Printable View
AVAST обнаруживает его после загрузки компа в c:\windows\system32... удаляет... он появляется один раз снова в c:\windows\system32, AVAST его опять удаляет, затем он тут же восстанавливается НО уже в Local Settings, и опять 2 раза, затем не появляется до следующей перезагрузки компьютера.
Не выводится ничем.
HELP !!!!!
[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните[/URL] скрипт в AVZ[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
QuarantineFile('C:\Documents and Settings\LocalService\Local Settings\Application Data\cftmon.exe','');
QuarantineFile('C:\WINDOWS\system32\_svchost.exe','');
QuarantineFile('c:\windows\vm305_sti.exe','');
QuarantineFile('c:\windows\system32\drivers\spool.exe','');
DeleteFile('c:\windows\system32\drivers\spool.exe');
DeleteFile('C:\WINDOWS\system32\_svchost.exe');
DeleteFile('C:\WINDOWS\System32\drivers\protect.sys');
DeleteFile('C:\Documents and Settings\LocalService\Local Settings\Application Data\cftmon.exe');
DeleteService('protect');
DeleteService('Schedule');
DeleteService('Microsoft P2P2 Service');
BC_ImportALL;
BC_Activate;
ExecuteSysClean;
RebootWindows(true);
end.[/CODE]Загрузите карантин согласно приложению №3 правил.
AVZ => Файл => Мастер поиска и устранения проблем. Категория проблемы - поставьте "Системные проблемы", степень опасности - "Все проблемы". Нажмите "Пуск". Всё найденное следует пометить и пофиксить. Данную операцию повторить для категории "Настройки и твики браузера".
Повторите логи.
Ваш антивирус не обеспечивает должного уровня защиты. Если есть возможность, используйте один из [url=http://virusinfo.info/showthread.php?t=1550]рекомендованных нами продуктов[/url].
Скрипт выполнил. Вроде msftp.dll перестал загружаться
Карантин загрузил.
Логи прилагаю.
Всё равно остаётся смутное ощущение что победа не полная....
Файл cftmon.exe лежит также и в другой папке, помимо той, из которой его удалил скрипт.
А при запуске компа, когда уже загрузились почти, если быстренько включить FAR, то в командной строке возникает много раз повторяющееся слово testtesttesttest = я до клавы при этом не дотрагиваюсь разумеется.
[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните[/URL] скрипт в AVZ[CODE]begin
BC_DeleteSvc('FCI');
BC_Activate;
RebootWindows(true);
end.[/CODE]Повторите логи.
В логах чисто (за исключением того FCI :)).
[quote]Файл cftmon.exe лежит также и в другой папке[/quote]
Удалите его.
[quote]в командной строке возникает много раз повторяющееся слово testtesttesttest [/quote]
Это проделки AVZ. Выполните Стандартный скрипт #6.
IMHO, стоит подумать о замене Аваста на что-нибудь более серьезное.
Рекомендуется отключить все что вам не нужно из этого списка:
[code]
>> Службы: разрешена потенциально опасная служба RemoteRegistry (Remote Registry)
>> Службы: разрешена потенциально опасная служба TermService (Terminal Services)
>> Службы: разрешена потенциально опасная служба SSDPSRV (SSDP Discovery Service)
>> Службы: разрешена потенциально опасная служба mnmsrvc (NetMeeting Remote Desktop Sharing)
>> Службы: разрешена потенциально опасная служба RDSessMgr (Remote Desktop Help Session Manager)
>> Безопасность: разрешен автозапуск программ с CDROM
>> Безопасность: разрешен административный доступ к локальным дискам (C$, D$ ...)
>> Безопасность: к ПК разрешен доступ анонимного пользователя
[/code]
[quote=Maxim;186606][URL="http://virusinfo.info/showthread.php?t=7239"]Выполните[/URL] скрипт в AVZ[code]begin
BC_DeleteSvc('FCI');
BC_Activate;
RebootWindows(true);
end.[/code]Повторите логи.[/quote]
В процессе выполнения обнаружился вирус C:\WINDOWS\system32\Drivers\vdm3nzux.sys
логи сейчас
[QUOTE=dimbmw;186609]В процессе выполнения обнаружился вирус C:\WINDOWS\system32\Drivers\vdm3nzux.sys
логи сейчас[/QUOTE]Это не вирус, а драйвер AVZ.
Последние логи - посмотрите пожалуйста
[quote=Bratez;186607]Рекомендуется отключить все что вам не нужно из этого списка:
[code]
>> Службы: разрешена потенциально опасная служба RemoteRegistry (Remote Registry)
>> Службы: разрешена потенциально опасная служба TermService (Terminal Services)
>> Службы: разрешена потенциально опасная служба SSDPSRV (SSDP Discovery Service)
>> Службы: разрешена потенциально опасная служба mnmsrvc (NetMeeting Remote Desktop Sharing)
>> Службы: разрешена потенциально опасная служба RDSessMgr (Remote Desktop Help Session Manager)
>> Безопасность: разрешен автозапуск программ с CDROM
>> Безопасность: разрешен административный доступ к локальным дискам (C$, D$ ...)
>> Безопасность: к ПК разрешен доступ анонимного пользователя
[/code][/quote]
Я бы сделал с удовольствием это, если бы кто-то объяснил КАК :(
Вам знаком C:\WINDOWS\VM305_STI.EXE ?
[quote=Maxim;186620]Вам знаком C:\WINDOWS\VM305_STI.EXE ?[/quote]
Кажется это от web-камеры :?
[size="1"][color="#666686"][B][I]Добавлено через 3 минуты[/I][/B][/color][/size]
Посмотрите пожалуйста послединие логи (3-мя постами выше) - чисто ?
Чисто.
[quote=Maxim;186627]Чисто.[/quote]
Спасибо.
Уже сразу проверяю второй компьютер - строчка смутила:
O20 - Winlogon Notify: TPSvc - C:\WINDOWS\SYSTEM32\TPSvc.dll
Полный файл приложен.
Посмотрите плиз.
Для каждого компьютера своя тема, что бы мы не путались.