Printable View
По ссылке, ведущей на dni.ru, получил в систему Win32.Rootkit-Gen: стал постоянно отключаться встроенный в XP брандмауэр, стали выдавать ошибку ранее нормально работавшие программы...
NOD32, зараза, даже не пикнул. За что был удален и в экстренном порядке заменен Avast!-ом. Последний что-то там нашел, брандмауэр больше не выключается, но теперь каждый раз при загрузке системы сам открывается Проводник с Моими документами....
Помогите, пожалуйста.
Следует обновить базы AVZ и повторить логи (базы двухмесячной давности, а они обновляются ежедневно).
Спасибо за скорый отклик!
Файлы в первом сообщении обновил.
Сохраните нижеприведенный текст в файл и дайте ему расширение .reg, после чего запустите и добавьте в реестр.
[code]Windows Registry Editor Version 5.00
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]
"Userinit"="C:\\WINDOWS\\system32\\userinit.exe,"
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced]
"PersistBrowsers"=dword:00000000[/code]
Потом [url=http://virusinfo.info/showthread.php?t=7239]выполните скрипт в AVZ[/url]:
[code]begin
QuarantineFile('C:\WINDOWS\Downloaded Program Files\xplugmpg4tw.ocx','');
QuarantineFile('C:\WINDOWS\system32\DRIVERS\mhndrv.sys','');
QuarantineFile('ykx32mpcoinst.exe','');
QuarantineFile('C:\WINDOWS\system32\DRIVERS\tcpip.sys','');
BC_ImportQuarantineList;
BC_QrSvc('yksvc');
BC_Activate;
ExecuteRepair(16);
ExecuteRepair(6);
ExecuteRepair(8);
RegKeyIntParamWrite( 'HKLM', 'SOFTWARE\Microsoft\Windows\CurrentVersion\policies\NonEnum', '{BDEADF00-C265-11D0-BCED-00A0C90AB50F}', 1);
RebootWindows(true);
end.[/code]
Компьютер перезагрузится.
Пришлите карантин по [url=http://virusinfo.info/showthread.php?t=1235]правилам[/url]
Как проблема?
Закачал "карантин" - 090404_003017_virus_49d671d958ee4.zip
После автоматической перезагрузки проводник самостоятельно уже не открылся!
[QUOTE=spooky;382559]После автоматической перезагрузки проводник самостоятельно уже не открылся![/QUOTE]
В смысле explorer.exe загрузился и рабочий стол тоже, но просто пропала проблема с папкой "Мои документы" ?
Файлы из карантина на первый взгляд чистые, завтра уже должен прийти точный ответ вирусных аналитиков.
Да, рабочий стол загрузился нормально. Может, нужно еще раз собрать логи?
Нет, новые логи не нужны, т.к. мы ничего не удаляли. Просто скопировали файлы в карантин и поправили реестр.
[size="1"][color="#666686"][B][I]Добавлено через 10 часов 14 минут[/I][/B][/color][/size]
Ответ аналитиков пришел - файлы, попавшие в карантин, чистые. Вот это Вам знакомо - Marvell Yukon Service ? Файл этой службы ykx32mpcoinst.exe - не попал в карантин.
Да, Marvell Yukon - это название сетевой карточки:
Marvell Yukon 88E8055 PCI-E Gigabit Ethernet Controller.
А сообщения о перехватчике spwb.sys (нет такого файла) - это нормально?
Да, это драйвер эмулятора дисков...
Спасибо большое всем за помощь!
Выходит, Avast! все-таки смог полностью придушить Win32.Rootkit-Gen?
Выходит да :)
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]12[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]