Printable View
На машине не стояло клиента (была обновлена система с win2000 до XP) - не успел :(. Сегодня начал ставить, а он сначала ставится доходит до ~95% и откатывается назад. Инсталятор 100% рабочий. Мысль о том что это вирус появилась потому что в настройках сетевого подключения стояли абсолютно не правильные параметры DNS (в локалке использется AD). Попробовал CURE IT DR WEB... а он не запускается. Короче вот что сказал AVZ и HiJack
Даже если бы стоял- было бы почти тоже самое с правами админа ;) Только limited user даёт защиту от подобного.
Диск live cd есть? У вас интересный экземпляр который никак не попадёт в антивирусные базы, так как не даёт копироваться никакими утилитами, хотелось бы получить вот этот :
C:\WINDOWS\system32\Drivers\Kpu28.sys
[size="1"][color="#666686"][B][I]Добавлено через 14 минут[/I][/B][/color][/size]
Затем будем лечить:
1.Скачать [url]http://mail.ustc.edu.cn/~jfpan/download/IceSword122en.zip[/url] ,меню,File,появится аналог проводника,найти:WinNt32.dll,Kpu28.sys,правая кнопка мыши -> Force Delete на запрос о перезагрузке ответьте положительно.
Отключите средства защиты,интернет и восстановление системы!
2.AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\userinit.exe','');
QuarantineFile('C:\WINDOWS\Downloaded Program Files\WinNTChk.dll','');
QuarantineFile('C:\WINDOWS\system32\kdxlz.exe','');
QuarantineFile('C:\WINDOWS\grinders.exe','');
QuarantineFile('C:\WINDOWS\TEMP\csrssc.exe','');
QuarantineFile('C:\WINDOWS\system32\olesvr32f.exe','');
QuarantineFile('C:\WINDOWS\system32\drivers\pnomn.sys','');
QuarantineFile('C:\WINDOWS\system32\DRIVERS\tcpip.sys','');
QuarantineFile('C:\WINDOWS\system32\Drivers\Kpu28.sys','');
QuarantineFile('C:\WINDOWS\system32\WinNt32.dll','');
QuarantineFile('C:\WINDOWS\system32\nppf.dll','');
DeleteFile('C:\WINDOWS\system32\nppf.dll');
DeleteFile('C:\WINDOWS\system32\olesvr32f.exe');
DeleteFile('C:\WINDOWS\system32\WinNt32.dll');
DeleteFile('C:\WINDOWS\system32\Drivers\Kpu28.sys');
DeleteFile('C:\WINDOWS\system32\drivers\pnomn.sys');
DeleteFile('C:\WINDOWS\TEMP\csrssc.exe');
DeleteFile('C:\WINDOWS\grinders.exe');
DeleteFile('C:\WINDOWS\system32\kdxlz.exe');
BC_ImportAll;
ExecuteSysClean;
ExecuteRepair(6);
ExecuteRepair(8);
BC_Activate;
RebootWindows(true);
end.
[/code]
Прислать карантин согласно приложения 3 правил .
Загружать по ссылке: [url]http://virusinfo.info/upload_virus.php?tid=24053[/url]
Потом свежим cureit пройтись по всем дискам, должен запуститься, сделать новые логи.
[QUOTE=drongo;236633]Даже если бы стоял- было бы почти тоже самое с правами админа ;) [/QUOTE]
Работают на машине с правами "Пользователь". Попытки лечения проходили под Админской учеткой.
C:\WINDOWS\system32\Drivers\Kpu28.sys удалил из доса (загрузился с CD). Экземпляр приложил
Файлик уберите из темы!
Kpu28.sys -[B]Email-Worm.Win32.Agent.fy[/B]
Значит уже всё таки словили :) Не надо запрошенные файлы сюда прикреплять, есть ссылка, красная такая.
Ну не знаю, под "ограниченным пользователем" не возможно словить гадость в C:\WINDOWS\system32\Drivers\
скорее всего какую нибудь задачу(например браузер) от имени админа, вот и нахватали ;)
Cure It показал 43 зараженных файла все в папках виндоуз, систем и систем 32. Один косяк - он их все удалил. не доглядел чуток. поставил проверяться и уехал из офиса на пару часов. соответственно Винда не грузится ни как ни обычно ни в режиме защиты от сбоев.ОС придется восстанавливать/переустанавливать..А не хотелось.
Все равно всем спасибо.
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]33[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] \\bcqr00001.dta - [B]Worm.Win32.Gadja.a[/B] (DrWEB: Trojan.DownLoader.62860)[*] \\bcqr00002.dta - [B]Worm.Win32.Gadja.a[/B] (DrWEB: Trojan.DownLoader.62860)[*] \\bcqr00011.dta - [B]Backdoor.Win32.IRCBot.dis[/B] (DrWEB: BackDoor.IRC.Tcpip)[*] \\bcqr00012.dta - [B]Backdoor.Win32.IRCBot.dis[/B] (DrWEB: BackDoor.IRC.Tcpip)[*] c:\\windows\\system32\\nppf.dll - [B]Backdoor.Win32.Agent.juq[/B] (DrWEB: Trojan.EmailSpy.124)[*] c:\\windows\\system32\\olesvr32f.exe - [B]Backdoor.Win32.IRCBot.dis[/B] (DrWEB: BackDoor.IRC.Tcpip)[*] c:\\windows\\system32\\userinit.exe - [B]Worm.Win32.Gadja.a[/B] (DrWEB: Trojan.DownLoader.62860)[/LIST][/LIST]