Printable View
Я, видимо, не первый... Пошла волна.
Win XP Pro SP3 перегружается выдавая окно: Система будет перезагружена через 60 сек, Windows/system32/services.exe. Вылетает через разное время при наличии подключения к интернету. Dr.Web сканнер в безопасном режиме находит BackDoor. Но не помогает...
На время выполнения скрипта, отключитесь от сети и отключите антивирусный монитор.
Программа AVZ - файл - выполнить скрипт - выполните следующий скрипт: [code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\twext.exe','');
QuarantineFile('C:\WINDOWS\system32\drivers\xinstall.sys','');
QuarantineFile('C:\WINDOWS\System32\drivers\vmi386.sys','');
QuarantineFile('c:\program files\ewa net\database\transbase epc\tbmux32.exe','');
SetServiceStart('vmi386', 4);
DeleteFile('C:\WINDOWS\System32\drivers\vmi386.sys');
BC_DeleteFile('C:\WINDOWS\System32\drivers\vmi386.sys');
DeleteFile('C:\WINDOWS\system32\drivers\xinstall.sys');
BC_DeleteFile('C:\WINDOWS\system32\drivers\xinstall.sys');
DeleteFile('C:\DOCUME~1\Volodia\LOCALS~1\Temp\ASFWHide');
BC_DeleteFile('C:\DOCUME~1\Volodia\LOCALS~1\Temp\ASFWHide');
DeleteService('vmi386');
BC_DeleteSvc('vmi386');
DeleteService('ASFWHide');
BC_DeleteSvc('ASFWHide');
Clearhostsfile;
BC_Activate;
ExecuteSysClean;
RebootWindows(true);
end.[/code] Система будет перезагружена. После перезагрузки, карантин AVZ загрузите по ссылке [url]http://virusinfo.info/upload_virus.php?tid=33145[/url] , как написано в прил.2 правил, и повторите логи.
Карантин отправлен. Повторные логи.
выполните скрипт
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\twext.exe','');
DeleteFile('C:\WINDOWS\system32\twext.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
пришлите карантин согласно приложения 3 правил
повторите логи
Карантин отослан. Последние логи.
Огромное спасибо за помощь! Гонят с работы... Если за выходные машину не убьют, то продолжу. (Или нет, что гораздо лучше).
Выполните скрипт от V_Bond в Safe Mode...
В карантине
C:\WINDOWS\system32\twext.exe - Trojan-Spy.Win32.Zbot.fwo
C:\WINDOWS\System32\drivers\vmi386.sys - Trojan.Win32.Pakes.lli
c:\program files\ewa net\database\transbase epc\tbmux32.exe - чистый
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]0[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]