Есть Windows Server 2003.
Был заражен Win32.HLLW.Autoruner.5555
Поставили DrWEB, все почистили - теперь ничего не находит.
Но через день после удаления вируса перестал обновляться DrWEB.
Причем в IE сайт [URL="http://www.drweb.com"]www.drweb.com[/URL] открывается, а пинг на drweb.com не идет.
Я так думаю это все происходит из-за этого:
C:\WINDOWS\$NtServicePackUninstall$\spoolsv.exe >>> подозрение на Trojan.Win32.DNSChanger.elj
Как от этого всего лучше избавиться?
Спасибо!
[URL="http://virusinfo.info/showthread.php?t=7239"]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".[/URL]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteService('pozbz');
QuarantineFile('C:\WINDOWS\system32\02AF.tmp','');
QuarantineFile('C:\WINDOWS\system32\samqj.dll',' ');
DeleteService('evevvqug');
QuarantineFile('C:\WINDOWS\system32\01.tmp','');
DeleteService('dpti930');
QuarantineFile('C:\DOCUME~1\6254~1.SRV\LOCALS~1\Temp\1\C64S88Uj.sys','');
DeleteFile('C:\WINDOWS\system32\drivers\.sys');
DeleteFile('C:\WINDOWS\system32\01.tmp');
DeleteFile('C:\WINDOWS\system32\02AF.tmp');
DeleteFile('C:\WINDOWS\system32\samqj.dll');
DeleteFileMask('%tmp% ','*.* ',true);
BC_ImportALL;
ExecuteSysClean;
BC_DeleteSvc('pozbz');
BC_DeleteSvc('dpti930');
BC_Activate;
RebootWindows(true);
end.[/CODE]
Пришлите карантин по правилам и повторите логи...
Выполнил.
Антивирус обновился.
Вот логи.
А BC_DeleteSvc('evevvqug'); не надо было выполнять?
virus.zip из темы уберите.
И пришлите его по правилам.
[quote]
А BC_DeleteSvc('evevvqug'); не надо было выполнять?
[/quote]
Всё нормально:)
Есть еще два сервера с подобными проблемами.
Как лучше поступить:
1. Создать новые топики по каждому.
2. продолжать этот.
3. Выполнить скрипты из AVZ и подставить в
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteService('pozbz');
QuarantineFile('C:\WINDOWS\system32\02AF.tmp','');
QuarantineFile('C:\WINDOWS\system32\samqj.dll',' ');
DeleteService('evevvqug');
QuarantineFile('C:\WINDOWS\system32\01.tmp','');
DeleteService('dpti930');
QuarantineFile('C:\DOCUME~1\6254~1.SRV\LOCALS~1\Temp\1\C64S88Uj.sys','');
DeleteFile('C:\WINDOWS\system32\drivers\.sys');
DeleteFile('C:\WINDOWS\system32\01.tmp');
DeleteFile('C:\WINDOWS\system32\02AF.tmp');
DeleteFile('C:\WINDOWS\system32\samqj.dll');
DeleteFileMask('%tmp% ','*.* ',true);
BC_ImportALL;
ExecuteSysClean;
BC_DeleteSvc('pozbz');
BC_DeleteSvc('dpti930');
BC_Activate;
RebootWindows(true);
end.
все найденные 'C:\WINDOWS\system32\*.tmp'
и dll которые есть в строке типа этой:
Прямое чтение C:\WINDOWS\system32\samqj.dll
?
Спасибо!
В правилах написано
[quote]
1) Если у Вас несколько инфицированных операционных систем или компьютеров, то Вам следует оформлять каждую систему отдельным запросом.
[/quote]
Перезалил.
А удалить из предыдущего сообщения не могу:
[B]KostyaSV[/B], вы не имеете прав для доступа к этой странице
[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]
[quote=light59;330511]В правилах написано[/quote]
Спасибо. Правила читал. Просто уточнил.
Прошло время. Все работало нормально и вот симтомы полностью повторились.
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]10[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\windows\\system32\\samqj.dll - [B]Net-Worm.Win32.Kido.ih[/B] (DrWEB: Win32.HLLW.Autoruner.5555)[/LIST][/LIST]