Printable View
Качает трафик причем исходящего намного больше чем входящего. Установлен Nod32 постоянно обновляется. При сканировании в папке темп нашел червяка Online.Games...(точно не помню). При попытке проверить с помощью cureit.exe или avz4 (проверки и лечение) после начала проверки перезагружается. Поэтому только 2 лога.
[URL="http://virusinfo.info/showthread.php?t=7239"]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".[/URL]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
RegKeyIntParamWrite('HKLM', 'SYSTEM\CurrentControlSet\Hardware Profiles\0001\System\CurrentControlSet\Enum\ROOT\LEGACY_Igt49\0000', 'CSConfigFlags', '1');
QuarantineFile('C:\WINDOWS\system32\mstmdm.dll','');
QuarantineFile('C:\WINDOWS\system32\amvo.exe','');
QuarantineFile('c:\windows\system32\msvcrtd.exe','');
QuarantineFile('Igt49.sys','');
BC_DeleteSvc('Igt49 ');
DeleteFile('Igt49.sys');
DeleteService('msupdate');
DeleteFile('c:\windows\system32\msvcrtd.exe');
DeleteFile('C:\WINDOWS\system32\amvo.exe');
DeleteFile('C:\WINDOWS\system32\mstmdm.dll');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]
После выполнения скрипта компьютер перезагрузится.
Прислать карантин согласно приложения 3 правил .
Загружать по ссылке:[url]http://virusinfo.info/upload_virus.php?tid=20865[/url]
Повторите логи.
Для начала убьем вот это:
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\mstmdm.dll','');
QuarantineFile('C:\WINDOWS\system32\amvo.exe','');
QuarantineFile('c:\windows\system32\msvcrtd.exe','');
DeleteFile('c:\windows\system32\msvcrtd.exe');
DeleteFile('C:\WINDOWS\system32\amvo.exe');
DeleteFile('C:\WINDOWS\system32\mstmdm.dll');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]
Загрузите карантин через ссылку вверху темы.
Второй частью будет удаление руткита.
Скрипт выполнил, комп перезагрузился, но в карантине пусто.
Выполнил скрипт "проверки лечения" в безопсном режиме.
[URL="http://mail.ustc.edu.cn/~jfpan/download/IceSword122en.zip"]Скачать[/URL],меню,File,появится аналог проводника,найти:Igt49.sys,правая кнопка мыши Force Delete.
[URL="http://virusinfo.info/showthread.php?t=7239"]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".[/URL]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\mstmdm.dll','');
QuarantineFile('C:\WINDOWS\system32\amvo.exe','');
DeleteService('Igt49');
DeleteFile('Igt49.sys');
DeleteService('msupdate');
DeleteFile('msupdate.sys');
DeleteFile('C:\WINDOWS\system32\amvo.exe');
DeleteFile('C:\WINDOWS\system32\mstmdm.dll');
BC_ImportALL;
ExecuteSysClean;
BC_DeleteSvc('Igt49 ');
BC_DeleteSvc('msupdate ');
BC_Activate;
RebootWindows(true);
end.[/CODE]
После выполнения скрипта компьютер перезагрузится.
Прислать карантин согласно приложения 3 правил .
Загружать по ссылке:[url]http://virusinfo.info/upload_virus.php?tid=20865[/url]
Повторите логи.
После выполнения последнего скрипта в безопасном режиме скрипт выполнился без ошибок и комп перезагрузился нормально. И при загрузке в обычном режме NOD32 сразу обнаружил вот эти файлы:
C:\WINDOWS\system32\drivers\symavc32.sys Win32/Rootkit.Agent.HU троян удален
C:\WINDOWS\system32\drivers\Igt49.sys Win32/Rootkit.Agent.HU троян удален
После этого внешние проявления прекратились, трафик больше не качает.
Каринтин отправил.
Свежие логи прилагаются.
В логах чисто,жалобы есть?
Логи чистые.
Рекомендуется отключить все что вам не нужно из этого списка:
[code]
>> Службы: разрешена потенциально опасная служба RemoteRegistry (Удаленный реестр)
>> Службы: разрешена потенциально опасная служба TermService (Службы терминалов)
>> Службы: разрешена потенциально опасная служба SSDPSRV (Служба обнаружения SSDP)
>> Службы: разрешена потенциально опасная служба Schedule (Планировщик заданий)
>> Службы: разрешена потенциально опасная служба mnmsrvc (NetMeeting Remote Desktop Sharing)
>> Службы: разрешена потенциально опасная служба RDSessMgr (Диспетчер сеанса справки для удаленного рабочего стола)
>> Безопасность: разрешен автозапуск программ с CDROM
>> Безопасность: разрешен административный доступ к локальным дискам (C$, D$ ...)
>> Безопасность: к ПК разрешен доступ анонимного пользователя
>> Безопасность: Разрешена отправка приглашений удаленному помошнику
[/code]