Malware или атака троянами

Printable View

29.05.2008, 01:24
ксена

Вложений: 3

Malware или атака троянами

Мой компьютер атакуют трояны, какие-то руткиты:( ничего не могу понять! Пару раз от avast приходило сообщение, что возможно моя машина имеет все признаки инфицирования malware! Машина тормозит при включении или вообще не включается, после загрузки появляется рабочий стол, но он пустой:( сделала все согласно Вашей инструкции! Надеюсь на Вашу помощь:)
29.05.2008, 02:35
Bratez

Выполните скрипт в AVZ:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\Temp\NT8732.exe','');
QuarantineFile('C:\WINDOWS\totacon.exe','');
QuarantineFile('C:\WINDOWS\system32\userinit.exe','');
QuarantineFile('C:\WINDOWS\libor.exe','');
QuarantineFile('C:\WINDOWS\TEMP\winlogon.exe','');
QuarantineFile('C:\WINDOWS\herjek.exe','');
QuarantineFile('C:\WINDOWS\winlogon.exe','');
QuarantineFile('C:\WINDOWS\system32\win32osf.exe','');
DeleteFile('C:\WINDOWS\system32\win32osf.exe');
DeleteFile('C:\WINDOWS\winlogon.exe');
DeleteFile('C:\WINDOWS\herjek.exe');
DeleteFile('C:\WINDOWS\TEMP\winlogon.exe');
DeleteFile('C:\WINDOWS\libor.exe');
DeleteFile('C:\WINDOWS\totacon.exe');
DeleteFile('C:\WINDOWS\Temp\NT8732.exe');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]
Компьютер перезагрузится.
Пришлите карантин согласно приложению 3 правил
(загружать тут: [url]http://virusinfo.info/upload_virus.php?tid=23626[/url]).
Сделайте новые логи, начиная с п.10 правил.
29.05.2008, 11:34
ксена

Вложений: 2

Выполнила все, так как Вы мне рекомендовали!:)
29.05.2008, 14:14
Bratez

Уже гораздо лучше, но еще не всё.
Выполните такой скрипт:
[code]
begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\drivers\clbdriver.sys','');
QuarantineFile('C:\Program Files\Internet Explorer\SETUPAPI.dll','');
BC_ImportALL;
BC_Activate;
RebootWindows(true);
end.[/code]
Пришлите новый карантин по правилам.

Вот эту строчку в HijackThis можно пофиксить:
[code]
O20 - Winlogon Notify: reset5 - C:\WINDOWS\SYSTEM32\reset5.dll
[/code]

[size="1"][color="#666686"][B][I]Добавлено через 8 минут[/I][/B][/color][/size]

C:\WINDOWS\system32\userinit.exe - [b]Trojan.Win32.Agent.qry[/b]
Удалять его нельзя, надо заменить его чистым из дистрибутива или со здоровой системы.
29.05.2008, 18:45
ксена

строчку в HijackThis пофиксила:)
а вот выполнить скрипт не удалось, почему-то! Программа выдает следующую ошибку
[quote]Ошибка скрипта: ')' expected, позиция [5:18][/quote]
Как быть?:(
29.05.2008, 19:05
Shu_b

[QUOTE=ксена;233786]Как быть?:([/QUOTE]

поправил
29.05.2008, 20:02
ксена

[quote=Shu_b;233793]поправил[/quote]
Спасибо:)
Карантин отправила
30.05.2008, 13:36
ксена

Я прошу прощения:> хотела спросить:) а что мне теперь делать?
30.05.2008, 15:29
Shu_b

clbdriver.sys - Trojan.Win32.DNSChanger.drk,
SETUPAPI.dll - Trojan.Win32.Agent.qtj
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\WINDOWS\system32\drivers\clbdriver.sys');
DeleteFile('C:\Program Files\Internet Explorer\SETUPAPI.dll');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]

Сделайте новые логи
30.05.2008, 18:33
ксена

Вложений: 3

Как я понимаю, я должна было сделать опять скрипт в AVZ. правильно?
Нужно ли было Вам присылать карантин после этого?
[quote=Shu_b;234183]
Сделайте новые логи[/quote]
сделала новые логи:)
30.05.2008, 21:30
Гриша

Отключите антивирус!

[URL="http://virusinfo.info/showthread.php?t=7239"]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".[/URL]

[CODE]begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\drivers\grande48.sys','');
DeleteFile('C:\System Volume Information\_restore{1505228D-A30C-4DEE-BE01-9D32730737D9}\RP12\A0010671.dll');
DeleteFile('C:\System Volume Information\_restore{1505228D-A30C-4DEE-BE01-9D32730737D9}\RP5\A0008425.dll');
DeleteFile('C:\WINDOWS\system32\drivers\grande48.sys');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]

Пришлите карантин по правилам,повторите логи.
31.05.2008, 21:26
ксена

Вложений: 3

сделала:)
31.05.2008, 21:48
Гриша

Деинсталируйте ConnectionServices это адваре,userinit.exe не забудьте заменить,в логах чисто,жалобы есть?
31.05.2008, 22:17
ксена

ConnectionServices деинсталлировала!
Жалоб нет!
Но есть вопрос:> userinit.exe я могу взять только с установочного диска Windows? Простите, но я не свосем сведуща в этих вопросах:) и могу ли я теперь включить Восстановление системы? буду благодарна за ответ
31.05.2008, 22:26
Гриша

Надо сделать так:

1. Нажмите кнопку "Пуск" и выберите команду "Выполнить".
2. В диалоговом окне "Открыть" введите команду cmd и нажмите кнопку "OK".
3. В командной строке введите sfc /scannow и нажмите "ENTER".

Windows будет проверять целостность системных файлов,понадобится диск с дистрибутивом.
16.06.2008, 22:19
ксена

Вложений: 3

Доброго времени суток!
У меня avast опять выдает сообщение о наличии Malware у меня в компьютере:(
Также при включении в правом нижнем углу появляется желтый триеугольник с восклицательным знаком и сообщение о том, что заканчивается виртуальная память Windows:( помогите, пожалуйста, разобраться!
22.02.2009, 05:37
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]3[/B][*]Обработано файлов: [B]37[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\program files\\connectionservices\\connectionservices.dll - [B]Trojan.Win32.ConnectionServices.o[/B] (DrWEB: Trojan.BitAcc)[*] c:\\program files\\internet explorer\\setupapi.dll - [B]Trojan.Win32.Agent.qtj[/B] (DrWEB: Trojan.DownLoader.62734)[*] c:\\system volume information\\_restore{1505228d-a30c-4dee-be01-9d32730737d9}\\rp12\\a0010671.dll - [B]not-a-virus:WebToolbar.Win32.BitAccelerator.e[/B] (DrWEB: Trojan.BitAcc)[*] c:\\system volume information\\_restore{1505228d-a30c-4dee-be01-9d32730737d9}\\rp5\\a0008425.dll - [B]Trojan.Win32.ConnectionServices.o[/B] (DrWEB: Trojan.BitAcc)[*] c:\\windows\\herjek.exe - [B]Email-Worm.Win32.Zhelatin.zb[/B] (DrWEB: Trojan.Packed.468)[*] c:\\windows\\libor.exe - [B]Trojan-Downloader.Win32.Cntr.v[/B] (DrWEB: Trojan.Packed.447)[*] c:\\windows\\system32\\drivers\\clbdriver.sys - [B]Trojan.Win32.DNSChanger.drk[/B][*] c:\\windows\\system32\\drivers\\grande48.sys - [B]Rootkit.Win32.Agent.aih[/B] (DrWEB: Trojan.Sentinel)[*] c:\\windows\\system32\\userinit.exe - [B]Trojan.Win32.Agent.qry[/B] (DrWEB: Trojan.PWS.Lich)[*] c:\\windows\\system32\\win32osf.exe - [B]Worm.Win32.AutoRun.dqo[/B] (DrWEB: Win32.HLLW.Autoruner.2031)[*] c:\\windows\\temp\\nt8732.exe - [B]Trojan-Dropper.Win32.Agent.seg[/B] (DrWEB: Trojan.MulDrop.16286)[*] c:\\windows\\temp\\winlogon.exe - [B]SpamTool.Win32.Agent.kf[/B] (DrWEB: Trojan.Inject.3405)[*] c:\\windows\\totacon.exe - [B]Email-Worm.Win32.Zhelatin.zt[/B] (DrWEB: Trojan.Packed.460)[*] c:\\windows\\winlogon.exe - [B]Trojan-Proxy.Win32.Small.mp[/B] (DrWEB: Trojan.Packed.573)[/LIST][/LIST]