Printable View
Зашел на сайт и подцепил вирус. Касперский сработал и заблокировал 3 каких-то операции. Однако на сьемном диске обнаружил два чуродных файла: outoran и exe. при удалении они снова там появляются. Каждые 5 секунд прощупывается флопи-диск, видимо туда тоже хочет записать эти файлы. Решил обновить базы Касперского, но оказалось, что на сайт касперского войти вообще не могу, на все остальные вхожу.
Проделал все по инструкции. 3 тестовых файла загрузил.
[URL="http://virusinfo.info/showthread.php?t=7239"]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".[/URL]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\Program Files\Microsoft Common\svchost.exe','');
QuarantineFile('C:\WINDOWS\system32\digeste.dll','');
QuarantineFile('c:\windows\msauc.exe','');
TerminateProcessByName('c:\windows\msauc.exe');
DeleteFile('c:\windows\msauc.exe');
DeleteFile('C:\WINDOWS\system32\digeste.dll');
DeleteFile('C:\Program Files\Microsoft Common\svchost.exe');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
ExecuteRepair(6);
ExecuteRepair(9);
SetAVZPMStatus(true);
RebootWindows(true);
end.[/CODE]
Пришлите карантин по правилам и повторите логи...
Запустил ваш скрипт. Запись outoran и exe на сьемные носители прекратилась, но на сайт Касперского все-равно попасть не могу.
Команда netstat показывает несколько сотен подключений к компу типа localhost:1351 close_wait
Повторил тесты. (файл virus.zip загружал, но не вижу его в загрузках)
Поздравляю :) касперкий то старый и нод ещё стоит (вместе ), ну и попутно руткитоподбные звери :)
Деинсталитовать касперского вместе с nod, потoм скачаете последнею версию с официального сайта антивируса который захотите, но только один.!
Скачать меч ледяной( [url]http://virusinfo.info/showthread.php?t=17228[/url] ) и им скопировать файл c:\windows\system32\drivers\TDSSmqlt.sys, а потом удалить.
Нам пришлите копию по правилам, посмотрим что за зверь.
[size="1"][color="#666686"][B][I]Добавлено через 12 минут[/I][/B][/color][/size]
Только затем вот этот скрипт:
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\windows\system32\drivers\TDSSmqlt.sys','');
QuarantineFile('C:\Program Files\Nero\Nero 7\Nero Vision\VCDLib.dll','');
QuarantineFile('C:\PROGRA~1\Google\GOOGLE~1\GOEC62~1.DLL','');
QuarantineFile('C:\WINDOWS\system32\ASWLSVC.exe','');
DeleteFile('digeste.dll');
DeleteFile('C:\windows\system32\drivers\TDSSmqlt.sys');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
ExecuteRepair(6);
ExecuteRepair(8);
ExecuteRepair(9);
RebootWindows(true);
end.[/code]
затем ещё раз логи в студию.
Nod32 удалил. Я его поставил только тогда, когда заметил, что Касперский не ловит троянов. Сейчас удалил.
Касперского обновил.
Запустил ваш последний скрипт.
В netstat теперь все чисто.
Вот только при загрузке компа появляется надпись "найдено новое оборудование". Наверное это последствия удаленного трояна. Я эту надпись игнорирую, но не хотелось бы чтобы она появлялась.
Загрузил последние тесты.
В "диспетчер устройств" удалите это устройств и всё пройдёт :)
По логам я ничего плохого не вижу.