Поймал вируса, NOD32 не лечит

Printable View

15.05.2008, 16:39
serjga

Поймал вируса, NOD32 не лечит

Доброго здоровья!

Поймал на страничке вирус. Скрытые файлы проводник не показывает.
НОД32 называет его "C:\Documents and Settings\ServerPGM\Local Settings\Temp\em.dll - Win32/Rootkit.Vanti.NAI троян", лечить не хочет потому, что : "[4] Файл не может быть открыт. Он используется другим приложением или операционной системой."
Пока не перегружал.
В Автозапуске интересный процесс, файла не видно: c:\windows\system32\amvo.exe
Тачка пока занята, перегружать не могу. И опасаюсь изменений критических. Что-то можно сделать пока без перезагрузки?

Спасибо!
15.05.2008, 16:45
kps

Если совсем перезагружать нельзя, то сделайте хотя бы логи, начиная с пункта 10 правил [url]http://virusinfo.info/showthread.php?t=1235[/url] и не забудьте отключить восстановление системы, как написано в правилах. Но лучше польностью выполнить правила. Перезагрузка, конечно тогда потребуется. Да и лечить без перезагрузки плохо.
15.05.2008, 16:48
Rene-gad

[QUOTE=serjga;227553]Тачка пока занята, перегружать не могу. И опасаюсь изменений критических. [/QUOTE]Железная логика! А Вы не опасаетесь, что с активным руткитом Ваши данные становятся достоянием [I]бог знает кого[/I]? :O
15.05.2008, 17:50
serjga

пишет при попытке добавить файл: Вы не имеете прав!
Что делать?

[size="1"][color="#666686"][B][I]Добавлено через 50 минут[/I][/B][/color][/size]

НЕ МОГУ прикрепить файлы!
15.05.2008, 17:52
Rene-gad

[QUOTE=serjga;227564]
НЕ МОГУ прикрепить файлы![/QUOTE]Закачайте файлы на любой файлообменник и дайте тут ссылки.
15.05.2008, 18:07
serjga

virusinfo_syscheck.zip - [url]http://ifolder.ru/6574715[/url]
virusinfo_syscure.zip - [url]http://ifolder.ru/6574855[/url]
hijackthis.log - [url]http://ifolder.ru/6574840[/url]
15.05.2008, 20:02
kps

Имейте ввиду, что после выполенния скрипта компьютер перезагрузится.
[url=http://virusinfo.info/showthread.php?t=7239]Выполните скрипт в AVZ[/url]:
[code]begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\amvo.exe','');
QuarantineFile('C:\WINDOWS\System32\G200ed.dll','');
QuarantineFile('C:\WINDOWS\system32\HWACCESS.SYS','');
DeleteFile('C:\WINDOWS\system32\amvo.exe');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
ExecuteRepair(6);
ExecuteRepair(8);
RegKeyIntParamWrite( 'HKLM', 'SOFTWARE\Microsoft\Windows\CurrentVersion\policies\NonEnum', '{BDEADF00-C265-11D0-BCED-00A0C90AB50F}', 1);
RebootWindows(true);
end.[/code]

Компьютер перезагрузится.

Пришлите карантин согласно приложению №3 [url=http://virusinfo.info/showthread.php?t=1235]правил[/url] (загружать здесь: [url]http://virusinfo.info/upload_virus.php?tid=22916[/url] ).

AVZ => Файл => Мастер поиска и устранения проблем. Категория проблемы - поставьте "Системные проблемы", степень опасности - "Все проблемы". Нажмите "Пуск". Всё найденное следует пометить и исправить. Данную операцию повторить для категории "Настройки и твики браузера".

Сделайте новые логи.
16.05.2008, 10:02
serjga

Файла "amvo.exe" не видно в каталоге даже в режиме защиты от сбоев с поддержкой коммандной строки (attrib amvo.exe - "Не найден файл: amvo.exe") - прячется или отсутствует?
Может ещё раз сделать логи по правилам?
И ещё: "Мастер поиска и устранения проблем" ничего не порушит в настройках тачки?
Жду ответа!
16.05.2008, 10:08
akok

[b]amvo.exe[/b] уже нет на Вашем самокате....
[quote]И ещё: "Мастер поиска и устранения проблем" ничего не порушит в настройках тачки?[/quote]

Для чего используется ЭВМ?
16.05.2008, 10:12
serjga

[quote=akoK;227751][B]amvo.exe[/B] уже нет на Вашем самокате....

Для чего используется ЭВМ?[/quote]

Маршрутизатор на XP PRO, 1С v8 сервер, Консультант+сервер.
16.05.2008, 10:18
akok

Тогда пока воздержитесь.

Готовьте логи.
16.05.2008, 10:29
serjga

Сервер пока не работает, роутер поставил на другой тачке.
Логи делать обычные, по правилам? НЕ в режиме хащиты от сбоев?
Логи присылать так, как и прежде - через файлообменник - вчера не смог прикрепить файлы стандартно.

Присланный мне скрипт пока не выполнял.
Делаю логи по правилам
И, если amvo.exe нет на моём самокате - зачем в скрипте тогда его удалять и помещать в карантин?
16.05.2008, 10:36
akok

Попробуйте создать логи в обычном режиме и попробуйте прикрепить файлы стандартным способом, а если не получиться крепите на обменник.

[size="1"][color="#666686"][B][I]Добавлено через 3 минуты[/I][/B][/color][/size]

amvo.exe тяжело найти голыми руками....после скрипта он пропадает.

[quote]И, если amvo.exe нет на моём самокате - зачем в скрипте тогда его удалять и помещать в карантин?[/quote]

Если не выполняли, то значит есть
16.05.2008, 10:46
serjga

Получилось! :D
ПРинимайте! :)
16.05.2008, 12:03
Alex_Goodwin

Пофиксить [CODE]O4 - HKCU\..\Run: [amva] C:\WINDOWS\system32\amvo.exe[/CODE] и не перезагружаясь выполнить скрипт: [CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\WINDOWS\system32\amvo.exe');
BC_DeleteFile('C:\WINDOWS\system32\amvo.exe');
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]
Внимание, после скрипта будет перезагрузка!
После перезагрузки - новые логи.
16.05.2008, 14:34
serjga

Вам всё-таки карантин прислать?

Опять файлы не прикрепляются:

hijackthis.log - [url]http://ifolder.ru/6588046[/url]
virusinfo_syscheck.zip - [url]http://ifolder.ru/6588063[/url]
virusinfo_syscure.zip - [url]http://ifolder.ru/6588075[/url]

Невидимые файлы уже открываются.
Посмотрите: всё чисто?
Спасибо!
16.05.2008, 15:13
Alex_Goodwin

ИМХО чисто. проблемы какие-либо остались?
16.05.2008, 15:16
serjga

Скажите, а AVP 7.0.1.325 справился бы с такой задачей, чтобы не заразить этим руткитом? Почему НОД его обнаружил, но всё же пропустил на тачку?

сча переключу на него, в понедельник узнаюо проблемах (НАДЕЮСЬ - их отсутствии)

СПАСИБО! огромное!