Здравстуйте!
Вот уже несколько дней безуспешно борюсь с пропажей Dektop'а,иконок и старт меню. NOD32 нашел троян Win32/Wigon.CK в C:\System Volume Information\_restore и кое-какие адвары.
После этого AVZ еще находил "подозрение на Backdoor.Win32.Peanut.c" , "Подозрение на Keylogger или троянскую DLL". Symantec online scan нашел Trojan.pandex.
Все было удалено, но Dektop'а,иконок все равно нет.
Посмотрите, пожалуйста, логи! Не хотелось бы форматировать диск..
1. Скачайте IceSword: [url]http://mail.ustc.edu.cn/~jfpan/downl...Sword122en.zip[/url]
2. Запустите, слева внизу нажмите File, затем найдите файлы:
C:\WINDOWS\system32\WinCtrl32.dll
C:\WINDOWS\system32\Drivers\Winxf41.sys
и сделайте им [url=http://virusinfo.info/showthread.php?t=17228]Force Delete[/url].
3. [url=http://virusinfo.info/showthread.php?t=4491]Пофиксите в HijackThis:[/url]
[CODE]
O20 - Winlogon Notify: WinCtrl32 - C:\WINDOWS\SYSTEM32\WinCtrl32.dll
[/CODE]
4. [url=http://virusinfo.info/showthread.php?t=7239]Выполните скрипт в AVZ:[/url]
[CODE]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DelBHO('{C108AE59-C97F-4517-8B74-5590BE3C2A82}');
DelBHO('{CAE49279-0869-477C-9B89-AD5E060EF55C}');
QuarantineFile('C:\WINDOWS\system32\womwfysw.dll','');
QuarantineFile('C:\WINDOWS\system32\tdlpqciw.dll','');
QuarantineFile('C:\WINDOWS\system32\otpnipng.dll','');
QuarantineFile('C:\WINDOWS\system32\loader.exe','');
QuarantineFile('WinCtrl32.dll','');
QuarantineFile('C:\WINDOWS\system32\bxniclyl.dll','');
QuarantineFile('C:\WINDOWS\system32\drivers\EIO.sys','');
StopService('Winxf41');
DeleteService('Winxf41');
QuarantineFile('C:\WINDOWS\system32\Drivers\Winxf41.sys','');
QuarantineFile('C:\WINDOWS\system32\drivers\oreans32.sys','');
QuarantineFile('C:\WINDOWS\system32\WinCtrl32.dll','');
QuarantineFile('C:\WINDOWS\system32\geBrqrSJ.dll','');
QuarantineFile('C:\WINDOWS\system32\nnnoLBqO.dll','');
DeleteFile('C:\WINDOWS\system32\WinCtrl32.dll');
DeleteFile('C:\WINDOWS\system32\Drivers\Winxf41.sys');
DeleteFile('WinCtrl32.dll');
DeleteFile('C:\WINDOWS\system32\otpnipng.dll');
DeleteFile('C:\WINDOWS\system32\tdlpqciw.dll');
DeleteFile('C:\WINDOWS\system32\womwfysw.dll');
DeleteFile('C:\WINDOWS\system32\geBrqrSJ.dll');
DeleteFile('C:\WINDOWS\system32\bxniclyl.dll');
DeleteFile('C:\WINDOWS\system32\nnnoLBqO.dll');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/CODE]
Пункты 2-4 выполнять подряд, без промежуточных перезагрузок, при отключенном интернете и антивирусе.
После выполнения скрипта компьютер перезагрузится.
Прислать карантин согласно [b]приложения 3 [url=http://virusinfo.info/showthread.php?t=1235]правил [/url][/b].
Загружать по ссылке: [url]http://virusinfo.info/upload_virus.php?tid=25194[/url]
________________
После всего этого повторите логи.
Kuzz, спасибо за быстрый ответ!
IceSword недоступен по той ссылке, которую Вы предоставили! Укажите, пожалуйста, другое безопасное место, откуда можно скачать эту программу.
[url]http://mail.ustc.edu.cn/~jfpan/download/IceSword122en.zip[/url]
Упс..
Kuzz, большое Вам спасибо, появился Desktop, иконки и старт меню. Как Вас отблагодарить?
Карантин отправил, сейчас сканю AVZ'ом.
Вот.
Ребята, я смотрю у вас полный аншлаг. Не забудьте про меня!
Бывает и "полный аншлаг"..
Так вроде все чисто, но остались хвосты, которые лучше удалить:
1.[url=http://virusinfo.info/showthread.php?t=7239]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".[/url]
[CODE]begin
DelBHO('{C108AE59-C97F-4517-8B74-5590BE3C2A82}');
DelBHO('{051C7A7C-810F-4DC7-A981-D56F519AF3F5}');
DeleteFile('WgaLogon.dll');
DeleteFile('C:\WINDOWS\system32\nnnoLBqO.dll');
DeleteFile('C:\WINDOWS\system32\geBrqrSJ.dll');
ExecuteSysClean;
end.[/CODE]
2.Пофиксить в HijackThis следующие строчки ( [url]http://virusinfo.info/showthread.php?t=4491[/url] )
[CODE] O2 - BHO: (no name) - {051C7A7C-810F-4DC7-A981-D56F519AF3F5} - C:\WINDOWS\system32\nnnoLBqO.dll (file missing)
O2 - BHO: (no name) - {C108AE59-C97F-4517-8B74-5590BE3C2A82} - C:\WINDOWS\system32\geBrqrSJ.dll (file missing)
O9 - Extra button: (no name) - {8DAE90AD-4583-4977-9DD4-4360F7A45C74} - (no file)
O20 - Winlogon Notify: geBrqrSJ - geBrqrSJ.dll (file missing)
O20 - Winlogon Notify: WinCtrl32 - C:\WINDOWS\ [/CODE]
Эти настройки Вам известны?
Если нет - тоже фиксить.
[CODE]
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = proxy.tsr.lv:8080
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = *.lv
O17 - HKLM\System\CCS\Services\Tcpip\..\{5795BCFC-28B1-46FC-BB5E-E503F73342C4}: NameServer = 81.198.60.10,195.13.160.52
O17 - HKLM\System\CCS\Services\Tcpip\..\{AEF4A96B-50D6-4571-B6CD-24069C3DFEA4}: NameServer = 159.148.60.20,195.2.96.2
[/CODE]
Спасибо Вам за помощь, кажется, все в порядке. Последний вопрос - какой антивирус лучше поставить? Эти трояны проникли при NOD32, правда версия не самая последняя была. Походы по форумам ничего не дали, каждый хвалит свой антивирус. Но какой все-таки лучше?
[QUOTE=xxxp;246709]Спасибо Вам за помощь, кажется, все в порядке. Последний вопрос - какой антивирус лучше поставить? Эти трояны проникли при NOD32, правда версия не самая последняя была.[/QUOTE] Обновлять антивирус обязательно надо. Новые модификации встречаются каждый день. [QUOTE=xxxp;246709]Походы по форумам ничего не дали, каждый хвалит свой антивирус. Но какой все-таки лучше?[/QUOTE]
Вы хотите услышать что мы хвалим?
Лучший метод выбора - практика и собственное мнение.
Попробуйте, какой вам подойдет.
Еще рекомендуется к прочтению [url]http://security-advisory.virusinfo.info/[/url]
[size="1"][color="#666686"][B][I]Добавлено через 6 минут[/I][/B][/color][/size]
В [URL="http://virusinfo.info/forumdisplay.php?f=39"]этой ветке[/URL] обсуждается много антивирусов. Почитайте, присмотритесь.
Ого, спасибо, ценная информация.
Ушел читать.