Printable View
Проблема такая: при работе на ноуте Acer 5100 раз в 20 минут вылетает ошибка Services.exe и ноут ребутится. Стоял Norton 2005 благополучно ничего не увидел, после чего был также благополучно снесен. Прошелся Adaware... что-то удалил, а что-то осталось. В частности мне не нравятся эти 2 файла w32sys4.exe и Isdelete.exe. Жду помощи и советов, как избавится от этой гадости. Заранее благодарен за помощь!
Вы IceSword на этом компьютере запускали?
Отключите антивирус и интернет!
[URL="http://mail.ustc.edu.cn/~jfpan/download/IceSword122en.zip"]Скачать[/URL],меню,File,появится аналог проводника,найти:Yir76.sys,правая кнопка мыши Force Delete.
[URL="http://virusinfo.info/showthread.php?t=7239"]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".[/URL]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\TEMP\csrssc.exe','');
QuarantineFile('C:\DOCUME~1\ztv\LOCALS~1\Temp\csrssc.exe','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Paj08.sys','');
QuarantineFile('C:\WINDOWS\system32\DRIVERS\Ip6Fw.sys','');
QuarantineFile('C:\WINDOWS\system32\diperto5cbf-2331.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Yir76.sys','');
QuarantineFile('C:\WINDOWS\system32\hd783fdg.dll','');
DeleteService('Yir76');
DeleteService('diperto5cbf-2331');
DeleteService('Paj08');
DeleteFile('C:\WINDOWS\system32\hd783fdg.dll');
DeleteFile('C:\WINDOWS\System32\Drivers\Yir76.sys');
DeleteFile('C:\WINDOWS\system32\diperto5cbf-2331.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Paj08.sys');
DeleteFile('C:\DOCUME~1\ztv\LOCALS~1\Temp\csrssc.exe');
DeleteFile('C:\WINDOWS\TEMP\csrssc.exe');
BC_ImportALL;
ExecuteSysClean;
BC_DeleteSvc('Yir76 ');
BC_DeleteSvc('diperto5cbf-2331 ');
BC_DeleteSvc('Paj08 ');
BC_Activate;
RebootWindows(true);
end.[/CODE]
После выполнения скрипта компьютер перезагрузится.
Прислать карантин согласно приложения 3 правил .
Загружать по ссылке:[url]http://virusinfo.info/upload_virus.php?tid=22962[/url]
Повторите логи.
Это ваш провайдер:
[CODE]Japan Network Information Center
Kokusai-Kougyou-Kanda Bldg 6F, 2-3-4 Uchi-Kanda
Chiyoda-ku, Tokyo 101-0047, Japan[/CODE]
[quote=Гриша;227922]Вы IceSword на этом компьютере запускали?
[/quote]
Запускал
Карантин отправил. Логи прикрепляю...
В карантине был только Paj08.sys-совсем свежий гад:)
[URL="http://virusinfo.info/showthread.php?t=4491"]Пофиксить[/URL]
[CODE]O20 - Winlogon Notify: WinNt32 - C:\WINDOWS\
[/CODE]
Повтор:Это ваш провайдер
[CODE]Japan Network Information Center
Kokusai-Kougyou-Kanda Bldg 6F, 2-3-4 Uchi-Kanda
Chiyoda-ku, Tokyo 101-0047, Japan[/CODE]
Ip6Fw.sys пришлите согласно приложению 2 правил
[quote=Гриша;227953]В карантине был только Paj08.sys-совсем свежий гад:)
[URL="http://virusinfo.info/showthread.php?t=4491"]Пофиксить[/URL]
[code]O20 - Winlogon Notify: WinNt32 - C:\WINDOWS\
[/code][/quote]
[quote=Гриша;227953]Ip6Fw.sys пришлите согласно приложению 2 правил[/quote]
Спасибо большое! Продолжу лечение только в понедельник ибо ноут остался на работе, тогда же и пришлю карантин...
[quote=Гриша;227953]
Повтор:Это ваш провайдер
[code]Japan Network Information Center
Kokusai-Kougyou-Kanda Bldg 6F, 2-3-4 Uchi-Kanda
Chiyoda-ku, Tokyo 101-0047, Japan[/code][/quote]
Нет не мой...
Карантин отправил, WinLogon пофиксил...На всякий случай прикрепляю сегодняшние логи.
пофиксите ...
[code]
O17 - HKLM\System\CCS\Services\Tcpip\..\{3F6502DE-6FC8-4C34-BA7C-1F493F40FFDB}: NameServer = 150.63.3.240
O17 - HKLM\System\CCS\Services\Tcpip\..\{6BCF5523-7BEF-4E45-A865-6CD230BF8EF5}: NameServer = 150.63.3.240
O17 - HKLM\System\CCS\Services\Tcpip\..\{7DC6BF62-37F5-439D-A178-D0CFEC9902FD}: NameServer = 150.63.3.240
O17 - HKLM\System\CCS\Services\Tcpip\..\{F0ED61BA-ECB4-4092-989A-A8E489236F84}: NameServer = 150.63.3.240
O17 - HKLM\System\CCS\Services\Tcpip\..\{FDBFDFED-99A0-4970-8CF7-8C58A3D3D24A}: NameServer = 150.63.3.240
O17 - HKLM\System\CS1\Services\Tcpip\..\{3F6502DE-6FC8-4C34-BA7C-1F493F40FFDB}: NameServer = 150.63.3.240
[/code]
больше ничего подозрительного ...
[quote=V_Bond;228760]пофиксите ...
[code]
O17 - HKLM\System\CCS\Services\Tcpip\..\{3F6502DE-6FC8-4C34-BA7C-1F493F40FFDB}: NameServer = 150.63.3.240
O17 - HKLM\System\CCS\Services\Tcpip\..\{6BCF5523-7BEF-4E45-A865-6CD230BF8EF5}: NameServer = 150.63.3.240
O17 - HKLM\System\CCS\Services\Tcpip\..\{7DC6BF62-37F5-439D-A178-D0CFEC9902FD}: NameServer = 150.63.3.240
O17 - HKLM\System\CCS\Services\Tcpip\..\{F0ED61BA-ECB4-4092-989A-A8E489236F84}: NameServer = 150.63.3.240
O17 - HKLM\System\CCS\Services\Tcpip\..\{FDBFDFED-99A0-4970-8CF7-8C58A3D3D24A}: NameServer = 150.63.3.240
O17 - HKLM\System\CS1\Services\Tcpip\..\{3F6502DE-6FC8-4C34-BA7C-1F493F40FFDB}: NameServer = 150.63.3.240
[/code]
больше ничего подозрительного ...[/quote]
Ага сделал! Еще раз всем спасибо за помощь!!!