Printable View
Вирус.
Видит антивирусы (KAV DRWEB NOD32). Блокирует их запуск, уничтожает exe файлы антивирусов. В безопасном режиме войти не удается - перезагружается. Outpost дал установить, но не дал запустить..
Попытки проверить диски на незараженных компьютерах вышеуказанными антивирусами никакого результата не дали - все чисто.
Почти все компьютеры в офисе заражены, т.е. распространяется по сети.
Прошу помощи. Заранее спасибо!
Забыл совсем. Еще запрещает заходить на сайты этих антивирусов.
В остальном интернет вроде работает.
Нужно отключится от сети до окончания лечения.
1.[url=http://virusinfo.info/showthread.php?t=7239]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".[/url]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
TerminateProcessByName('c:\windows\temp\winmdsup.exe');
TerminateProcessByName('c:\windows\temp\nvkqys.exe');
TerminateProcessByName('c:\windows\temp\jadxcf.exe');
QuarantineFile('c:\windows\temp\nvkqys.exe','');
QuarantineFile('c:\windows\temp\jadxcf.exe','');
QuarantineFile('c:\windows\temp\winmdsup.exe','');
QuarantineFile('H:\autorun.inf','');
DeleteFile('c:\windows\temp\jadxcf.exe');
DeleteFile('c:\windows\temp\nvkqys.exe');
DeleteFile('H:\autorun.inf');
DeleteFile('H:\ylhexj.pif');
DeleteFile('c:\windows\temp\winmdsup.exe');
BC_ImportAll;
ExecuteSysClean;
ExecuteRepair(10);
BC_Activate;
RebootWindows(true);
end.[/CODE]
После выполнения скрипта компьютер перезагрузится.
Прислать карантин согласно [b]приложения 3 [url=http://virusinfo.info/showthread.php?t=1235]правил [/url][/b].
Загружать по ссылке: [url]http://virusinfo.info/upload_virus.php?tid=26185[/url]
2.Пофиксить в HijackThis следующие строчки ( [url]http://virusinfo.info/showthread.php?t=4491[/url] )
[CODE]O21 - SSODL: msindeo.dll - {7ACB5731-5839-13AB-EABC-124791194525} - (no file) [/CODE]
Повторите логи.
Сделано.
Не запустился только [B]HijackThis[/B] (приложение выполнило и будет закрыто). Переименование как написано в правилах не помогло.
Заработал [B]HijackThis[/B].
Диск [b]H[/b] - что такое?
диск H - это флешка
Скрипт выполнялся с флешкой? Выполните в АВЗ вместе с флешкой.
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('H:\autorun.inf');
DeleteFile('H:\ylhexj.pif');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]
Как система?
Повторите логи начиная с п.10 правил.
Флэшка уже отформатирована и вынута из компа.
Компьютер ведет себя так-же плохо.
Остальные компьютеры не пытался лечить - судя по всему имена у вируса каждый раз разные. Главное сейчас принцип понять чтобы потом самому все остальное пролечить.
C:\WINDOWS\system32\wpabaln.exe - вот из-за этого могут быть тормоза. Это запрос на активацию, возник, наверное, после установки СП3.
Поищи в AVZ:
c:\temp\{9618A2C2-B541-48FE-B226-145EF35B5CE3}\{98032D6F-3EE6-4646-B68C-40BF012AC89B}\..\..\T2006tmp\Install.exe
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]4[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\windows\\temp\\jadxcf.exe - [B]SpamTool.Win32.Agent.km[/B] (DrWEB: Trojan.Spambot.3364)[*] c:\\windows\\temp\\nvkqys.exe - [B]Trojan.Win32.Agent.rlb[/B] (DrWEB: Trojan.Spambot.3378)[/LIST][/LIST]