Printable View
Доброй ночи!
Буду краток. Запускаю WoW - пишет обнаружен trojan-downloader.Win32.Agent variant. Проверял не однократно вебером, удалил с десяток троянов, но проблема осталась. + качает трафик. Вернее сказать пожирает. Произвел все описанные Вами операции, прикрепил файлы. Прошу помогите.
Мм.. фаилы из п.8 в папке LOG не в ZIP архиве и не прикрепляються. Комп новый архиваторов нет. Как то можно выйти и из этой проблемы?
в папке LOG есть avz_sysinfo.htm и virusinfo_syscure.htm? Их выложите на файлообменник какой-нибудь, а нам тут ссылку дайте.
[quote=wise-wistful;211538]в папке LOG есть avz_sysinfo.htm и virusinfo_syscure.htm? Их выложите на файлообменник какой-нибудь, а нам тут ссылку дайте.[/quote]
Вот ссылка. [URL="http://dvusrachek.ifolder.ru/6039262"][COLOR=#0000ff]http://dvusrachek.ifolder.ru/6039262[/COLOR][/URL], [URL="http://dvusrachek.ifolder.ru/6039278"][COLOR=#0000ff]http://dvusrachek.ifolder.ru/6039278[/COLOR][/URL], [URL="http://dvusrachek.ifolder.ru/6039294"][COLOR=#0000ff]http://dvusrachek.ifolder.ru/6039294[/COLOR][/URL], [URL="http://dvusrachek.ifolder.ru/6039300"][COLOR=#0000ff][URL="http://dvusrachek.ifolder.ru/6039300,-4"]http://dvusrachek.ifolder.ru/6039300[/URL][/COLOR],-4[/URL] файла папки LOG. Надеюсь все так сделал. Пока проделывал все эти операции Вебер поймал пару троянов, щас трафик ведет себя спокойно.
Отключите Антивирус и Интернет!
[URL="http://virusinfo.info/showthread.php?t=7239"]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".[/URL]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
TerminateProcessByName('c:\windows\system32\drivers\spools.exe');
TerminateProcessByName('c:\windows\aromis.exe');
QuarantineFile('kdubr.exe','');
QuarantineFile('C:\Documents and Settings\Администратор\cftmon.exe','');
QuarantineFile('C:\Documents and Settings\LocalService\cftmon.exe','');
QuarantineFile('C:\WINDOWS\titac.dll','');
QuarantineFile('C:\WINDOWS\system32\ftp33.dll','');
QuarantineFile('c:\windows\system32\drivers\spools.exe','');
QuarantineFile('c:\windows\aromis.exe','');
DeleteFile('c:\windows\aromis.exe');
DeleteService('Schedule');
DeleteFile('c:\windows\system32\drivers\spools.exe');
DeleteFile('kdubr.exe');
DeleteFile('C:\WINDOWS\system32\ftp33.dll');
DeleteFile('C:\Documents and Settings\LocalService\cftmon.exe');
DeleteFile('C:\Documents and Settings\Администратор\cftmon.exe');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
ExecuteRepair(1 );
RebootWindows(true);
end.[/CODE]
После выполнения скрипта компьютер перезагрузится.
Прислать карантин согласно приложения 3 правил .
Загружать по ссылке:[url]http://virusinfo.info/upload_virus.php?tid=21089[/url]
Повторите логи.
[size="1"][color="#666686"][B][I]Добавлено через 2 часа 1 минуту[/I][/B][/color][/size]
cftmon.exe1, cftmon.exe_, ftp33.dll, spools.exe_-[B]Trojan-Downloader.Win32.Small.tra[/B]
kdubr.exe_ - [B]Trojan.Win32.DNSChanger.bux[/B]
Спасибо за помощь. Еще вопрос как бы эти файлы отыскать? Через поиск не выходит. И можно ли просто удалить эти файлы?
Что вы собрались искать?нужно просто выполнить скрипт,а затем повторить логи.
Это вам известно:
[CODE]NameServer = 85.255.116.110,85.255.112.108[/CODE]
[quote=Гриша;211853]Что вы собрались искать?нужно просто выполнить скрипт,а затем повторить логи.
Это вам известно:
[code]NameServer = 85.255.116.110,85.255.112.108[/code][/quote]
Все сделал. Логи вложил. На счет выше указанного - это мне не известно.
Трафик до сих пор в порядке. Только что пробывал WoW - сообщение исчезло.
[URL="http://virusinfo.info/showthread.php?t=7239"]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".[/URL]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteService('grande48');
DeleteFile('C:\WINDOWS\system32\drivers\grande48.sys');
BC_ImportDeletedList;
ExecuteSysClean;
BC_DeleteSvc('grande48 ');
BC_Activate;
RebootWindows(true);
end.[/CODE]
[URL="http://virusinfo.info/showthread.php?t=4491"]Пофиксить[/URL]
[CODE]O17 - HKLM\System\CCS\Services\Tcpip\..\{31B57651-F54C-4502-B978-1C92AA72C07B}: NameServer = 85.255.116.110,85.255.112.108
O17 - HKLM\System\CS1\Services\Tcpip\Parameters: NameServer = 85.255.116.110 85.255.112.108
O17 - HKLM\System\CS1\Services\Tcpip\..\{31B57651-F54C-4502-B978-1C92AA72C07B}: NameServer = 85.255.116.110,85.255.112.108
O17 - HKLM\System\CS2\Services\Tcpip\Parameters: NameServer = 85.255.116.110 85.255.112.108
O17 - HKLM\System\CS2\Services\Tcpip\..\{31B57651-F54C-4502-B978-1C92AA72C07B}: NameServer = 85.255.116.110,85.255.112.108
O17 - HKLM\System\CS3\Services\Tcpip\Parameters: NameServer = 85.255.116.110 85.255.112.108
O17 - HKLM\System\CS3\Services\Tcpip\..\{31B57651-F54C-4502-B978-1C92AA72C07B}: NameServer = 85.255.116.110,85.255.112.108
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: NameServer = 85.255.116.110 85.255.112.108[/CODE]
Жалобы есть?
Снова, здравствуйте. )
Жалоб на данный момент нет. Все вроде бы отлично работает. Надеюсь так будет и в дальнейшем.
Первый раз столкнулся с подобной проблемой, долго искал помощи, уже было хотел от форматировать все к чертям и вот совершенно случайно вышел на Вас.
Спасибо, спасибо и еще раз спасибо!
Нам интересно[URL="http://virusinfo.info/showthread.php?t=19883"] Ваше мнение[/URL] о нашем ресурсе. Будем очень благодарны за отзыв, он может помочь нам улучшить ресурс.
Советуем прочитать [URL="http://security-advisory.virusinfo.info/"]электронную книгу [/URL]"Безопасный Интернет. Универсальная защита для Windows ME - Vista".
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]42[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\documents and settings\\localservice\\cftmon.exe - [B]Worm.Win32.Socks.jf[/B] (DrWEB: Trojan.DownLoader.56633)[*] c:\\documents and settings\\администратор\\cftmon.exe - [B]Trojan-Downloader.Win32.Small.tra[/B] (DrWEB: Trojan.DownLoader.56633)[*] c:\\windows\\system32\\drivers\\spools.exe - [B]Worm.Win32.Socks.jf[/B] (DrWEB: Trojan.DownLoader.56633)[*] c:\\windows\\system32\\ftp33.dll - [B]Trojan-Downloader.Win32.Small.tra[/B] (DrWEB: Trojan.DownLoader.56634)[*] c:\\windows\\system32\\kdubr.exe - [B]Trojan.Win32.DNSChanger.bux[/B] (DrWEB: Trojan.DnsChange)[/LIST][/LIST]