Printable View
Пробралась какая-то зараза,доктор веб полечил,но AVZ пишет
Поиск маскировки процессов и драйверов
Маскировка процесса с PID=1352, имя = "svchost.exe", полное имя = "\Device\HarddiskVolume1\WINDOWS\system32\svchost.exe"
Видимый процесс с PID=1412, имя = "\Device\HarddiskVolume1\Program Files\DrWeb\spiderui.exe"
Вот я и решил темку создать.
Посмотрите плиз логи.
Чем только не проверял,вроде чисто,но...
Спасибо.
Выполните скрипт в AVZ:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\mssrv32.exe','');
QuarantineFile('C:\WINDOWS\system32\wind32.exe','');
QuarantineFile('C:\WINDOWS\system32\L94D0.tmp.exe','');
QuarantineFile('C:\WINDOWS\system32\L889D.tmp.exe','');
QuarantineFile('C:\WINDOWS\system32\vedxg6ame4.exe','');
QuarantineFile('C:\Documents and Settings\LocalService\Local Settings\Application Data\cftmon.exe','');
QuarantineFile('c:\windows\system32\mssrv32.exe','');
QuarantineFile('C:\DOCUME~1\52BF~1\LOCALS~1\Temp\ieobj.dll','');
DeleteFile('C:\DOCUME~1\52BF~1\LOCALS~1\Temp\ieobj.dll');
DeleteFile('c:\windows\system32\mssrv32.exe');
DeleteFile('C:\WINDOWS\system32\vedxg6ame4.exe');
DeleteFile('C:\WINDOWS\system32\L889D.tmp.exe');
DeleteFile('C:\WINDOWS\system32\L94D0.tmp.exe');
DeleteFile('C:\WINDOWS\system32\wind32.exe');
DeleteFile('C:\WINDOWS\system32\mssrv32.exe');
DelBHO('{B3B010A1-A877-4CD7-BAB5-9EE8F9965E20}');
BC_ImportALL;
BC_DeleteSvc('asc3550p');
BC_DeleteSvc('msupdate');
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]
Компьютер перезагрузится.
Пришлите карантин согласно приложению 3 правил
(загружать тут: [url]http://virusinfo.info/upload_virus.php?tid=18619[/url]).
Сделайте новые логи.
Сделал.
По ходу вопрос.
А нельзя ли вырубить проверку файлов chm,jpg,mp3,tiff,png,ico
после первой проверки.
А то процентов 70 проверяются они.
Спасибо.
Больше проверку делать не нужно.
Пофиксите в HijackThis:
[code]
O2 - BHO: XY33 Popup Blocker - {4B5A7560-16C6-4063-86D3-000000000002} - (no file)
O9 - Extra button: (no name) - {4B5A7560-16C6-4063-86D3-000000000003} - (no file)
O9 - Extra 'Tools' menuitem: Блокировка всплывающих окон - {4B5A7560-16C6-4063-86D3-000000000003} - (no file)
O21 - SSODL: SysRun - {D7FFD784-5276-42D1-887B-00267870A4C7} - (no file)
[/code]
Выполните скрипт в AVZ:
[code]
begin
RegKeyParamDel( 'HKEY_USERS', '.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run', 'autoload');
RebootWindows(true);
end.[/code]
Компьютер перезагрузится.
Сделайте для контроля новые логи, начиная с п.10 правил.
[size="1"][color="#666686"][B][I]Добавлено через 15 минут[/I][/B][/color][/size]
А вот что было у вас в карантине:
wind32.exe, L94D0.tmp.exe - [b]Trojan-Downloader.Win32.Tibs.va[/b]
L889D.tmp.exe - [b]Email-Worm.Win32.Zhelatin.vo[/b]
ieobj.dll - [b]not-virus:Hoax.Win32.Renos.awm[/b]
mssrv32.exe - свежий.
Спасибо,[b]Bratez[/b].
Пара вопросов.
1.Как Вы выяснили,что у меня за зверьки в карантине?
2.И всё-таки на будущее.Нельзя ли вырубить проверку файлов chm,jpg,mp3,tiff,png,ico после первой проверки.А то процентов 70 проверяются они.
1. Всех определил KAV 7.0.
2. В AVZ на вкладке "Типы файлов" есть галка "исключая файлы по маске". Можно перед запуском станд. скрипта #3 ее поставить и указать маску.
Спасибо большое.
Всё понял.
AVZ форева =))
Каспер тоже молодец,я всегда знал,что это хороший антивирь, и раньше только его и юзал.
Вот если бы он систему сильно не грузил,так бы и пользовался.
А так - пока доктор выручает.
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]21[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\docume~1\\52bf~1\\locals~1\\temp\\ieobj.dll - [B]Hoax.Win32.Renos.awm[/B] (DrWEB: Trojan.Fakealert.431)[*] c:\\windows\\system32\\l889d.tmp.exe - [B]Email-Worm.Win32.Zhelatin.vo[/B] (DrWEB: Trojan.DownLoader.19256)[*] c:\\windows\\system32\\l94d0.tmp.exe - [B]Trojan-Downloader.Win32.Tibs.va[/B] (DrWEB: Trojan.Packed.369)[*] c:\\windows\\system32\\mssrv32.exe - [B]Trojan-Downloader.Win32.Small.ipd[/B] (DrWEB: Trojan.DownLoader.26661)[*] c:\\windows\\system32\\wind32.exe - [B]Trojan-Downloader.Win32.Tibs.va[/B] (DrWEB: Trojan.Packed.369)[/LIST][/LIST]