Printable View
Доброго времени суток, наловили мои сметчики вирей, после очистки AVZ остались хвостики ..... вреда вроде нет, но клиент перегружается когда захочет + при подготовке лога syscure смог сделать только в safe mode ...выручайте уж очень неохота ось перебивать. Обращаюсь первый раз... так что если накосячил то sorry
не плохие "хвостики"
выполните скрипт .....
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
SetServiceStart('Iic34', 4);
SetServiceStart('Wej84', 4);
DeleteService('Wej84');
SetServiceStart('protect', 4);
DeleteService('protect');
QuarantineFile('C:\WINDOWS\System32\drivers\protect.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Wej84.sys','');
QuarantineFile('C:\WINDOWS\system32\DRIVERS\grdusb.sys','');
QuarantineFile('C:\WINDOWS\system32\diperto5494-7819.sys','');
QuarantineFile('Iic34.sys','');
QuarantineFile('C:\WINDOWS\system32\LogCrypt.dll','');
QuarantineFile('c:\windows\system32\cssrss.exe','');
DeleteFile('c:\windows\system32\cssrss.exe');
DeleteFile('C:\WINDOWS\system32\LogCrypt.dll');
DeleteFile('Iic34.sys');
DeleteFile('C:\WINDOWS\System32\drivers\protect.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Wej84.sys');
BC_DeleteSvc('Iic34');
BC_DeleteSvc('Wej84');
BC_DeleteSvc('protect');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
пришлите карантин согласно приложения 3 правил ...
повторите логи ...
Опять логи снять получилось только в безопасном, иначе BSOD сразу, после выполнения скрипта система обнаружила 2 новых устройства без данных. Жду дальнейших указаний :D
C:\WINDOWS\system32\cssrss.exe Trojan-Downloader.Win32.Agent.isd
C:\WINDOWS\system32\LogCrypt.dll Trojan.Win32.Agent.eub
C:\WINDOWS\system32\DRIVERS\grdusb.sys - чистый
пофиксите ..
[code]
O20 - Winlogon Notify: LogCrypt - LogCrypt.dll (file missing)
[/code]
выполните скрипт ....
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
SetServiceStart('diperto5494-7819', 4);
DeleteService('diperto5494-7819');
DeleteFile('C:\WINDOWS\system32\diperto5494-7819.sys');
DeleteFile('LogCrypt.dll');
BC_ImportDeletedList;
BC_DeleteSvc('FCI');
BC_Activate;
ExecuteSysClean;
RebootWindows(true);
end.
[/code]
повторите логи ...
система просканировалась в обычном режиме ... уже спасибо ....высылаю логи ..... если можно то вкратце расскажите как я сам мог обнаружить эти объекты .... и написать скрипт ... чтобы не мучать вас каждый раз
Ваш домен?
[code]85.255.112.15
org-name: UkrTeleGroup Ltd.
address: UkrTeleGroup Ltd.
address: Mechnikova 58/5 65029 Odessa[/code]
[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]
Если нет, то:
Пофиксить в HijackThis следующие строчки ( [url]http://virusinfo.info/showthread.php?t=4491[/url] )
[CODE]O17 - HKLM\System\CCS\Services\Tcpip\..\{8DB375BB-6D90-48B4-8E27-4DB61DC8A810}: NameServer = 85.255.116.156,85.255.112.15
O17 - HKLM\System\CCS\Services\Tcpip\..\{BFFEE0CC-9BF1-4A8B-AD15-6C640BEAD2BC}: NameServer = 85.255.116.156,85.255.112.15
O17 - HKLM\System\CS1\Services\Tcpip\Parameters: NameServer = 85.255.116.156 85.255.112.15
O17 - HKLM\System\CS1\Services\Tcpip\..\{8DB375BB-6D90-48B4-8E27-4DB61DC8A810}: NameServer = 85.255.116.156,85.255.112.15
O17 - HKLM\System\CS2\Services\Tcpip\Parameters: NameServer = 85.255.116.156 85.255.112.15
O17 - HKLM\System\CS2\Services\Tcpip\..\{8DB375BB-6D90-48B4-8E27-4DB61DC8A810}: NameServer = 85.255.116.156,85.255.112.15
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: NameServer = 85.255.116.156 85.255.112.15 [/CODE]
[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]
[quote] если можно то вкратце расскажите как я сам мог обнаружить эти объекты .... и написать скрипт ... чтобы не мучать вас каждый раз[/quote]
Этому не одинь день учиться , если есть желание можно заисаться в студенты....обучим
домен не мой .... пофиксил .. логи надо ?.... система упорно ищет 2 устройства и не находит на них дрова:).... и еще как вся эта дрянь пролезла через нод со свежими базами не подскажите ?.....спасибо за помощь кстати огромное
Свежую дрянь может пропустить любой антивирус....что за устройства ломятся?
эта собака грохнула дрова на звук и еще пару устройств .... огромное спасибо за помощь .... похоже чисто... остальное моя головная боль..... а как записаться в ученики ?
[url]http://virusinfo.info/showthread.php?t=8062[/url]
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]7[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\windows\\system32\\cssrss.exe - [B]Trojan-Downloader.Win32.Agent.isd[/B] (DrWEB: Trojan.DownLoader.46357)[*] c:\\windows\\system32\\logcrypt.dll - [B]Trojan.Win32.Agent.eub[/B] (DrWEB: Trojan.DownLoader.46414)[/LIST][/LIST]