Printable View
Здравствуйте, многоуважаемые профессионалы!
Похожая тема была, не хотел мусорить, хотел в ней же написать, но что-то не получилось.
Периодически, в результате некоторых действий (доступ к элементам контролпанели, отключении флэшки) выскакивает сообщение с заголовком "RUNDLL" "setupapi.dll: отсутствует s". Поглядел логи - нашлось много паразитов. Но по опыту решил сам не лезть, мало ли, не так я силен в системном программировании... Прошу помощи.
1.[url=http://virusinfo.info/showthread.php?t=7239]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".[/url]
[CODE]begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\Temp\1.tmp','');
QuarantineFile('C:\WINDOWS\system32\ntos.exe','');
QuarantineFile('C:\WINDOWS\system32\drivers\ip6fw.sys','');
QuarantineFile('D:\_install\_utils\diskmon\DMON.SYS','');
QuarantineFile('C:\Program Files\Internet Explorer\setupapi.dll','');
DeleteFile('C:\WINDOWS\system32\ntos.exe');
DeleteFile('C:\Program Files\Internet Explorer\setupapi.dll');
DeleteFile('C:\WINDOWS\Temp\1.tmp');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]
После выполнения скрипта компьютер перезагрузится.
Прислать карантин согласно [b]приложения 3 [url=http://virusinfo.info/showthread.php?t=1235]правил [/url][/b].
Загружать по ссылке: [url]http://virusinfo.info/upload_virus.php?tid=20289[/url]
2.Пофиксить в HijackThis следующие строчки ( [url]http://virusinfo.info/showthread.php?t=4491[/url] )
[CODE] F2 - REG:system.ini: UserInit=C:\WINDOWS\SYSTEM32\Userinit.exe,C:\WINDOWS\system32\ntos.exe, [/CODE]
Повторите логи.
В дополнение к вышесказанному:
1. Отключите восстановление системы!
2. Выполните скрипт:
[code]begin
ExecuteRepair(9);
RebootWindows(true);
end.[/code]
3. Очистите полностью папку C:\WINDOWS\Temp.
Отключит ьвосстановление системы не удается, т.к. при выборе свойств моего компьютера выскакивает все тоже самое сообщение про setupapi.dll и дальше все.
[size="1"][color="#666686"][B][I]Добавлено через 12 минут[/I][/B][/color][/size]
При выполнении первого скрипта AVZ ругается что невозможно поместить в карантин файлы - что-то про ошибку прямого чтения.
Папку c:\windows\temp очистить не удается полностью, остается файл Perflib_Perfdata_43c.dat и папка _Avast4_ (да, установлен он у меня, регулярно обновляется, но мышей оказывается не ловит) с файлом webshlock.txt размером 0 байт внутри.
Логи собираются
[quote=0xBA0BAB;205745]Отключит ьвосстановление системы не удается, т.к. при выборе свойств моего компьютера выскакивает все тоже самое сообщение про setupapi.dll и дальше все.
[/quote]
После выполнения моего скриптика ситауция должна измениться. Попробуйте.
Bratez, я выполнил Ваш скрипт. Увы, ситуация не поменялась. Впрочем, сейчас выполню еще раз, а пока прилагаю логи после всех действий.
Кстати, запрошенный карантин выслал, но туда попался только один файл, увы.
Bratez, выполнил Ваш скрипт повторно. Свойства компьютера стали появляться. Очистить временную папку по-прежнему не удается, ситуация схожая, но файл теперь называется Perflib_Perfdata_440.dat
[size="1"][color="#666686"][B][I]Добавлено через 57 секунд[/I][/B][/color][/size]
оп... поторпился. Видимо, зараза вновь подгрузилась, свойства компьютера снова исчезли
[size="1"][color="#666686"][B][I]Добавлено через 17 минут[/I][/B][/color][/size]
Поизучал систему. Нашел хитрый файл C:\Program Files\Internet Explorer\rundll32 без расширения. Файла C:\Program Files\Internet Explorer\setupapi.dll не было (судя по первому скрипту, Вас интересовал в т.ч. он). AVZ как раз на него ругается:
Опасно - отладчик процесса "rundll32.exe" = "C:\Program Files\Internet Explorer\rundll32 setupapi.dll,s"
Этот хитрый файл без расширения запаковал в зип-архив с паролем virus. Высылать?
Выполните следующий скрипт:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\Program Files\Internet Explorer\setupapi.dll');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
ExecuteRepair(6);
ExecuteRepair(8);
ExecuteRepair(9);
ExecuteRepair(13);
RegKeyIntParamWrite( 'HKLM', 'SOFTWARE\Microsoft\Windows\CurrentVersion\policies\NonEnum', '{BDEADF00-C265-11D0-BCED-00A0C90AB50F}', 1);
RebootWindows(true);
end.[/code]
Компьютер перезагрузится. При перезагрузке жмите F8 и входите в безопасный режим. Отключайте сразу восстановление системы. Потом перезагрузитесь в обычный режим и сделайте новые логи, начиная с п.10 правил.
[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]
Ваш rundll32 - это копия системного rundll32.exe.
Впрочем пришлите, мало ли что...
rundll32
Вредоносный код в файле не обнаружен.
Простите, неожиданно закончился интернет, поэтому даже не смог поблагодарить. Прилагаю логи, сделанные после рекомендованных процедур.
И, собственно, искренне благодарю хелперов - людей, которые очень оперативно и профессионально помогают людям, которым, собственно, ничем не обязаны. Спасибо.
в логах чисто ....
Спасибо! Гора с плеч.
Нам интересно Ваше [url=http://virusinfo.info/showthread.php?t=19883]мнение[/url] о нашей работе, будем очень благодарны за ответ. Ваш ответ поможет нам улучшить оказание помощи.
Советуем прочитать [url="http://security-advisory.virusinfo.info/"]электронную книгу[/url] "Безопасный Интернет. Универсальная защита для Windows ME - Vista".
Удачи и чистого Вам интернета ;)
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]2[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]