Printable View
Касперский обнаружил зараженный файл (WINDOWS\system32\basesrv32.dll) и при лечении сообщил "будет удалено при перезагрузке компьютера: троянская программа Trojan.Win32.Inject.etk"
...удаляет
...удаление приводит к сбою системы (синий экран после перезагрузки)
[COLOR=green][B]Пожалуйста помогите правельно вылечить компьютер от зараженных файлов.[/B][/COLOR]
Закройте все программы.
Запустите AVZ.
Выполните скрипт через меню Файл:
[code]
begin
SetAVZGuardStatus(True);
RegKeyDel('HKLM','SOFTWARE\Microsoft\Code Store Database\Distribution Units\{64311111-1111-1121-1111-111191113457}');
RegKeyDel('HKLM','SOFTWARE\Microsoft\Code Store Database\Distribution Units\{33331111-1111-1111-1111-615111193427}');
RegKeyDel('HKLM','SOFTWARE\Microsoft\Code Store Database\Distribution Units\{33331111-1111-1111-1111-611111193429}');
RegKeyDel('HKLM','SOFTWARE\Microsoft\Code Store Database\Distribution Units\{33331111-1111-1111-1111-611111193423}');
BC_DeleteSvc('smtpdrv');
QuarantineFile('msupdate.sys','');
BC_DeleteSvc('msupdate');
QuarantineFile('E:\WINDOWS\system32\basesrv32.dll','');
SysCleanAddFile('msupdate.sys');
SysCleanAddFile('tehlink0.dll');
SysCleanAddFile('kdfsc.exe');
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
Компьютер перезагрузится.
Пришлите файлы из карантина AVZ (см. приложение 3 Правил) используя эту ссылку:
[url]http://virusinfo.info/upload_virus.php?tid=30128[/url]
Сделайте новые логи начиная с 10-го пункта Правил и приложите их к этой теме.
PS Пора уже Service Pack 3 на Windows устанавливать (может потребоваться активация).
1 Выполнил скрипт;
2 Послал файлы из карантина AVZ:
[I]"Результат загрузки
Файл сохранён как 080914_035158_virus_48ccd0aed0618.zip
Размер файла 14292
MD5 94c8c0845d55e81ddede30068baacc72
Файл закачан, спасибо!";[/I]
3 Сделал новые логи начиная с 10-го пункта правил;
Скажите пожалуйста, я всё правельно сделал, лечение завершено?
Все правильно.
В логах ничего зловредного не видно.
Для очистки мусора [url=http://virusinfo.info/showthread.php?t=4491]пофиксте[/url] в HijackThis следующие строки:
[quote]
O2 - BHO: (no name) - {36DBC179-A19F-48F2-B16A-6A3E19B42A87} - (no file)
O2 - BHO: (no name) - {73364D99-1240-4dff-B11A-67E448373048} - (no file)
O2 - BHO: (no name) - {7ACB5731-5839-13AB-EABC-124791194525} - (no file)
O2 - BHO: (no name) - {DB5825EA-B434-C69E-8E2D-81387140521A} - (no file)
O3 - Toolbar: (no name) - {E0E899AB-F487-11D5-8D29-0050BA6940E3} - (no file)
O20 - Winlogon Notify: sysfldr - E:\WINDOWS\
O20 - Winlogon Notify: tehlink0 - E:\WINDOWS\
O21 - SSODL: SystemCheck2 - {54645654-2225-4455-44A1-9F4543D34546} - (no file)
O21 - SSODL: UpperHost - {523455E4-ABCD-ABCD-1114-D709ADD3DDAB} - (no file)
[/quote]
Файл E:\WINDOWS\system32\basesrv32.dll тоже можно удалить.
Как я понимаю, проблем больше нет?
1 профиксил в HijackThis;
2 basesrv32.dll удалил;
Верно, проблем не осталось, ОС загружается и работает.
[B][COLOR=green]Большое, Вам, спасибо![/COLOR][/B]
[B][COLOR=green]Спасибо, разработчикам AVZ и HijackThis![/COLOR][/B]
[B][/B]
[COLOR=black]Я приятно удивлен насколько просто и быстро по времени оказалось лечение под вашим руководством с использованием софта AVZ и HijackThis.[/COLOR]
Были бы рекламные блоки (типа google) на вашем сайте, я обязательно, несколько раз за неделю обращал бы на них внимание :D, так сказать небольшая, материальная благодарность ;)
А так, при первом удобном случае расскажу про вашу помощь и софт на других ресурсах.
[B][COLOR=green]Еще раз, спасибо![/COLOR][/B]
[B][/B]
[b]tod[/b], каким образом Вы собираете логи и выполняете скрипты AVZ, если Ваш компьютер не может загрузиться ("синий экран после перезагрузки")?
Всё просто, несколько операцинных систем на одном жестком диске и у есть меня полная-резервная копия жёсткого диска (диск №2, клон диска №1).
К сожалению копия тоже заражена, но в данном случае оказалось, что не делается, всё к лучшему... я просто восстанавливал удалённый файл с клонированного жесткого диска.
Кстати, для AVZ была бы [B][COLOR=green]очень[/COLOR][/B] полезна опция создание резервной копии файлов, клоникование всего жесткого диска...
Все ясно.
В таком случае сделайте еще раз логи, [b]загрузившись с вылеченной системы[/b]. Вполне вероятно, что там необходимо почистить реестр от остатков вируса.
В правилах, пункт 7 - Отключите восстановление системы (Windows Me/XP).
В следующих пунктах не нашёл указаний про включение восстановления системы.
Так как лечение завершено,
я понимаю, что восстановление системы мне можно включить? :)
[quote]Были бы рекламные блоки (типа google) на вашем сайте, я обязательно, несколько раз за неделю обращал бы на них внимание , так сказать небольшая, материальная благодарность[/quote]
Вариантов нас отблагодарить много, выбирайте на свой вкус:
[url]http://virusinfo.info/showthread.php?t=17130[/url]
[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]
[quote=tod]Так как лечение завершено,
я понимаю, что восстановление системы мне можно включить?[/quote]
Давайте новые логи. Если там все будет хорошо, то можно будет включить.
Технически дело было так:
Два жестких диска (две коробочки):
- диск 1 - рабочий
- диск 2 - клон (резервная копия)
На диск 1 попал вирус (basesrv32.dll)
Диск 2 клонирован с вирусом
На диске 1 Касперский обнаружил вирус, удалил, система перестала работать
С диска 2 на диск 1 был скопирован файл basesrv32.dll
Диск 1 снова стал работать, на нем я и производил лечение и общение с вашей дружелюбной командой :)
Итог:
диск 1 вылечен (спасибо вам)
диск 2 заражён, но нет смысла его лечить, так как я скоро перезапишу его данными с диска 1, из за плановой операции клонирования
Сейчас антивирусник не ругается.
Разве лечение не закончено?
Какие пункты правил мне снова выполнять? :)
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]1[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] e:\\windows\\system32\\basesrv32.dll - [B]Trojan.Win32.Inject.etk[/B] (DrWEB: Trojan.Inject.3759)[/LIST][/LIST]