Здравствуйте!
Неделю назад заметил два посторонних процесса - SecureSurf.Browser.Client и SecureSurf.Browser.Shell на машине с Windows Server 2008. После убивания вручную появляются через несколько часов снова.
Проверял систему AVPTool и Dr.Web CureIt! - в общей сложности нашлось порядка 10 нехороших вещей. После проверки процессы SecureSurf.Browser.Client и SecureSurf.Browser.Shell не появлялись около суток, а потом вновь.
Уважаемый(ая) [B]kreatiffchik[/B], спасибо за обращение на наш форум!
Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].
[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="http://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]
Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
[url="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/url]:[code]begin
SearchRootkit(true, true);
TerminateProcessByName('c:\programdata\microsoft\drm\smss.exe');
TerminateProcessByName('c:\documents and settings\all users\microsoft\drm\wa\services.exe');
TerminateProcessByName('c:\program files\common files\microsoft shared\system\gecko\securesurf.browser.client.exe');
StopService('WindowsDefender');
QuarantineFile('C:\Program Files\Common Files\Microsoft Shared\System\webisida.browser.exe', '');
QuarantineFile('C:\Program Files\Common Files\Microsoft Shared\System\settings.exe', '');
QuarantineFile('C:\Program Files\SearchesToYesbnd\bugreport.exe', '');
QuarantineFile('c:\programdata\microsoft\drm\smss.exe', '');
QuarantineFile('c:\documents and settings\all users\microsoft\drm\wa\services.exe', '');
QuarantineFile('c:\program files\common files\microsoft shared\system\gecko\securesurf.browser.client.exe', '');
QuarantineFileF('c:\documents and settings\all users\microsoft\drm\wa', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js', true, '', 0, 0);
QuarantineFileF('c:\program files\common files\microsoft shared\system', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js', true, '', 0, 0);
DeleteFile('c:\program files\common files\microsoft shared\system\gecko\securesurf.browser.client.exe', '32');
DeleteFile('c:\documents and settings\all users\microsoft\drm\wa\services.exe', '32');
DeleteFile('c:\programdata\microsoft\drm\smss.exe', '32');
DeleteFile('C:\Windows\system32\Tasks\WinTaske', '32');
DeleteFile('C:\Program Files\SearchesToYesbnd\bugreport.exe', '32');
DeleteFile('C:\Program Files\Common Files\Microsoft Shared\System\settings.exe', '32');
DeleteFile('C:\Windows\system32\Tasks\', '32');
DeleteFile('C:\Program Files\Common Files\Microsoft Shared\System\webisida.browser.exe', '32');
DeleteService('ggbugreport');
DeleteService('WindowsDefender');
DeleteFileMask('c:\documents and settings\all users\microsoft\drm\wa', '*', true);
DeleteFileMask('c:\program files\common files\microsoft shared\system', '*', true);
DeleteFileMask('C:\Program Files\SearchesToYesbnd', '*', true);
DeleteDirectory('c:\documents and settings\all users\microsoft\drm\wa');
DeleteDirectory('c:\program files\common files\microsoft shared\system');
DeleteDirectory('C:\Program Files\SearchesToYesbnd');
ExecuteFile('schtasks.exe', '/delete /TN "Adobe Reader" /F', 0, 15000, true);
ExecuteFile('schtasks.exe', '/delete /TN "GoogleUpdateTaskMashine" /F', 0, 15000, true);
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
end.[/code]Перезагрузите сервер.
Смените пароли администратора и пользователей с правом подключения в терминальном режиме.
Скачайте программу [URL="https://yadi.sk/d/6A65LkI1WEuqC"]Universal Virus Sniffer[/URL] и [url=http://virusinfo.info/showthread.php?t=121767]сделайте полный образ автозапуска uVS[/url].
Сделано!..
Выполните в AVZ скрипт:
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
В папке с AVZ появится архив карантина quarantine.zip, отправьте этот файл по ссылке "Прислать запрошенный карантин" над над первым сообщением в теме.
[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]
[url=http://virusinfo.info/showthread.php?t=121769]Выполните скрипт в uVS:[/url][CODE];uVS v3.87 [http://dsrt.dyndns.org]
;Target OS: NTv6.0
v385c
OFFSGNSAVE
; C:\WINDOWS\SYSTEM32\SETH.EXE
zoo %Sys32%\SETH.EXE
addsgn 9A24779A55024C720BD4C6A9A78812ED79AAFCF60A3E131085C3C5BCB883514C23B4DF947E55F5492B8084F7460649FA15DFE8725532F20C2D7707370446229B 8 TrojWare.Win32.CoinMiner.IEGT [Comodo]
chklst
delvir
deltmp
delref %SystemDrive%\PROGRAM FILES\COMMON FILES\MICROSOFT SHARED\SYSTEM\SETTINGS.EXE
delref %SystemDrive%\PROGRAM FILES\COMMON FILES\MICROSOFT SHARED\SYSTEM\WEBISIDA.BROWSER.EXE
czoo[/CODE]
В папке с uVS появится архив ZIP с именем, начинающимся с ZOO_ и далее из даты и времени, отправьте этот файл по ссылке "Прислать запрошенный карантин" над над первым сообщением в теме.
В папке с UVS будет лог выполнения скрипта, текстовый файл с именем из даты и времени выполнения, прикрепите его с своему сообщению.
Сделано!
Всё удалено.
Рекомендую переместиться в раздел [URL="http://virusinfo.info/forumdisplay.php?f=205"]Аудит защищенности персонального компьютера[/URL].
Огромнейшее спасибо! :) Обязательно поддержу ваш проект)))
Выполните [url="http://virusinfo.info/showthread.php?t=121902"]рекомендации после лечения[/ur
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]274[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]