Printable View
Добрый день!
Файервол фиксирует регулярную (каждые 5 секунд) отправку в интернет пакетов на разные (но похожие) адреса, на 80-й порт. Отправка происходит от имени Winlogon.exe.
Dr.Web, AdAware и AVZ ничего подозрительного не находят.
ОС - WindowsXP SP2.
Логи прилагаю.
Спасибо :)
Пофиксите в HijackThis:
[code]
F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe
O4 - HKLM\..\Run: [fxfmfd] C:\WINDOWS\system32\fxfmfd.exe \u
O20 - Winlogon Notify: WinNt64 - C:\WINDOWS\SYSTEM32\WinNt64.dll
[/code]
Выполните скрипт в AVZ:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\fxfmfd.exe','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Nac53.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Lbo47.sys','');
QuarantineFile('C:\WINDOWS\system32\WinNt64.dll','');
DeleteFile('C:\WINDOWS\system32\WinNt64.dll');
DeleteFile('C:\WINDOWS\System32\Drivers\Lbo47.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Nac53.sys');
DeleteFile('C:\WINDOWS\system32\fxfmfd.exe');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]
Компьютер перезагрузится.
Пришлите карантин согласно приложению 2 правил
(загружать тут: [url]http://virusinfo.info/upload_virus.php?tid=30931[/url]).
Сделайте новые логи (только п.2 и 3 раздела Диагностика).
Всё выполнено, как написали.
Пакеты в интернет посылаться перестали.
Остальное - не очень хорошо:
1. Вход в систему - с большой задержкой (порядка 10 секунд тормозов после ввода пароля).
2. Сразу после входа Dr.Web сообщил о зараженном файле /system32/winnt64.dll и по моей команде его исцелил.
3. Браузер (IE и Maxthon) не реагирует на ввод адреса. Просто ничего не делает и ничего не сообщает.
4. В системном журнале - множество ошибок:
а) таймаут ожидания ответа при транзакции от службы TapiSrv
б) служба "Диспетчер подключений одаленного доступа" зависит от службы "Телефония", которую не удалось запустить.
в) сбой при запуске службы "Телефония"
г) не удалось запустить службу "обозреватель компьютеров"
д) не удалось запустить службу "маршрутизация и удаленный доступ"
--------
Поправка: браузер всё-таки открыл страничку в интернете, но делал это минут 15. При обращении к свойствам IE он зависает.
-------------
Прикрепляю новые логи и уповаю на помощь, ибо очень не хотелось бы остаться на выходные без компьютера.
Карантин тоже был выслан как велено.
1. Пофиксить:
[CODE]O4 - HKLM\..\Run: [prkiller] C:\Program Files\misc\prkiller.exe[/CODE]
2. выполните скрипт:
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\Program Files\misc\prkiller.exe','');
BC_ImportAll;
BC_Activate;
RebootWindows(true);
end.[/CODE]
3. Карантин по правилам.
Как-то полегчало :)
При входе в систему не тупит.
Браузер заработал.
Ошибки из системного лога исчезли.
Карантин выслан...
А что стало с моим процесс_киллером? Неужели это он был виноват?? Он мне так давно служил верой и правдой...
Многие малвары используют процескиллер. У вас видимо конфликт его с аутпостом.
[quote=Alex_Goodwin;289324]Многие малвары используют процескиллер. У вас видимо конфликт его с аутпостом.[/quote]
Аутпост на той машине не нужен, он был поставлен только для того, чтобы вычислить - кто шлёт пакеты.
Значит если аутпост снести, то можно процесскиллер вернуть на место?
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]12[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]