Printable View
Операционная система: Windows Server 2003x32 Standart, является сервером терминалов и файлопомойкой. Заметил в диспетчере задач процессы Webisida.Brows, SecureSurf.Browser.Client.exe и Safesurf.exe по учётной записью SYSTEM. При завершении вручную через несколько десятков минут появляется снова. CureIT нашёл пару троянов, но ситуацию не исправил.
Прикрепляю файлы согласно правилам. (1 пункт пропускаю, так как ОС серверная).
Уважаемый(ая) [B]LenIVEc[/B], спасибо за обращение на наш форум!
Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].
[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="http://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]
Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
Выполните скрипт в AVZ
[code]begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
end;
TerminateProcessByName('c:\documents and settings\user36\Избранное\Ссылки\temp\wahiver.exe');
QuarantineFile('c:\documents and settings\user36\Избранное\Ссылки\temp\wahiver.exe','');
TerminateProcessByName('c:\program files\google\system\webisida.browser.exe');
QuarantineFile('c:\program files\google\system\webisida.browser.exe','');
TerminateProcessByName('c:\intel\web\microsoft\safesurf.exe');
QuarantineFile('c:\intel\web\microsoft\safesurf.exe','');
TerminateProcessByName('c:\intel\web\microsoft\xstarter\services.exe');
QuarantineFile('c:\intel\web\microsoft\xstarter\services.exe','');
TerminateProcessByName('c:\intel\web\microsoft\services.exe');
QuarantineFile('c:\intel\web\microsoft\services.exe','');
DeleteFile('c:\intel\web\microsoft\services.exe','32');
DeleteFile('c:\intel\web\microsoft\xstarter\services.exe','32');
DeleteFile('c:\intel\web\microsoft\safesurf.exe','32');
DeleteFile('c:\program files\google\system\webisida.browser.exe','32');
DeleteFile('c:\documents and settings\user36\Избранное\Ссылки\temp\wahiver.exe','32');
DeleteFile('C:\Intel\Web\Microsoft\xStarter\ssleay32.dll','32');
DeleteFile('C:\Intel\Web\Microsoft\xStarter\LIBEAY32.dll','32');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
end.[/code]Перезагрузку компьютера выполните вручную.
Выполните скрипт в AVZ
[code]begin
CreateQurantineArchive('c:\quarantine.zip');
end.[/code][b]c:\quarantine.zip[/b] пришлите по красной ссылке [color="Red"][u][b]Прислать запрошенный карантин[/b][/u][/color] [b]над первым сообщением[/b] в Вашей теме.
[B][COLOR="Red"]Выполните правила ЕЩЕ РАЗ и предоставьте НОВЫЕ логи[/COLOR][/B]
новые логи.
P.S. за день того, как сделал скрипт на очистку и карантин, AVP эвристикой обнаружил и сам удалил "c:\documents and settings\user36\Избранное\Ссылки\temp\wahiver.exe" , потому его в карантине нет.
Сделайте лог [url="http://virusinfo.info/showthread.php?t=53070&p=1104657&viewfull=1#post1104657"]полного сканирования МВАМ[/url]
логи МВАМ.
Кейлоггер MPK сами устанавливали?
нет, даже не знаю что такое MPK и для чего он нужен. Может от прошлых системщиков остался, хотя дико сомневаюсь.
Удалите в МВАМ все, [B]кроме[/B]
[CODE]Trojan.Agent, HKU\S-1-5-21-2257162292-2920792344-747253129-1012\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN|Windows NT Logon, "C:\Documents and Settings\User6\WINDOWS\system\winlogon.exe", , [9657c66c513ade58ca1b3a2ab94afb05]
Trojan.Agent, C:\Documents and Settings\User6\WINDOWS\system\winlogon.exe, , [9657c66c513ade58ca1b3a2ab94afb05], [/CODE]
[QUOTE=thyrex;1359239]Удалите в МВАМ все, [B]кроме[/B]
[CODE]Trojan.Agent, HKU\S-1-5-21-2257162292-2920792344-747253129-1012\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN|Windows NT Logon, "C:\Documents and Settings\User6\WINDOWS\system\winlogon.exe", , [9657c66c513ade58ca1b3a2ab94afb05]
Trojan.Agent, C:\Documents and Settings\User6\WINDOWS\system\winlogon.exe, , [9657c66c513ade58ca1b3a2ab94afb05], [/CODE][/QUOTE]
удалил. А с оставшимися как быть? Это ложное срабатывание?
C:\Documents and Settings\User6\WINDOWS\system\winlogon.exe проверьте на virustotal.com и пришлите ссылку
[url]https://www.virustotal.com/ru/file/e335cbe3757875e298b7ad9c8b6b2e9be3270e1fcf9b9e4af8432a5b03e45e46/analysis/1455977407/[/url]
Удаляйте этот файл
профиль этого пользователя тоже удалять? он же не сможет зайти без винлогона?
А такого профиля быть не должно?
Сотрудник в декрете, потому профиль заблокирован.
Ну тогда удаляйте
спасибо большое за помощь!!!
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]11[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]