Printable View
Добрый день, уважаемые хелперы!
В прошлый раз Вы мне очень помогли и долгое время проблем с различными вирусами не было. Но вот сегодня на одном из сайтов поймал похоже Trojan.Virantix.C
Симптомы:
1. Стартовая страница Google в браузере
2. Иконка в трее "Your computer is infected!"
3. Файл на рабочем столе delself.bat
4. и т.д.
Прошу Вас и в этот раз мне помочь.
Заранее Вам благодарен!
Жду ответа.
[URL="http://www.majorgeeks.com/downloadget.php?id=5199&file=15&evp=0d36c3ec48c6373fd5daac78f0c6a417"]скачайте [/URL]C:\WINDOWS\System32\Drivers\Winua77.sys - force delete
выполните скрипт ...
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\winivstr.exe','');
QuarantineFile('C:\Documents and Settings\Silver\Local Settings\Temporary Internet Files\Content.IE5\K7TXR5M2\Install[1].exe','');
DeleteService('xmlprovNetDDE');
DeleteService('SpoolerVSS');
DeleteService('MessengerTAO_NT_Naming_Service');
DeleteService('lanmanworkstationTermService');
DeleteService('FastUserSwitchingCompatibilityhelpsvc');
QuarantineFile('srv.exe','');
QuarantineFile('Winua77.sys','');
QuarantineFile('C:\WINDOWS\system32\WinCtrl32.dll','');
TerminateProcessByName('c:\windows\system32\buritos.exe');
QuarantineFile('c:\windows\system32\buritos.exe','');
DeleteFile('c:\windows\system32\buritos.exe');
DeleteFile('C:\WINDOWS\system32\WinCtrl32.dll');
DeleteFile('Winua77.sys');
DeleteFile('srv.exe');
DeleteFile('C:\Documents and Settings\Silver\Local Settings\Temporary Internet Files\Content.IE5\K7TXR5M2\Install[1].exe');
DeleteFile('C:\WINDOWS\system32\winivstr.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
пришлите карантин согласно приложения 3 правил ...
повторите логи ...
[B]V_Bond[/B], спасибо за быстрый ответ!
Скачал Registry Mechanic, но при запуске выдает ошибку: "Unicode systems are currently not supported" :(
Файла C:\WINDOWS\System32\Drivers\Winua77.sys в указанном месте не нашел.
Скрипт выполнил, но ситуация, к сожалению, не изменилась.
Можете еще раз взглянуть, пожалуйста.
кто говорил про Registry Mechanic , зачем ? деинсталируйте ....
по ссылке icesword (на рекламу клацать не нужно, он сам должен скачаться) , но авз и сам похоже справился ...
выполните скрипт ...
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
TerminateProcessByName('c:\windows\buritos.exe');
DeleteFile('c:\windows\buritos.exe');
DeleteFile('WinCtrl32.dll');
DeleteFile('C:\Documents and Settings\Silver\Local Settings\Temporary Internet Files\Content.IE5\RFW5O33A\Install[1].exe');
DeleteFile('C:\WINDOWS\system32\winivstr.exe');
BC_ImportDeletedList;
ExecuteSysClean;
ExecuteRepair(2);
ExecuteRepair(3);
ExecuteRepair(4);
BC_Activate;
RebootWindows(true);
end.
[/code]
повторите логи ...
[B]V_Bond[/B], спасибо огромное! Вроде помогло! Новые логи прилагаю.
Остались правда некоторые проблемы:
1. Стоит на компе KIS 7.0.1.325, после этого трояна и лечения перестали работать три функции:
1) Файловый Антивирус - сбой (функция не реализована)
2) Проактивная защита - сбой
3) Сетевой экран - работает частично
Нужно переустановить KIS? Хотелось бы, чтобы этой гадости (вируса, что я поймал) в принципе не осталось в системе и не было ничего повреждено.
2. Скачал IceSword 1.22 - нужно ли ей что-то дополнительно проверять? В каких случая и как используется эта программа? (саму прогу еще не ставил)
3. Как проверить, осталось ли что-нибудь еще от этого трояна в системе и все ли теперь в системе хорошо?
Заранее благодарен!
Жду ответа.
IceSword вам уже не нужен
пофиксите
[code]
O4 - HKLM\..\Run: [buritos] buritos.exe
O20 - Winlogon Notify: WinCtrl32 - C:\WINDOWS\
[/code]
выполните скрипт ...
[code]
begin
DeleteFile('buritos.exe');
BC_DeleteSvc('xmlprovNetDDE');
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
повторите логи ....
[B]V_Bond[/B], очередное Вам спасибо! Пофиксил, выполнил скрипт, логи прилагаю.
[B]P.S.[/B] Удалил все же KIS 7.0.1.325, поставил последнюю Kaspersky Internet Security 8.0.0.454 - проблема исчезла. Обновил базы, буду наблюдать.
[B]P.S.S.[/B] Я все эти действия делаю на рабочем компьютере, за которым снова буду только в понедельник. Прошу Вас не забывать про меня и помочь мне с доведением чистки моего рабочего компьютера до логического завершения ;) В понедельник утром, сразу Вам отвечу в этой ветке.
Спасибо!!!
в логах ничего зловредного ....
[B]V_Bond[/B], вроде бы все почистил, кое-что нашел Касперский при полной проверке. Огромное Вам спасибо за помощь!
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]8[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\documents and settings\\silver\\local settings\\temporary internet files\\content.ie5\\k7txr5m2\\install[1].exe - [B]not-a-virus:FraudTool.Win32.XPSecurityCenter.p[/B] (DrWEB: Trojan.Fakealert.1208)[*] c:\\documents and settings\\silver\\local settings\\temporary internet files\\content.ie5\\rfw5o33a\\install[1].exe - [B]not-a-virus:FraudTool.Win32.XPSecurityCenter.p[/B] (DrWEB: Trojan.Fakealert.1208)[*] c:\\windows\\system32\\braviax.exe - [B]Hoax.Win32.Bravia.ir[/B] (DrWEB: Trojan.Packed.612)[*] c:\\windows\\system32\\drivers\\beep.sys - [B]Backdoor.Win32.UltimateDefender.a[/B] (DrWEB: Trojan.Fakealert.458)[*] c:\\windows\\system32\\winivstr.exe - [B]not-a-virus:FraudTool.Win32.XPSecurityCenter.p[/B] (DrWEB: Trojan.Fakealert.1208)[/LIST][/LIST]