autorun.inf и много чего еще

Printable View

26.09.2008, 18:42
Czar

Вложений: 3

AVZ нашел автораны и avpo1. avpo1 он вылечил, как мне кажется, но теперь локальные диски не открываются. Так же изредко в любом тестовом окне появляеться надпись *test*, которая многократно повторяется. И еще много красных надписей при сканировании AVZ :)
26.09.2008, 20:33
Rene-gad

Закройте/выгрузите все программы кроме AVZ и Internet Explorer.
Отключите
- ПК от интернета/локалки
- Антивирус и Файрвол.
- Системное восстановление.

- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт[/URL]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\System32\Drivers\amtji2c4.SYS','');
QuarantineFile('C:\WINDOWS\system32\avpo1.dll','');
QuarantineFile('C:\autorun.inf','');
QuarantineFile('D:\autorun.inf','');
QuarantineFile('E:\autorun.inf','');
DeleteFile('E:\autorun.inf');
DeleteFile('D:\autorun.inf');
DeleteFile('C:\autorun.inf');
DeleteFile('C:\WINDOWS\system32\avpo1.dll');
DeleteFile('C:\WINDOWS\System32\Drivers\amtji2c4.SYS');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/CODE]

После перезагрузки:
- [url="http://virusinfo.info/showthread.php?t=10025"] Очистите [/url]темп-папки, кэш проводников и корзину.
- Закройте все программы, включая Антивирус и Файрвол, Оставьте запущенным [B]только Internet Explorer[/B]. Если он не запущен - запустите!!!
- Сделайте повторные логи
[CODE]virusinfo_syscure.zip
virusinfo_syscheck.zip
hijackthis.log [/CODE]
- Включите Антвирус и Файрволл
- Подключите ПК к интернету/локалке
- Закачайте карантин по ссылке [COLOR="Red"][B]Прислать запрошенный карантин[/B][/COLOR] вверху темы (Приложение 2 п.4 правил).
- Прикрепите логи к новому сообщению.
26.09.2008, 22:40
Czar

Вложений: 3

Сделал. Внушает опасения так же и то, что пишет AVZ при проверке:
[CODE][SIZE=2][COLOR=#ff0000][SIZE=2][COLOR=#ff0000]
\FileSystem\FastFat[IRP_MJ_CREATE] = 82F681E8 -> перехватчик не определен
\FileSystem\FastFat[IRP_MJ_CLOSE] = 82F681E8 -> перехватчик не определен
\FileSystem\FastFat[IRP_MJ_WRITE] = 82F681E8 -> перехватчик не определен
\FileSystem\FastFat[IRP_MJ_QUERY_INFORMATION] = 82F681E8 -> перехватчик не определен
\FileSystem\FastFat[IRP_MJ_SET_INFORMATION] = 82F681E8 -> перехватчик не определен
\FileSystem\FastFat[IRP_MJ_QUERY_EA] = 82F681E8 -> перехватчик не определен
\FileSystem\FastFat[IRP_MJ_SET_EA] = 82F681E8 -> перехватчик не определен
\FileSystem\FastFat[IRP_MJ_QUERY_VOLUME_INFORMATION] = 82F681E8 -> перехватчик не определен
\FileSystem\FastFat[IRP_MJ_SET_VOLUME_INFORMATION] = 82F681E8 -> перехватчик не определен
\FileSystem\FastFat[IRP_MJ_DIRECTORY_CONTROL] = 82F681E8 -> перехватчик не определен
\FileSystem\FastFat[IRP_MJ_FILE_SYSTEM_CONTROL] = 82F681E8 -> перехватчик не определен
\FileSystem\FastFat[IRP_MJ_DEVICE_CONTROL] = 82F681E8 -> перехватчик не определен
\FileSystem\FastFat[IRP_MJ_LOCK_CONTROL] = 82F681E8 -> перехватчик не определен
\FileSystem\FastFat[IRP_MJ_PNP] = 82F681E8 -> перехватчик не определен
\driver\tcpip[IRP_MJ_CREATE] = F65AF15A -> C:\WINDOWS\system32\drivers\afwcore.sys
\driver\tcpip[IRP_MJ_DEVICE_CONTROL] = F65AF664 -> C:\WINDOWS\system32\drivers\afwcore.sys
\driver\tcpip[IRP_MJ_INTERNAL_DEVICE_CONTROL] = F65AF4DC -> C:\WINDOWS\system32\drivers\afwcore.sys
\driver\tcpip[IRP_MJ_CLEANUP] = F65AF24A -> C:\WINDOWS\system32\drivers\afwcore.sys
[/COLOR][/SIZE][/COLOR][/SIZE][/CODE]
И в добавок, не могу сделать видимыми скрытые папки. ;)
PS: рац предложение, добавить Punto Switcher в список доверенных приложений, а то нервирует, когда видишь красным следующий текст:
[CODE][SIZE=2][COLOR=#ff0000][SIZE=2][COLOR=#ff0000]
C:\Program Files\Punto Switcher\pshook.dll --> Подозрение на Keylogger или троянскую DLL
C:\Program Files\Punto Switcher\pshook.dll>>> Поведенческий анализ
[SIZE=2][COLOR=#ff0000][SIZE=2][COLOR=#ff0000]C:\Program Files\Punto Switcher\pshook.dll>>> Нейросеть: файл с вероятностью 89.00% похож на типовой перехватчик событий клавиатуры/мыши
[/COLOR][/SIZE][/COLOR][/SIZE][/COLOR][/SIZE][/COLOR][/SIZE][/CODE]
26.09.2008, 22:51
Czar

Вложений: 1

Приатачил еще и лог Kaspersky Lab Tool.
26.09.2008, 23:25
Гриша

В логах чисто, жалобы есть?
26.09.2008, 23:46
Czar

Есть :) Выше были вроде написаны, но повторюсь.
Не отображаются скрытые и системные папки и файлы, галочка в настройках слетают так сказать.
И что насчет этого: [CODE][COLOR=#ff0000]\FileSystem\FastFat[IRP_MJ_CREATE] = 82F681E8 -> перехватчик не определен
\FileSystem\FastFat[IRP_MJ_CLOSE] = 82F681E8 -> перехватчик не определен
\FileSystem\FastFat[IRP_MJ_WRITE] = 82F681E8 -> перехватчик не определен
\FileSystem\FastFat[IRP_MJ_QUERY_INFORMATION] = 82F681E8 -> перехватчик не определен
\FileSystem\FastFat[IRP_MJ_SET_INFORMATION] = 82F681E8 -> перехватчик не определен
\FileSystem\FastFat[IRP_MJ_QUERY_EA] = 82F681E8 -> перехватчик не определен
\FileSystem\FastFat[IRP_MJ_SET_EA] = 82F681E8 -> перехватчик не определен
\FileSystem\FastFat[IRP_MJ_QUERY_VOLUME_INFORMATION] = 82F681E8 -> перехватчик не определен
\FileSystem\FastFat[IRP_MJ_SET_VOLUME_INFORMATION] = 82F681E8 -> перехватчик не определен
\FileSystem\FastFat[IRP_MJ_DIRECTORY_CONTROL] = 82F681E8 -> перехватчик не определен
\FileSystem\FastFat[IRP_MJ_FILE_SYSTEM_CONTROL] = 82F681E8 -> перехватчик не определен
\FileSystem\FastFat[IRP_MJ_DEVICE_CONTROL] = 82F681E8 -> перехватчик не определен
\FileSystem\FastFat[IRP_MJ_LOCK_CONTROL] = 82F681E8 -> перехватчик не определен
\FileSystem\FastFat[IRP_MJ_PNP] = 82F681E8 -> перехватчик не определен
\driver\tcpip[IRP_MJ_CREATE] = F65AF15A -> C:\WINDOWS\system32\drivers\afwcore.sys
\driver\tcpip[IRP_MJ_DEVICE_CONTROL] = F65AF664 -> C:\WINDOWS\system32\drivers\afwcore.sys
\driver\tcpip[IRP_MJ_INTERNAL_DEVICE_CONTROL] = F65AF4DC -> C:\WINDOWS\system32\drivers\afwcore.sys
\driver\tcpip[IRP_MJ_CLEANUP] = F65AF24A -> C:\WINDOWS\system32\drivers\afwcore.sys
[/COLOR][/CODE]
27.09.2008, 00:01
Гриша

Для скрытых файлов:

[CODE]begin
ExecuteRepair(6);
ExecuteRepair(8);
RegKeyIntParamWrite( 'HKLM', 'SOFTWARE\Microsoft\Windows\CurrentVersion\policies\NonEnum', '{BDEADF00-C265-11D0-BCED-00A0C90AB50F}', 1);
RebootWindows(true);
end.[/CODE]

Это перехваты Демона и защитного софта...
22.02.2009, 08:19
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]16[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\autorun.inf - [B]Worm.Win32.AutoRun.aox[/B] (DrWEB: Win32.HLLW.Autoruner.437)[*] d:\\autorun.inf - [B]Worm.Win32.AutoRun.aox[/B] (DrWEB: Win32.HLLW.Autoruner.437)[*] e:\\autorun.inf - [B]Worm.Win32.AutoRun.aox[/B] (DrWEB: Win32.HLLW.Autoruner.437)[/LIST][/LIST]