Printable View
После логона появляются просто обои, без рабочего стола. Все манипуляции осуществлял через Тотал Коммандер.
AVP находит инфицированный explorer.exe, но лечить его не может, а удалять вручную стрёмно.
Подскажите, плз, чего в этот раз нахватал?
Да, инета на том десктопе нет в принципе, так что скорее всего через флешку/внешний хард притащили.
[COLOR="Red"][B]Внимание !!! База поcледний раз обновлялась 06.04.2008 необходимо обновить базы при помощи автоматического обновления (Файл/Обновление баз)[/B][/COLOR]
Закройте/выгрузите все программы кроме AVZ и Internet Explorer.
Отключите
- ПК от интернета/локалки
- Антивирус и Файрвол.
- Системное восстановление.
-[URL="http://virusinfo.info/showthread.php?t=4491"]Пофиксите[/URL]
[CODE]F2 - REG:system.ini: Shell=Explorer.exe csrcs.exe
F2 - REG:system.ini: UserInit=userinit.exe,EXPLORER.EXE
[/CODE]
- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт[/URL]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\csrcs.exe','');
QuarantineFile('Explorer.exe csrcs.exe','');
QuarantineFile('wsctf.exe','');
QuarantineFile('C:\WINDOWS\system32\explorer.exe','');
QuarantineFile('E:\autorun.inf','');
DeleteFile('E:\autorun.inf');
DeleteFile('C:\WINDOWS\system32\explorer.exe');
DeleteFile('wsctf.exe');
DeleteFile('Explorer.exe csrcs.exe');
DeleteFile('C:\WINDOWS\system32\csrcs.exe');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/CODE]
После перезагрузки:
- [url="http://virusinfo.info/showthread.php?t=10025"] Очистите [/url]темп-папки, кэш проводников и корзину.
- Закройте все программы, включая Антивирус и Файрвол, Оставьте запущенным [B]только Internet Explorer[/B]. Если он не запущен - запустите!!!
- Сделайте повторные логи
[CODE]virusinfo_syscure.zip
virusinfo_syscheck.zip
hijackthis.log [/CODE]
- Включите Антвирус и Файрволл
- Подключите ПК к интернету/локалке
- Закачайте карантин по ссылке [COLOR="Red"][B]Прислать запрошенный карантин[/B][/COLOR] вверху темы (Приложение 3 правил).
- Прикрепите логи к новому сообщению.
Карантин загрузил, новые логи в приложении.
пс: Да, базы обновить не могу, т.к. интернета на этом десктопе нет вообще, и не было.
[URL="http://virusinfo.info/showthread.php?t=7239"]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".[/URL]
[CODE]begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('E:\autorun.inf');
DeleteFile('N:\autorun.inf');
DeleteFile('N:\EXPLORER.EXE');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]
Повторите логи...
Новые логи
[URL="http://virusinfo.info/showthread.php?t=7239"]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".
[/URL]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('E:\autorun.inf');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]
Повторите пункт 2 диагностики...
Уточню: E - это внешний юсб-хард. Точно его autorun.inf не нужен?
По идее, на винчестерах (даже USB) авторанам делать нечего. Прикрепите его сюда на посмотреть (хотя он был в загруженном карантине).
Живучий он какой-то, третий раз на удаление заряжается...
Скрипт прогнал, новые логи (похоже ничего не изменилось).
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]16[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\windows\\system32\\csrcs.exe - [B]Trojan.Win32.Autoit.dt[/B] (DrWEB: Win32.HLLW.Autoruner.2734)[*] c:\\windows\\system32\\explorer.exe - [B]Virus.Win32.VB.bu[/B] (DrWEB: BackDoor.Generic.1451)[*] n:\\autorun.inf - [B]Worm.Win32.AutoRun.dej[/B] (DrWEB: Win32.HLLW.Autoruner.2155)[*] n:\\explorer.exe - [B]Virus.Win32.VB.bu[/B] (DrWEB: BackDoor.Generic.1451)[/LIST][/LIST]