Знакомый принес ноутбук зараженный вирусами.
На рабочем столе висит:
Warning
Spyware detected...
Virtumonde
PrivasyRemover M64
На ноуте стоял неактивированный KIS7, но грузится еще Antivirus XP2008, который по рассказу владельца не было, он предлагает удалить вирусы. Сам он не деинсталируется - похоже сам он и есть вирус.
Подскажите советом, пожалуйста.
Заранее благодарен.
Забыл .
Вот логи.
1.[url=http://virusinfo.info/showthread.php?t=7239]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".[/url]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
TerminateProcessByName('c:\program files\rhcek6j0erdk\rhcek6j0erdk.exe');
TerminateProcessByName('c:\windows\system32\pphcak6j0erdk.exe');
QuarantineFile('C:\WINDOWS\system32\~.exe','');
QuarantineFile('C:\Documents and Settings\Admin\Local Settings\Temporary Internet Files\Content.IE5\L3R136W6\load[1].exe','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Winhm05.sys','');
QuarantineFile('C:\WINDOWS\system32\services.exe','');
QuarantineFile('C:\WINDOWS\system32\lsass.exe','');
QuarantineFile('C:\WINDOWS\system32\spoolsv.exe','');
QuarantineFile('C:\WINDOWS\System32\svchost.exe','');
QuarantineFile('C:\WINDOWS\system32\WinCtrl32.dll','');
QuarantineFile('c:\program files\rhcek6j0erdk\rhcek6j0erdk.exe','');
QuarantineFile('c:\windows\system32\pphcak6j0erdk.exe','');
DeleteFile('c:\windows\system32\pphcak6j0erdk.exe');
DeleteFile('c:\program files\rhcek6j0erdk\rhcek6j0erdk.exe');
DeleteFile('C:\WINDOWS\system32\WinCtrl32.dll');
DeleteFile('C:\WINDOWS\System32\Drivers\Winhm05.sys');
DeleteFile('C:\Documents and Settings\Admin\Local Settings\Temporary Internet Files\Content.IE5\L3R136W6\load[1].exe');
DeleteFile('C:\WINDOWS\system32\~.exe');
BC_ImportAll;
BC_DeleteSvc('Winhm05');
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]
После выполнения скрипта компьютер перезагрузится.
Прислать карантин согласно [b]приложения 3 [url=http://virusinfo.info/showthread.php?t=1235]правил [/url][/b].
Загружать по ссылке: [url]http://virusinfo.info/upload_virus.php?tid=28838[/url]
Повторите логи.
Карантин выслал по указанной ссылке, а логи ниже
По поводу некоторых файлов нужно подождать ответа аналитиков.
C:\WINDOWS\system32\WinCtrl32.dll - Trojan-Downloader.Win32.Mutant.ayw (удалён)
1.[url=http://virusinfo.info/showthread.php?t=7239]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".[/url]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\lphcak6j0erdk.exe','');
QuarantineFile('/r.exe','');
DeleteFile('C:\WINDOWS\system32\lphcak6j0erdk.exe');
BC_ImportAll;
ExecuteSysClean;
ExecuteRepair(5);
ExecuteRepair(6);
BC_Activate;
RebootWindows(true);
end.[/CODE]
После выполнения скрипта компьютер перезагрузится.
Прислать карантин согласно [b]приложения 3 [url=http://virusinfo.info/showthread.php?t=1235]правил [/url][/b].
Загружать по ссылке: [url]http://virusinfo.info/upload_virus.php?tid=28838[/url]
2.Пофиксить в HijackThis следующие строчки ( [url]http://virusinfo.info/showthread.php?t=4491[/url] )
[CODE]O20 - Winlogon Notify: WinCtrl32 - WinCtrl32.dll (file missing) [/CODE]
Повторите логи.
Компьютер все тище и тище становится :-)
Еще раз логи
попробуйте поискать через АВЗ--сервис--поиск файлов на диске [b]r.exe[/b] если найдётся - то загрузите согласно приложения 2 правил.
К сожалению avz его не нашел :(
пофиксите
[code]O4 - HKLM\..\Run: [advap32] /r[/code]
лог hijackthis.log повторите
Ок, загрузил
теперь нужно подождать ответа аналитиков по оставшимся файлам из вашего карантина.
Ок, спасибо. Тогда продолжим ,надеюсь, сегодня вечером.
А Аналитики долго будут расшифровывать вирус ?
Просто меня попросили как можно скорее избавить комп от вирусов :>
[QUOTE=Dmitry2;274022]А Аналитики долго будут расшифровывать вирус ?
Просто меня попросили как можно скорее избавить комп от вирусов :>[/QUOTE]
Я им напомнил :)
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]31[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\documents and settings\\admin\\local settings\\temporary internet files\\content.ie5\\l3r136w6\\load[1].exe - [B]Trojan-Downloader.Win32.Mutant.bge[/B] (DrWEB: Trojan.MulDrop.18698)[*] c:\\program files\\rhcek6j0erdk\\rhcek6j0erdk.exe - [B]not-a-virus:FraudTool.Win32.AntivirusXP2008.s[/B] (DrWEB: Trojan.Packed.600)[*] c:\\windows\\system32\\~.exe - [B]Trojan-Downloader.Win32.Mutant.bge[/B] (DrWEB: Trojan.MulDrop.18698)[*] c:\\windows\\system32\\lsass.exe - [B]Trojan.Win32.Patched.cx[/B][*] c:\\windows\\system32\\pphcak6j0erdk.exe - [B]not-a-virus:FraudTool.Win32.MalwareProtector.s[/B] (DrWEB: Trojan.Fakealert.1233)[*] c:\\windows\\system32\\services.exe - [B]Trojan.Win32.Patched.cx[/B][*] c:\\windows\\system32\\svchost.exe - [B]Trojan.Win32.Patched.cx[/B][*] c:\\windows\\system32\\winctrl32.dll - [B]Trojan-Downloader.Win32.Mutant.ayw[/B] (DrWEB: Trojan.Packed.573)[/LIST][/LIST]