Printable View
После отключения фаервола на 5 минут система встала. лечил всем чем можно но не избавился от основного пытается отправить какую то информацию через почту + исходящие соеденения и сканирование портов всевозможных + зависает и далее не работает панель задач.
Вирус Virus.win32.virut.ce
[b]Отключите восстановление системы![/b]
Пофиксите в HijackThis:
[code]
F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,C:\WINDOWS\system32\system.exe
O2 - BHO: TBSB00196 - {1236D836-E9BA-4175-894F-2072A14D5A26} - C:\Program Files\WebMoney Advisor\wmadvisor.dll (file missing)
O2 - BHO: (no name) - {36DBC179-A19F-48F2-B16A-6A3E19B42A87} - c:\windows\system32\ddeshare.dll (file missing)
O4 - HKLM\..\Run: [services] C:\WINDOWS\services.exe
O9 - Extra button: (no name) - {9819CC0E-9669-4D01-9CD7-2C66DA43AC6C} - (no file)
O16 - DPF: {463ED66E-431B-11D2-ADB0-0080C83DA4EB} (AcceptWM Class) -
[/code]
Выполните скрипт в AVZ:
[code]
begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\autorun.inf','');
QuarantineFile('C:\WINDOWS\system32\config\systemprofile\Local Settings\Temporary Internet Files\Content.IE5\SJ82H5AV\ftp[1].exe','');
QuarantineFile('C:\WINDOWS\system32\Drivers\NDIS.sys','');
QuarantineFile('C:\WINDOWS\system32\RUNDLL32.EXE','');
QuarantineFile('ufoPan.Exe','');
QuarantineFile('mcenspc.dll','');
QuarantineFile('C:\WINDOWS\system32\userinit.exe','');
QuarantineFile('C:\WINDOWS\phnvzavc.exe','');
DeleteFile('C:\WINDOWS\phnvzavc.exe');
DeleteFile('mcenspc.dll');
DeleteFile('C:\WINDOWS\system32\config\systemprofile\Local Settings\Temporary Internet Files\Content.IE5\SJ82H5AV\ftp[1].exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_DeleteSvc('protect');
BC_DeleteSvc('kcp');
BC_DeleteSvc('cusbohcn');
BC_DeleteSvc('CcEvtSvc');
BC_DeleteSvc('CbEvtSvc');
BC_Activate;
RebootWindows(true);
end.[/code]
Компьютер перезагрузится.
Пришлите карантин согласно приложению 3 правил
(загружать тут: [url]http://virusinfo.info/upload_virus.php?tid=40286[/url]).
Сделайте новые логи.
F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,C:\WINDOWS\system32\system.exe
нет такого
Остальное пофиксил запустил скрипт щас пришлю логи и карантин
Готово ... так же в автозагрузке заметил какой то BN2.tmp файл и сервис бонжуре который уже удалил (но он вскоре опять появится видимо - уже не в первый раз я его удаляю за день)
У вас драйвер [B]NDIS.SYS[/B] подменен зловредом.
Воспользуйтесь утилитой от [B][COLOR=teal]Muffler[/COLOR][/B]'a для его восстановления:
[attach]10580[/attach]
(выполнять обязательно в безопасном режиме).
Повторите лог syscheck (п.2 Диагностики).
готово. но по симптомам никаких изминений.
Опять BN1.tmp
опять в фаерволе наблюдаю активность SVCHOST.EXE на исходящие соединения
нашел еще в C:\autorun.inf - это наверное вирь?
[autorun]
OPEN=go.exe
icon=RedShift5.ico
еще подскажите пожалуйста как убрать с автозагрузки какой то пункт в msconfig я имею ввиду не просто отключить там сняв галку а полностью стереть строку какую ни будь?
проверил после программы от Muffler'a в безопасном режиме NDIS.SYS изменен 20 февраля в день атаки вируса. то есть по сути не помогло файл не заменен.
Авторан безобидный, но лучше удалить.
Вместо msconfig можно использовать HijackThis (см. строки с кодом 04).
NDIS действительно не заменен или опять восстановлен зловредом.
Рекомендую для лечения воспользоваться этим:
[url]http://www.freedrweb.com/livecd[/url]
спасибо - помогло все вроде удалил
Контрольный выстрел... то есть, логи сделайте.
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]5[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\windows\system32\config\systemprofile\local settings\temporary internet files\content.ie5\sj82h5av\ftp[1].exe - [B]Trojan.Win32.Agent.brgp[/B][*] c:\windows\system32\drivers\ndis.sys - [B]Trojan-Dropper.Win32.Agent.ahrk[/B] (DrWEB: Trojan.NtRootKit.2670)[/LIST][/LIST]