Printable View
Поймали заразу, система после загрузки уходила в рестарт, естественно вылезла табличка "Warning! SpyWare Detected". Система смогла запуститься только в безопасном режиме (без сетевых служб, если с ними - по перезапуск), причем ни AVZ, ни hijackthis не запускались (помогло переименование). После выполнения стандартных скриптов AVZ система смогла запуститься в нормальном режиме, в процессах был Braviax. После перезагрузки - на исходную: система перезапускается после загрузки пользователя.
[URL="http://www.majorgeeks.com/downloadget.php?id=5199&file=15&evp=0d36c3ec48c6373fd5daac78f0c6a417"]скачайте [/URL]C:\WINDOWS\System32\Drivers\Wineo85.sys - force delete
выполните скрипт ...
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\winivstr.exe','');
QuarantineFile('avicore.dll','');
QuarantineFile('C:\WINDOWS\system32\karina.dat','');
QuarantineFile('C:\WINDOWS\system32\braviax.exe','');
DeleteService('Wineo85');
QuarantineFile('C:\WINDOWS\System32\Drivers\Beep.SYS','');
QuarantineFile('C:\WINDOWS\system32\WinCtrl32.dll','');
DeleteFile('C:\WINDOWS\system32\WinCtrl32.dll');
BC_DeleteFile('C:\WINDOWS\System32\Drivers\Beep.SYS');
DeleteFile('C:\WINDOWS\system32\Drivers\Wineo85.sys');
DeleteFile('C:\WINDOWS\system32\blphc3hvj0e1op.scr');
DeleteFile('C:\WINDOWS\system32\braviax.exe');
DeleteFile('C:\WINDOWS\system32\karina.dat');
DeleteFile('WinCtrl32.dll');
DeleteFile('__c00BC85A.jpg');
DeleteFile('avicore.dll');
DeleteFile('C:\WINDOWS\system32\winivstr.exe');
BC_ImportDeletedList;
ExecuteRepair(6);
ExecuteRepair(8);
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
пришлите карантин согласно приложения 3 правил ...
повторите логи ...
Карантин отправлен, логирование выполнено.
выполните скрипт ....
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\Documents and Settings\1\Local Settings\Temp\Temporary Internet Files\Content.IE5\GRGI2N94\Install[2].exe','');
QuarantineFile('C:\WINDOWS\karina.dat','');
QuarantineFile('C:\Program Files\Internet Explorer\romdrivers.dll','');
DeleteService('Wineo85');
DeleteFile('C:\WINDOWS\System32\Drivers\Wineo85.sys');
DeleteFile('C:\WINDOWS\karina.dat');
DeleteFile('C:\Program Files\Internet Explorer\romdrivers.dll');
DeleteFile('C:\Documents and Settings\1\Local Settings\Temp\Temporary Internet Files\Content.IE5\GRGI2N94\Install[2].exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
пришлите карантин согласно приложеняи3 правил ....
повторите логи ...
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]17[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\windows\\services.exe - [B]Trojan.Win32.Pakes.kgp[/B] (DrWEB: Trojan.MulDrop.18727)[*] c:\\windows\\system32\\braviax.exe - [B]Hoax.Win32.Bravia.ir[/B] (DrWEB: Trojan.Packed.612)[*] c:\\windows\\system32\\drivers\\beep.sys - [B]Backdoor.Win32.UltimateDefender.a[/B] (DrWEB: Trojan.Fakealert.458)[*] c:\\windows\\system32\\karina.dat - [B]Backdoor.Win32.Small.eug[/B] (DrWEB: Trojan.Proxy.1739)[*] c:\\windows\\system32\\winctrl32.dll - [B]Trojan-Downloader.Win32.Mutant.bgk[/B] (DrWEB: BackDoor.Bulknet.225)[*] c:\\windows\\system32\\winivstr.exe - [B]not-a-virus:FraudTool.Win32.XPSecurityCenter.p[/B] (DrWEB: Trojan.Fakealert.1208)[/LIST][/LIST]