Полезли вирусы - DrWeb находит, но не убивает

Printable View

22.05.2008, 12:29
sergijko

Полезли вирусы - DrWeb находит, но не убивает

DrWeb активно находит кучу вирусов, нажимаю "лечить", а потом он их опять находит.

Вот на что он кричит:
C:\System Volume Information\_restore{8BB7F02A-8552-4183-A299-E3708E0CFA56}\RP394\A0107243.sys - инфицирован Trojan.Spambot.2486
C:\WINDOWS\system32\basewmvh32.dll - инфицирован Trojan.Okuks.based
O:\kyxa\server3\home\freehost\www\data\mails_temp\swing\part-159.html - инфицирован Trojan.Okuks.based
C:\WINDOWS\system32\basewmvh32.dll - инфицирован Trojan.Okuks.based
C:\WINDOWS\TEMP\NT37C132.exe - инфицирован Trojan.PWS.LDPinch.1941
C:\WINDOWS\TEMP\NT1C5232.exe - инфицирован Trojan.PWS.LDPinch.1941
22.05.2008, 12:44
PavelA

Восстановление системы нужно отключить!!!

ПАРОЛИ ВСЕ сменить обязательно, у Вас был Пинч.
22.05.2008, 12:48
Гриша

Отключите антивирус и интернет!

[URL="http://virusinfo.info/showthread.php?t=7239"]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".[/URL]

[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('pythoncom24.dll','');
QuarantineFile('C:\WINDOWS\TEMP\winlogon.exe','');
QuarantineFile('C:\WINDOWS\system32\basewmvh32.dll','');
DeleteFile('C:\WINDOWS\system32\basewmvh32.dll');
DeleteFile('C:\WINDOWS\TEMP\winlogon.exe');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]

После выполнения скрипта компьютер перезагрузится.
Прислать карантин согласно приложения 3 правил .
Загружать по ссылке:[url]http://virusinfo.info/upload_virus.php?tid=23215[/url]

Очистите кеш браузера,временные папки,просканируйте Доктором в безопасном режиме и повторите логи.
22.05.2008, 12:52
AndreyKa

Версия 4.44 DrWeb вышла пол-года назад. А у вас какая, 4.33?
22.05.2008, 12:56
sergijko

Восстановление отключил.
Что значит "был" - уже нет, и система чистая?

О паролях расскажите пожалуйста - пинч считывает и куда-то отсылает все пароли, которые я в ie вводил во время жизни пинча?

Кстати, drWeb сканер некоторое время назад перестал запускаться, работает только SpiderGuard - это тоже проделки какого-то вируса?

[size="1"][color="#666686"][B][I]Добавлено через 2 минуты[/I][/B][/color][/size]

[quote=AndreyKa;230114]Версия 4.44 DrWeb вышла пол-года назад. А у вас какая, 4.33?[/quote]
Да, 33. Но базы актуальные (я думал главное у него - базы).
22.05.2008, 12:59
AndreyKa

[quote=sergijko]Но базы актуальные (я думал главное у него - базы).[/quote]
Наверное, вы его с KAV путаете.
22.05.2008, 13:00
PavelA

[QUOTE=sergijko;230116]Что значит "был" - уже нет, и система чистая?

О паролях расскажите пожалуйста - пинч считывает и куда-то отсылает все пароли, которые я в ie вводил во время жизни пинча?
[/QUOTE]

Да, занимается он именно этим, возможно ушли все пароли.

После отключения восстановления и выполнения скриптов можно будет еще разок проверить польностью компьютер Доктором.
22.05.2008, 16:34
sergijko

[quote=Гриша;230113]Отключите антивирус и интернет!

[URL="http://virusinfo.info/showthread.php?t=7239"]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".[/URL]

[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('pythoncom24.dll','');
QuarantineFile('C:\WINDOWS\TEMP\winlogon.exe','');
QuarantineFile('C:\WINDOWS\system32\basewmvh32.dll','');
DeleteFile('C:\WINDOWS\system32\basewmvh32.dll');
DeleteFile('C:\WINDOWS\TEMP\winlogon.exe');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]

После выполнения скрипта компьютер перезагрузится.
Прислать карантин согласно приложения 3 правил .
Загружать по ссылке:[URL]http://virusinfo.info/upload_virus.php?tid=23215[/URL]

Очистите кеш браузера,временные папки,просканируйте Доктором в безопасном режиме и повторите логи.[/quote]

Все сделал.
22.05.2008, 16:35
sergijko

[quote=AndreyKa;230119]Наверное, вы его с KAV путаете.[/quote]
Не, drUpdater думаю именно drWeb обновляет :)
22.05.2008, 16:50
V_Bond

отключите всю автозагрузку ... переделайте virusinfo_syscheck.zip
22.05.2008, 16:58
sergijko

[quote=V_Bond;230230]отключите всю автозагрузку ... переделайте virusinfo_syscheck.zip[/quote]
А в безопасном режиме автозагрузка не запускается? Или же полюбому через msconfig отключать все из автозагрузки?
22.05.2008, 17:07
V_Bond

лучше через msconfig ( временно ,потом включите)
22.05.2008, 18:19
sergijko

[quote=V_Bond;230230]отключите всю автозагрузку ... переделайте virusinfo_syscheck.zip[/quote]

Сделал.
22.05.2008, 18:21
Гриша

В логе ничего подозрительного,проблема осталась?
22.05.2008, 18:27
sergijko

[quote=Гриша;230311]В логе ничего подозрительного,проблема осталась?[/quote]

"в логе ничего подозрительного" == возможно все вылечили?

Обновил drWeb к 4.44 - пока молчит, ничего вроде не находит.
22.02.2009, 05:24
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]17[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\windows\\system32\\basewmvh32.dll - [B]Trojan.Win32.SubSys.dr[/B][*] c:\\windows\\temp\\winlogon.exe - [B]SpamTool.Win32.Agent.kf[/B] (DrWEB: Trojan.Inject.3405)[/LIST][/LIST]