Printable View
При запуске ИЕ и ФФ появляются сообщения об ошибке и браузер закрывается.
При попытке обновления баз ДрВеб появляется сообщение об ошибке.
При попытке обновления баз АВЗ появляется сообщение об ошибке и АВЗ закрывается.
АВПТул нашел 4 трояна. 1 не удалил.
syscheck.zip не создается.
1.[url=http://virusinfo.info/showthread.php?t=7239]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".[/url]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\Program Files\Common Files\Target Marketing Agency\TMAgent\tmagent.dll','');
QuarantineFile('C:\WINNT\system32\ntos.exe','');
QuarantineFile('C:\WINNT\bokpkov.dll','');
QuarantineFile('C:\WINNT\system32\lsprdir.dll','');
QuarantineFile('C:\WINNT\altvxvm.dll','');
DeleteFile('C:\WINNT\altvxvm.dll');
DeleteFile('C:\WINNT\bokpkov.dll');
DeleteFile('C:\WINNT\system32\ntos.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]
После выполнения скрипта компьютер перезагрузится.
Прислать карантин согласно [b]приложения 3 [url=http://virusinfo.info/showthread.php?t=1235]правил [/url][/b].
Загружать по красной ссылке вверху этой темы [B][COLOR="Red"]"Прислать запрошенный карантин"[/COLOR][/B]
2.Пофиксить в HijackThis следующие строчки ( [url]http://virusinfo.info/showthread.php?t=4491[/url] )
[CODE] R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.rbc.ru/
F2 - REG:system.ini: UserInit=c:\winnt\system32\userinit.exe,C:\WINNT\system32\ntos.exe,
O21 - SSODL: bokpkov - {8B837449-6715-4121-AB82-73706E258914} - C:\WINNT\bokpkov.dll (file missing)
O21 - SSODL: altvxvm - {A75C57C8-72D2-48A6-B607-B41E2E48CABE} - C:\WINNT\altvxvm.dll[/CODE]
Обратите внимание: Включена служба telnet
[CODE]O23 - Service: Telnet (TlntSvr) - Корпорация Майкрософт - C:\WINNT\system32\tlntsvr.exe[/CODE]
3. Повторите логи
В HijackThis строк с F2 и O21 почему-то нет.
Карантин выслал.
Логи прилагаю (syscheck.zip не создался)
Так что в логах?
1. Отключите восстановление системы и антивирус.
2. [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ:[/URL]
[CODE]begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DelBHO('{35A6E2B1-27A9-47D2-913C-559E1EF1D034}');
QuarantineFile('C:\WINNT\system32\lsprdir.dll','');
DeleteFile('C:\Program Files\Common Files\Target Marketing Agency\TMAgent\tmagent.dll');
BC_ImportAll;
ExecuteSysClean;
ExecuteRepair(13);
BC_Activate;
RebootWindows(true);
end.[/CODE]
После выполнения скрипта компьютер перезагрузится!
Пришлите карантин согласно [B]приложению 3[/B] [URL="http://virusinfo.info/pravila.html"]правил.[/URL]
Загружать по ссылке: [url]http://virusinfo.info/upload_virus.php?tid=43958[/url]
3. Повторите логи.
Карантин загрузил.
Файл сохранён как 090419_134641_virus_49eaf3011c280.zip
Размер файла 374
MD5 f1f316691fcf75d6a3f4e9b66bf44bbc
Логи делаю.
Логи (syscheck.zip не создался):
Поищите файл [CODE]C:\WINNT\system32\[B]lsprdir.dll[/B][/CODE] и пришлите его
Как описано в правилах не получилось - создается архив размером 397 байт :)
Заархивировал вручную.
Файл сохранён как 090419_205149_virus_49eb56a5a0c03.zip
Размер файла 40789
MD5 4c4f28e2fb4096bbf3bfbe20463f1337
Что нашлось?
C:\WINNT\system32\lsprdir.dll -[B] Trojan-Downloader.Win32.Agent.ahkj[/B]
выполните скрипт
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\WINNT\system32\lsprdir.dll');
DelSPIByFileName('sprdir.dll',true);
BC_ImportDeletedList;
ExecuteSysClean;
AutoFixSPI;
BC_Activate;
RebootWindows(true);
end.
[/code]
если после лечения будут проблемы с сетью выполните скрипт повторно ... или воспользуйтесь [url]http://www.winsockfix.nl/[/url]
повторите логи
В обычном режиме появилось окно "Ошибка программы - Программа svchost.exe вызвала ошибку и была закрыта. Требуется перезапустить программу. Создан журнал ошибок.", потом окно "Перезагрузка - Произошло неожиданное завершение c:\winnt\system32\service.exe. Компьютер будет перезагружен."
После перезагрузки пару раз появилось окно "Ошибка программы - Программа svchost.exe вызвала ошибку и была закрыта. Требуется перезапустить программу. Создан журнал ошибок."
Нажал "ОК". Появился рабочий стол. Сообщилось, что SpiderMail и Agava Spamprotexxx установлены некорректно.
Выполнил скрипт еще раз и опять в обычном режиме произошла перезагрузка системы.
Логи делаются.
На winsockfix.nl нет В2к. Что использовать?
[URL="http://www.veldhuizen.speedxs.nl/lspfix.zip"]это[/URL]
Логи:
что с проблемами ?
Вылезает окно "Ошибка программы - Программа svchost.exe вызвала ошибку и была закрыта. Требуется перезапустить программу. Создан журнал ошибок."
фаерволл + все обновления после сп4 должны помочь ....
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]3[/B][*]Обработано файлов: [B]10[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\program files\common files\target marketing agency\tmagent\tmagent.dll - [B]not-a-virus:WebToolbar.Win32.TMAagent.y[/B][*] \lsprdir.dll - [B]Trojan-Downloader.Win32.Agent.ahkj[/B][/LIST][/LIST]