Printable View
Symantec сканирование ничего не дает, утилита DrWeb CureIT ничего не нашла. При подключение к интернету начинает чего то скачивать или отсылать
[size="1"][color="#666686"][B][I]Добавлено через 9 минут[/I][/B][/color][/size]
[URL="http://virusinfo.ifolder.ru/5953176"][COLOR=#0000ff]http://virusinfo.ifolder.ru/5953176[/COLOR][/URL]
На время выполнения скрипта, отключитесь от сети и отключите антивирусный монитор. Имейте в виду, что система должна быть перезагружена в процессе выполнения скрипта.
Программа AVZ - файл - выполнить скрипт - выполните следующий скрипт:[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
TerminateProcessByName('c:\windows\system32\winupd.exe');
QuarantineFile('c:\windows\system32\winupd.exe','');
QuarantineFile('c:\windows\system32\winlogon.exe','');
DeleteFile('c:\windows\system32\winupd.exe');
BC_DeleteFile('c:\windows\system32\winupd.exe');
BC_ImportquarantineList;
BC_Activate;
ExecuteSysClean;
RebootWindows(true);
end.[/code]Система будет перезагружена. После перезагрузки, загрузите карантин по ссылке [url]http://virusinfo.info/upload_virus.php?tid=20701[/url] , как написано в прил.3 правил, скачайте версию 2.02 Hijackthis по ссылке из правил и повторите логи, начиная с п. 10 правил.
новые логи
И еще после выполнения скрипта комп постоянно перезагружается, пришлось загрузить последнию удачную конфигурацию.
Вы лог AVZ делали уже после загрузки последней удачной конфигурации? Если да, то сейчас паразитный траффик идет?
Все работает нормально, огромное спасибо за помощь!
Нам интересно[URL="http://virusinfo.info/showthread.php?t=19883"] Ваше мнение[/URL] о нашем ресурсе. Будем очень благодарны за отзыв, он может помочь нам улучшить ресурс.
Советуем прочитать [URL="http://security-advisory.virusinfo.info/"]электронную книгу[/URL] "Безопасный Интернет. Универсальная защита для Windows ME - Vista".
c:\windows\system32\winupd.exe - троянская программа [b]Backdoor.Win32.SdBot.dkc[/b] (по классификации Касперского). Почему спрашивал про то, когда делали лог AVZ: в логе AVZ winupd.exe не видно, в логе hijackthis остались ключи. На всякий случай, пофиксите с помощью hijackthis: [code]O4 - HKLM\..\Run: [winupd] winupd.exe
O4 - HKLM\..\RunServices: [winupd] winupd.exe[/code]
Пофиксил, новые логи
[URL="http://virusinfo.info/showthread.php?t=4491"]Пофиксить[/URL]
[CODE]F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,[/CODE]
Больше ничего подозрительного нет.
пофиксел, сервер перестал загружаться т.е. виндос 2003 загружается запрашивает пароль ввожу пароль начинается запуск и тут же в окошке появляется сохранения параметров как при завершение работы и заново запрашивает пароль. доступ к компу получить не получается , что делать ?
[size="1"][color="#666686"][B][I]Добавлено через 11 минут[/I][/B][/color][/size]
пробовали загружать в безопасном режиме и последнюю удачную конфигурацию, нечего не получилось результат тот же самый - заходит и выходит
Когда сервер загрузится до диалога запроса пароля, он на пинги отвечает и сетевой доступ к нему есть ? Если да, то можно попытаться ... Если нет, то тогда загрузка с LiveCD любого типа, содержащего редактор реестра - и из него восстановить ключик, отвечающий за запуск userinit.exe:
ключ HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon в нем параметр с именем Userinit типа REG_SZ, значение [B]C:\WINDOWS\system32\userinit.exe,[/B] (именно так, с запятой на хвосте)
Доступ к серверу есть через расшаренные папки. Как можно восстановить реестр?
На одном из компьютеров в локальной сети запустите regedit.exe от имени пользователя с правами админа на сервере.
Меню Файл-Подключить сетевой Реестр
Введите имя сервера. Подключитесь.
Исправьте соответствующий ключ, как написал Олег.
Через другой комп подключился к серверу исправил реестр, все заработало, спасибо.
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]2[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\windows\\system32\\winupd.exe - [B]Backdoor.Win32.SdBot.dkc[/B] (DrWEB: BackDoor.IRC.Sdbot.3256)[/LIST][/LIST]