Уважаемые коллеги,
Вчера, после посещения одного сайта, avast! после каждой загрузки стал ругаться на файл C:\WINDOWS\file.bat, идентифицируя его как [B]VBS:Malware-gen[/B].
Причём сам по себе файл с виду ничего страшного из себя не представляет:
=== file.bat ===
netsh firewall set opmode DISABLE
del %0
=== file.bat ===
Но вот его появление после каждой загрузки и ругань на него со стороны аваста настораживают.
Заранее благодарен за помощь!
Закройте/выгрузите все программы кроме AVZ и Internet Explorer.
Отключите
- ПК от интернета/локалки
- Антивирус и Файрвол.
- Системное восстановление.
- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт[/URL]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('Beep.sys','');
QuarantineFile('C:\WINDOWS\services.exe','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Winbx16.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Winct58.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Windt37.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Winfv14.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Wingv24.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Winji14.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Winnu47.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Winuj15.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Winxa14.sys','');
DeleteService('Alerter Antivirus');
DeleteService('avast!TrkWks');
DeleteService('CiSvcSCardSvr');
DeleteService('ClipSrvERSvc');
DeleteService('FastUserSwitchingCompatibility HotKey Poller');
DeleteService('FontCache3.0.0.0aswUpdSv');
DeleteService('IAANTMON Antivirus');
DeleteService('LmHostsSCardSvr');
DeleteService('LmHostsSCardSvrImapiService');
DeleteService('MessengerWZCSVC');
DeleteService('MSDTCWebClient');
DeleteService('NetmanUPSMSSQLServerADHelper');
DeleteService('RpcLocatorImapiService');
DeleteService('RpcLocatorUPS Antivirus');
DeleteService('RpcLocatorUPS');
DeleteService('RSVPWZCSVC');
DeleteService('SharedAccessxmlprov');
DeleteService('SSDPSRVHTTPFilter');
DeleteService('UPSMSSQLServerADHelper');
DeleteService('Winbx16');
DeleteService('Winct58');
DeleteService('Windt37');
DeleteService('Winfv14');
DeleteService('Wingv24');
DeleteService('Winji14');
DeleteService('Winnu47');
DeleteService('Winry46');
DeleteService('Winuj15');
DeleteService('Winxa14');
DeleteService('WmiNetDDEdsdm');
DeleteService('WZCSVCseclogon');
DeleteService('Bonjour Service');
DelBHO('{2EAF5BB1-070F-11D3-9307-00C04FAE2D4F}');
DelBHO('{2EAF5BB2-070F-11D3-9307-00C04FAE2D4F}');
DeleteFile('c:\program files\bonjour\mdnsresponder.exe');
DeleteFile('C:\WINDOWS\services.exe');
DeleteFile('C:\WINDOWS\System32\Drivers\Winbx16.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Winct58.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Windt37.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Winfv14.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Wingv24.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Winji14.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Winnu47.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Winry46.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Winuj15.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Winxa14.sys');
BC_ImportAll;
ExecuteSysClean;
BC_DeleteSvc('Alerter Antivirus');
BC_DeleteSvc('avast!TrkWks');
BC_DeleteSvc('CiSvcSCardSvr');
BC_DeleteSvc('ClipSrvERSvc');
BC_DeleteSvc('FastUserSwitchingCompatibility HotKey Poller');
BC_DeleteSvc('FontCache3.0.0.0aswUpdSv');
BC_DeleteSvc('IAANTMON Antivirus');
BC_DeleteSvc('LmHostsSCardSvr');
BC_DeleteSvc('LmHostsSCardSvrImapiService');
BC_DeleteSvc('MessengerWZCSVC');
BC_DeleteSvc('MSDTCWebClient');
BC_DeleteSvc('NetmanUPSMSSQLServerADHelper');
BC_DeleteSvc('RpcLocatorImapiService');
BC_DeleteSvc('RpcLocatorUPS Antivirus');
BC_DeleteSvc('RpcLocatorUPS');
BC_DeleteSvc('RSVPWZCSVC');
BC_DeleteSvc('SharedAccessxmlprov');
BC_DeleteSvc('SSDPSRVHTTPFilter');
BC_DeleteSvc('UPSMSSQLServerADHelper');
BC_DeleteSvc('Winbx16');
BC_DeleteSvc('Winct58');
BC_DeleteSvc('Windt37');
BC_DeleteSvc('Winfv14');
BC_DeleteSvc('Wingv24');
BC_DeleteSvc('Winji14');
BC_DeleteSvc('Winnu47');
BC_DeleteSvc('Winry46');
BC_DeleteSvc('Winuj15');
BC_DeleteSvc('Winxa14');
BC_DeleteSvc('WmiNetDDEdsdm');
BC_DeleteSvc('WZCSVCseclogon');
BC_Activate;
RebootWindows(true);
end.
[/CODE]
После перезагрузки:
- [url="http://virusinfo.info/showthread.php?t=10025"] Очистите [/url]темп-папки, кэш проводников и корзину.
- Закройте все программы, включая Антивирус и Файрвол, Оставьте запущенным [B]только Internet Explorer[/B]. Если он не запущен - запустите!!!
- Сделайте повторные логи
[CODE]virusinfo_syscure.zip
virusinfo_syscheck.zip
hijackthis.log [/CODE]
- Включите Антвирус и Файрволл
- Подключите ПК к интернету/локалке
- Закачайте карантин по ссылке [COLOR="Red"][B]Прислать запрошенный карантин[/B][/COLOR] вверху темы (Приложение 2 п.4 правил).
- Прикрепите логи к новому сообщению.
Вроде бы, полегчало.
По поводу карантина не уверен. Мне сейчас нужно что-то из карантина присылать?
Заранее благодарен.
[URL="http://virusinfo.info/showthread.php?t=4491"]Пофиксить[/URL]
[CODE]F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,C:\Documents and Settings\Forsite\vdacxnc.exe \s[/CODE]
[URL="http://virusinfo.info/showthread.php?t=7239"]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".[/URL]
[CODE]begin
ClearQuarantine;
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\ilkdow.exe','');
DeleteFile('C:\Documents and Settings\Forsite\vdacxnc.exe');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]
Пришлите карантин...
Спасибо за помощь! Прилагаю новые логи.
Карантин также закачал.
ilkdow.exe-[B]Trojan-PSW.Win32.Agent.kvz[/B]
[URL="http://virusinfo.info/showthread.php?t=7239"]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".
[/URL]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\WINDOWS\system32\ilkdow.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]
Повторите стандартный лог № 2
Ага, есть такое дело. С первого раза почему-то не удалился: вероятно, автоматическое восстановление системы шалит.
Новый лог прилагаю.
ничего плохого
Супер! Огромное спасибо за помощь!
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]3[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\windows\\system32\\ilkdow.exe - [B]Trojan-PSW.Win32.Agent.kvz[/B] (DrWEB: Trojan.Spambot.3561)[/LIST][/LIST]