Printable View
Пользователь споймал пресловутый Conficker. NOD определяет вирус, но не лечит, только отправляет в карантин. После перезагрузки все повторяется снова>:(
Все заплатки для винды от Microsoft поставил, поэтому извне повторно вирусняк забраться скорее всего не мог.
Будьте добры, помогите убить заразу!
Возможно свежая мутация. Для начала выполните скрипт @ avz, чтобы было что исследовать:
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\stisvc.exe','');
QuarantineFile('C:\WINDOWS\system32\MsSip3.dll','');
QuarantineFile('C:\WINDOWS\system32\MsSip2.dll','');
QuarantineFile('C:\WINDOWS\system32\MsSip1.dll','');
QuarantineFile('C:\WINDOWS\System32\hidserv.dll','');
QuarantineFile('C:\WINDOWS\system32\dnwafbm.dll','');
QuarantineFile('C:\WINDOWS\Temp\jar_cache50676.tmp','');
BC_ImportALL;
BC_Activate;
RebootWindows(true);
end.
[/code]
сообщите, как загрузите карантин (смотрите 3 приложение правил): [url]http://virusinfo.info/upload_virus.php?tid=39517[/url]
Скрипт выполнил, отправил карантин согласно правилам
Скачайте [URL="http://www.gmer.net/gmer.zip"]Gmer.[/URL] Запустите программу. После автоматической экспресс-проверки, отметьте галочкой все жесткие диски и нажмите на кнопку "Scan". После окончания проверки сохраните его лог (нажмите на кнопку Save) под каким хотите именем, например Gmer.log и прикрепите лог сюда.
Загрузил лог gmer'a. Показывает активность rootkit'a в системе>:(
dnwafbm.dll -Net-Worm.Win32.Kido.bw ( kaspersky)
а где остальные файлы?
Отключите нод и интернет, выполнить скрипт @ avz
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\WINDOWS\system32\dnwafbm.dll');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
ExecuteRepair(6);
ExecuteRepair(8);
ExecuteRepair(9);
RebootWindows(true);
end.
[/code]
временные файлы удалить & сделайте по новой virusinfo_syscure.zip
1. Отключите восстановление системы и антивирус.
2. [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ:[/URL]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteService('jmfzi');
DeleteFile('C:\WINDOWS\System32\dnwafbm.dll');
RegKeyParamDel('HKLM','SYSTEM\CurrentControlSet\Services\jmfzi','Description');
RegKeyDel('HKLM','SYSTEM\CurrentControlSet\Services\jmfzi');
BC_ImportDeletedList;
ExecuteSysClean;
BC_DeleteSvc('jmfzi');
BC_Activate;
RebootWindows(true);
end.[/CODE]
После выполнения скрипта компьютер перезагрузится!
3. Повторите лог Gmer.
[size="1"][color="#666686"][B][I]Добавлено через 5 минут[/I][/B][/color][/size]
[QUOTE=drongo;348338]а где остальные файлы?[/QUOTE]
Остальные файлы скорее всего чистые.
[QUOTE=drongo;348338]временные файлы удалить & сделайте по новой virusinfo_syscure.zip[/QUOTE]
Временные файлы пускай удалит, а с логами AVZ пока повременим.
Скрипт выполнил, проявлений вирусной активности не видно, но в логах Gmer'a все еще присутствует зараза
[quote=Alt Tab;348417]Скрипт выполнил, проявлений вирусной активности не видно, но в логах Gmer'a все еще присутствует зараза[/quote]
Это ключи в реестре, которые необходимо удалить.
[size="1"][color="#666686"][B][I]Добавлено через 35 секунд[/I][/B][/color][/size]
1. Отключите восстановление системы и антивирус.
2. [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ:[/URL]
[CODE]begin
DeleteService('jmfzi');
RegKeyParamDel('HKLM','SYSTEM\CurrentControlSet\Services\jmfzi','Description');
RegKeyDel('HKLM','SYSTEM\CurrentControlSet\Services\jmfzi');
BC_DeleteSvc('jmfzi');
BC_Activate;
RebootWindows(true);
end.[/CODE]
После выполнения скрипта компьютер перезагрузится!
3. Повторите лог Gmer.
[size="1"][color="#666686"][B][I]Добавлено через 2 минуты[/I][/B][/color][/size]
То что останется удалим с помощью IceSword.
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]1[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\windows\system32\dnwafbm.dll - [B]Net-Worm.Win32.Kido.bw[/B] (DrWEB: Win32.HLLW.Shadow.based)[/LIST][/LIST]