Printable View
всем добрый день опять нуждаюсь в вашей помощи. Виноват тут юзер конечно - установил несколько програмок вроде Антиспайуэр с инета после этого у него пропал диск С с проводника, меню пуск, заблокирован диспечер задач, редактор реестра и т.д. Я нашел эти проги и удалил, редактор реестра вернул и диспечер задач но все время выскакивают сообщения что комп инфицирован спайуэром. Причем остались хвосты в реестрею Посмотрите и если возможно помогите
еще свойства экрана отключены....
На время выполнения скрипта, отключитесь от сети и отключите антивирусный монитор.
Пофиксите с помощью Hijackthis строки: [code]R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://softwarereferral.com/jump.php?wmid=6010&mid=MjI6Ojg5&lid=2
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://dp.smileycentral.com/download/redir.jhtml?dest=congrats&product=smileynopop&partner=ZNfox000&sa=1
R3 - URLSearchHook: (no name) - {00A6FAF6-072E-44cf-8957-5838F569A31D} - C:\Program Files\MyWebSearch\SrchAstt\1.bin\MWSSRCAS.DLL (file missing)
O2 - BHO: QXK Olive - {9BE1C714-15E1-4ABB-AEBE-FD959B84C430} - C:\WINDOWS\ksendlbtxen.dll
O3 - Toolbar: My Web Search - {07B18EA9-A523-4961-B6BB-170DE4475CCA} - C:\Program Files\MyWebSearch\bar\1.bin\MWSBAR.DLL (file missing)
O3 - Toolbar: vrmdtneg - {F48E8746-62DF-4CDA-817F-1BDBC9B3A35B} - C:\WINDOWS\vrmdtneg.dll
O8 - Extra context menu item: &Search - http://edits.mywebsearch.com/toolbaredits/menusearch.jhtml?p=ZNfox000
O21 - SSODL: xvorfwbd - {7A34B1DA-101E-4772-9322-34323BDC452C} - C:\WINDOWS\xvorfwbd.dll
O21 - SSODL: wpvmqosg - {108D63E1-2EC8-4113-964D-A39E986F5BF2} - C:\WINDOWS\wpvmqosg.dll[/code]Программа AVZ - файл - выполнить скрипт - выполните следующий скрипт: [code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files\Content.IE5\CS38UV9U\spyguarder_install[1].exe','');
QuarantineFile('c:\windows\wpvmqosg.dll','');
QuarantineFile('C:\WINDOWS\system32\vav.cpl','');
QuarantineFile('C:\WINDOWS\vrmdtneg.dll','');
QuarantineFile('C:\WINDOWS\ksendlbtxen.dll','');
QuarantineFile('C:\Program Files\MyWebSearch\bar\1.bin\MWSBAR.DLL','');
QuarantineFile('C:\WINDOWS\xvorfwbd.dll','');
QuarantineFile('C:\WINDOWS\wpvmqosg.dll','');
DeleteFile('C:\WINDOWS\wpvmqosg.dll');
BC_DeleteFile('C:\WINDOWS\wpvmqosg.dll');
DeleteFile('C:\WINDOWS\xvorfwbd.dll');
BC_DeleteFile('C:\WINDOWS\xvorfwbd.dll');
DeleteFile('C:\Program Files\MyWebSearch\bar\1.bin\MWSBAR.DLL');
BC_DeleteFile('C:\Program Files\MyWebSearch\bar\1.bin\MWSBAR.DLL');
DeleteFile('C:\WINDOWS\ksendlbtxen.dll');
BC_DeleteFile('C:\WINDOWS\ksendlbtxen.dll');
DeleteFile('C:\WINDOWS\vrmdtneg.dll');
BC_DeleteFile('C:\WINDOWS\vrmdtneg.dll');
DeleteFile('C:\WINDOWS\system32\vav.cpl');
BC_DeleteFile('C:\WINDOWS\system32\vav.cpl');
DeleteFile('c:\windows\wpvmqosg.dll');
BC_DeleteFile('c:\windows\wpvmqosg.dll');
DeleteFile('C:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files\Content.IE5\CS38UV9U\spyguarder_install[1].exe');
BC_DeleteFile('C:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files\Content.IE5\CS38UV9U\spyguarder_install[1].exe');
DelBHO('{07B18EA9-A523-4961-B6BB-170DE4475CCA}');
DelBHO('{9BE1C714-15E1-4ABB-AEBE-FD959B84C430}');
DelBHO('{F48E8746-62DF-4CDA-817F-1BDBC9B3A35B}');
BC_Activate;
ExecuteSysClean;
executerepair(6);
RebootWindows(true);
end.[/code] Система будет перезагружена. После перезагрузки, карантин AVZ загрузите по ссылке [url]http://virusinfo.info/upload_virus.php?tid=25016[/url] , как написано в прил. 3 правил, и повторите логи, начиная с п. 10 правил.
Файл сохранён как 080620_100531_2008-06-20_485bc73b2dfad.zip
Размер файла 363850
MD5 758a12a142ff14e5785df2394108e8b1
[size="1"][color="#666686"][B][I]Добавлено через 3 минуты[/I][/B][/color][/size]
есть подозрение на 2 файла которых даже АВЗ не нажел подозрительными C:\WINDOWS\evsr.exe и C:\WINDOWS\neltabxw.exe на вирустотале они палятся всего несколькими
[size="1"][color="#666686"][B][I]Добавлено через 47 секунд[/I][/B][/color][/size]
скрипт выполнил вроде все удачно повторяю логи
вроде все нормально после второго сканирования карантин остался пустым. толко вот рядом с часиками осталось надпись VIRUS ALERT!
спасибо большое вы спасли жизнь компьютера и юзера в том числе :). Если эту надпись нельзя убрать то пусть так и останется следующий раз научатся не качать всякое д..мо с нета.
[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]
я хочу научится этим делом
[size="1"][color="#666686"][B][I]Добавлено через 3 минуты[/I][/B][/color][/size]
то есть я кое-что уже умею только не все
[size="1"][color="#666686"][B][I]Добавлено через 51 секунду[/I][/B][/color][/size]
к кому обратиться?
Чтобы убрать Virus Alert! , программа AVZ - файл - выполнить скрипт - выполните следующий скрипт: [code]begin
RegKeyStrParamWrite('HKCU','Control Panel\International','sTimeFormat','H:mm:ss');
RebootWindows(true);
end.[/code] После перезагрузки, системные часы должны восстановиться. В логах я ничего плохого не вижу. Проблемы остались какие-нибудь?
нет проблем никаких не осталось с часами я сам расобрался поиском в реестре :). спасибо большое и сорри что так долго не ответил