишу лечение другим способом....

[size="1"][color="#666686"][B][I]Добавлено через 7 минут[/I][/B][/color][/size]

Выполните такой скрипт:
[code]
begin
ClearQuarantine;
RegKeyIntParamWrite('HKLM', 'SYSTEM\CurrentControlSet\Hardware Profiles\0001\System\CurrentControlSet\Enum\ROOT\LEGACY_Xej27\0000', 'CSConfigFlags', '1');
RegKeyIntParamWrite('HKLM', 'SYSTEM\CurrentControlSet\Hardware Profiles\0001\System\CurrentControlSet\Enum\ROOT\LEGACY_Rhf27\0000', 'CSConfigFlags', '1');
BC_QrFile('C:\WINDOWS\System32\drivers\Xej27.sys');
BC_QrFile('C:\WINDOWS\System32\drivers\Rhf27.sys');
BC_DeleteSvc('Xej27');
BC_DeleteFile('C:\WINDOWS\System32\drivers\Xej27.sys');
BC_DeleteSvc('Rhf27');
BC_DeleteFile('C:\WINDOWS\System32\drivers\Rhf27.sys');
BC_LogFile(GetAVZDirectory + 'boot_clr.log');
BC_Activate;
RebootWindows(true);
end.[/code]
Пришлите карантин по правилам.
Прикрепите файл boot_clr.log из папки с AVZ.

Блин у меня нет слов....... послек того как выполнил этот скрипт комп перезагрузился и теперь перезагружается не доходя до загрузки винды..................

попробуйте последнюю удачную загрузка ....

к сожалению он не доходит ни до чего, где-то 3-5 секунд и ребут максимум в биос могу войти и все......

перед загрузкой нажмите F8 - выбрать последнюю удачную конфигурацию ...

Щелкайте F8 сразу после включения - должно выскочить меню вариантов загрузки, где Безопасный режим и т.п., выберите "Загрузка последней удачной конфигурации".

да блин я щелкаю ф8 а он мне предлагает с чего загружаться флопик или сидюк или жесткий выбираю жесткий перезагрузка.......

[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]

а фух алилуя после того как выбрал загрузку щелкнул еще раз ф8 загрузился....... спасибо.......все делаю бэкап......а то что-то забыл..... :( :)

[size="1"][color="#666686"][B][I]Добавлено через 23 минуты[/I][/B][/color][/size]

честно говоря я лога ни нашел....поставил поиск по диску с тоже нет..... такого лога (Прикрепите файл boot_clr.log из папки с AVZ.)

Попробуем такой скрипт:
[code]
begin
RegKeyParamDel('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Services\Xej27', 'Start');
RegKeyParamDel('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Services\Rhf27', 'Start');
RebootWindows(true);
end.[/code]
После перезагрузки повторите только лог syscheck.

Что самое смешное что ни чего не изменилось комп продолжает ломиться......на 25 порт......

высылаю лог скрипт нормально отработал

Однако, одного из двух главных злодеев мы все-таки вырубили!
Теперь выполните этот скрипт:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
StopService('Rhf27');
SetServiceStart('Rhf27', 4);
DeleteFile('C:\Documents and Settings\All Users\Документы\Settings\partnership.dll');
DeleteFile('C:\WINDOWS\system32\LogCrypt.dll');
DeleteFile('C:\WINDOWS\system32\Drivers\Rhf27.sys');
DeleteFile('C:\WINDOWS\system32\Drivers\Xej27.sys');
DeleteFile('C:\WINDOWS\system32\_svchost.exe');
BC_ImportALL;
ExecuteSysClean;
BC_DeleteSvc('Xej27');
BC_DeleteSvc('Rhf27');
BC_DeleteSvc('Microsoft P2P2 Service');
BC_Activate;
RebootWindows(true);
end.[/code]
и снова лог syscheck.