Всем доброго дня!
Проблема в следующем, на ноутбуке происходят непонятные явления, после серфинга по инету, в один момент система написала что якобы инфицированна и нужно ей что-то скачать из интернета... Изменился фон рабочего экрана. Доступ к свойствам экрана, и в диспетчер задач закрыт. Ноутбук подключен к инету через локальную сеть, постоянно загружен входящий трафик, что качает непонятно... ноут от сетки выключаю и трафика нету... Буду очень рад советам!
Файлы прилагаю
ConnectionServices - деинсталировать ...
[URL="http://www.majorgeeks.com/downloadget.php?id=5199&file=15&evp=0d36c3ec48c6373fd5daac78f0c6a417"]скачайте [/URL]C:\WINDOWS\System32\Drivers\Kry20.sys - force delete
выполните скрипт ...
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('wowfx.dll','');
QuarantineFile('C:\WINDOWS\system32\admparseb.exe','');
QuarantineFile('C:\WINDOWS\vlc.exe','');
QuarantineFile('C:\WINDOWS\svzip.exe','');
QuarantineFile('C:\WINDOWS\svx.exe','');
QuarantineFile('C:\WINDOWS\svw.exe','');
QuarantineFile('C:\WINDOWS\svhoster.exe','');
QuarantineFile('C:\WINDOWS\svc.exe','');
QuarantineFile('C:\WINDOWS\sv.exe','');
QuarantineFile('C:\WINDOWS\runsql.exe','');
QuarantineFile('C:\WINDOWS\neos.exe','');
QuarantineFile('C:\DOCUME~1\Admin\LOCALS~1\Temp\wndutl32.dll','');
DeleteService('Kry20');
QuarantineFile('C:\WINDOWS\system32\Drivers\Kry20.sys','');
TerminateProcessByName('c:\windows\winlogon.exe');
QuarantineFile('c:\windows\winlogon.exe','');
DeleteFile('c:\windows\winlogon.exe');
DeleteFile('C:\WINDOWS\system32\Drivers\Kry20.sys');
DeleteFile('C:\DOCUME~1\Admin\LOCALS~1\Temp\wndutl32.dll');
DeleteFile('C:\WINDOWS\neos.exe');
DeleteFile('C:\WINDOWS\runsql.exe');
DeleteFile('C:\WINDOWS\sv.exe');
DeleteFile('C:\WINDOWS\svc.exe');
DeleteFile('C:\WINDOWS\svhoster.exe');
DeleteFile('C:\WINDOWS\svw.exe');
DeleteFile('C:\WINDOWS\svx.exe');
DeleteFile('C:\WINDOWS\svzip.exe');
DeleteFile('C:\WINDOWS\winlogon.exe');
DeleteFile('C:\WINDOWS\vlc.exe');
DeleteFile('C:\WINDOWS\system32\admparseb.exe');
DeleteFile('WLCtrl32.dll');
DeleteFile('wowfx.dll');
DeleteFile('C:\WINDOWS\system32\WLCtrl32.dll');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
пришлите карантин согласно приложения 3 правил ...
повторите логи ...
Все сделал, карантин загружен, логи прикрепил.
Насчет C:\WINDOWS\System32\Drivers\Kry20.sys не понял что нужно сделать....
Скачайте [URL="http://rapidshare.com/files/133061044/IceSword122en.zip.html"]IceSword.[/URL] Запустите, слева внизу нажмите File, затем найдите:
[quote]C:\WINDOWS\system32\WinCtrl32.dll
C:\WINDOWS\system32\Drivers\Kry20.sys[/quote]и сделайте им [URL="http://virusinfo.info/showthread.php?t=17228"]Force Delete.[/URL]
1. Отключите восстановление системы и антивирус.
2. [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ:[/URL]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteService('Kry20');
DeleteFile('C:\WINDOWS\system32\WLCtrl32.dll');
DeleteFile('C:\WINDOWS\system32\Drivers\Kry20.sys');
DelWinlogonNotifyByKeyName('WinCtrl32');
BC_ImportDeletedList;
ExecuteSysClean;
DeleteService('Kry20');
BC_Activate;
RebootWindows(true);
end.[/CODE]
После выполнения скрипта компьютер перезагрузится!
3. Повторите логи.
Все сделал. Восстановление системы было отключено, проверил еще раз... Антивирус выгрузить полностью не удается, видимая часть выгружается, а процесс ekrn.exe, запущенный из под SYSTEM после выгрузки сам загружается снова...
Логи прилагаю.
пофиксите
[code]
O9 - Extra button: (no name) - {8DAE90AD-4583-4977-9DD4-4360F7A45C74} - (no file)
O20 - Winlogon Notify: WLCtrl32 - WLCtrl32.dll (file missing)
O22 - SharedTaskScheduler: IPC Configuration Utility - IPC Configuration Utility - (no file)
[/code]
выполните скрипт ...
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DelBHO('{3EDBF8E9-3130-72C8-ED30-32A3DB08ED44}');
BC_DeleteSvc('Kry20');
DeleteFile('C:\WINDOWS\System32\Drivers\Kry20.sys');
DeleteFile('WLCtrl32.dll');
DeleteFile('C:\WINDOWS\wdmon.exe');
DeleteFile('C:\Program Files\altcmd\altcmd32.dll');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
повторите логи ....
все сделал, и пофиксил и скрипт :-) логи прилагаю
в логах ничего плохого ...
Спасибо большое! Проблемы исчезли, причем все!
neos.exe_ - Email-Worm.Win32.Zhelatin.agg,
WLCtrl32.dll - Trojan-Downloader.Win32.Mutant.bj
+ новые
runsql.exe_ - Trojan-Clicker.Win32.Delf.atx,
sv.exe_ - Trojan-Downloader.Win32.Osewlone.a,
svhoster.exe_ - Trojan-Downloader.Win32.Osewlone.b,
svw.exe_ - Trojan-Downloader.Win32.Osewlone.c,
svzip.exe_ - Trojan-Downloader.Win32.Osewlone.d,
vlc.exe_ - Trojan-Clicker.Win32.Delf.aty,
winlogon.exe_ - Trojan-Clicker.Win32.Delf.atw
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]12[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\windows\\neos.exe - [B]Email-Worm.Win32.Zhelatin.agg[/B] (DrWEB: Trojan.Packed.607)[*] c:\\windows\\runsql.exe - [B]Trojan-Clicker.Win32.Delf.atx[/B] (DrWEB: Trojan.Packed.612)[*] c:\\windows\\svc.exe - [B]Trojan-Clicker.Win32.Agent.cki[/B] (DrWEB: Trojan.Packed.612)[*] c:\\windows\\sv.exe - [B]Trojan-Clicker.Win32.Osewlone.a[/B] (DrWEB: Trojan.Packed.612)[*] c:\\windows\\svhoster.exe - [B]Trojan-Clicker.Win32.Osewlone.b[/B] (DrWEB: Trojan.Packed.612)[*] c:\\windows\\svw.exe - [B]Trojan-Clicker.Win32.Osewlone.c[/B] (DrWEB: Trojan.Packed.612)[*] c:\\windows\\svx.exe - [B]Trojan-Clicker.Win32.Agent.cko[/B] (DrWEB: Trojan.Packed.612)[*] c:\\windows\\svzip.exe - [B]Trojan-Clicker.Win32.Osewlone.d[/B] (DrWEB: Trojan.Packed.612)[*] c:\\windows\\system32\\wlctrl32.dll - [B]Trojan-Downloader.Win32.Mutant.bj[/B] (DrWEB: Trojan.DownLoader.54123)[*] c:\\windows\\vlc.exe - [B]Trojan-Clicker.Win32.Delf.aty[/B] (DrWEB: Trojan.Packed.612)[*] c:\\windows\\winlogon.exe - [B]Trojan-Clicker.Win32.Delf.atw[/B] (DrWEB: Trojan.Packed.612)[/LIST][/LIST]