Printable View
Машина генерит трафик.
соединяется с 208.72.168.9, закачивает что то, потом начинает ломиться на разные IP
на 25й порт.
касперский для рабочих станций ничего не видит и своим антихакером заблокировать не может
запуск CuteIt вызывает синий экран -- IRQL_NOT_LESS_OR_EQUAL
тоже происходит и при изменении настроек сетевой карты.
"Скрипт лечения/карантина и сбора информации для раздела "Помогите!" virusinfo.info".
также вызвал IRQL_NOT_LESS_OR_EQUAL
поэтому файла всего 2.
прошу помощи.
Выполните скрипт в AVZ:
[code]
begin
SearchRootkit(false, true);
RegKeyParamDel('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Services\Smyo64', 'Start');
BC_QrFile('C:\WINDOWS\System32\drivers\Smyo64.sys');
BC_DeleteSvc('Smyo64');
BC_DeleteFile('C:\WINDOWS\System32\drivers\Smyo64.sys');
BC_Activate;
RebootWindows(true);
end.[/code]
Компьютер перезагрузится.
Пришлите карантин согласно приложению 3 правил
(загружать тут: [url]http://virusinfo.info/upload_virus.php?tid=23170[/url]).
Повторите лог syscheck.
Спасибо.
запускаю скрипт.
Вижу надпись -- "Функция успешно восстановлена"
после этого падает в синий экран. После загрузки рассылка спама продолжается.
Может синий экран быть связан с активностью вируса или копать в сторону сетевой карты????
Выполните такой скрипт. Затем пришлите карантин и сделайте логи по правилам.
[CODE]
begin
QuarantineFile('C:\WINDOWS\System32\drivers\Smyo64.sys','');
DeleteFile('C:\WINDOWS\System32\drivers\Smyo64.sys');
RebootWindows(true);
end.
[/CODE]
[FONT=monospace]Огромное спасибо.
Сразу после завершения скрипта касперский обнаружил в
C:\WINDOWS\System32\drivers\Smyo64.sys
Rootkit.Win32.Agent.aih
успешно удалил.
имеет ли смысл вкладывать файл из карантина если он и так известен Касперскому?
Скажите вложить-- вложу.
трафик резко упал.
[/FONT]Запускать ли первый скрипт?
присылайте карантин и делайте логи ....
лог
карантин пришлю позже, т.к. вылеченный комп недоступен в данное время.
:( папка капантин есть, в ней есть папка с датой... но она пуста.
[QUOTE=xlukin;229817]лог
карантин пришлю позже, т.к. вылеченный комп недоступен в данное время.
:( папка капантин есть, в ней есть папка с датой... но она пуста.[/QUOTE]
Касперский постарался ;)
Выполните скрипт в AVZ:
[code]
begin
BC_DeleteSvc('Smyo64');
BC_DeleteSvc('ovwscn');
BC_Activate;
RebootWindows(true);
end.[/code]
Компьютер перезагрузится.
Сделайте новые логи, начиная с п.10 правил.