Printable View
Просьба помочь вычистить заразу. К сожалению все требования по запуску AVZ соблюсти не удалось - остался загрузчик McAfee, после проключения локалки заново накатывает с сервера и активирует антивирусник. Все, что он нашол - авторан :(.
Информер срабатывает произвольно и не сразу - красное окно с приглашением на SMS для кода разблокировки.
1. Отключите восстановление системы и антивирус.
2. [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ:[/URL]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\digiwet.dll','');
DeleteFile('C:\WINDOWS\system32\digiwet.dll');
DeleteFile('crypts.dll');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
SetAVZPMStatus(true);
RebootWindows(true);
end.[/CODE]
После выполнения скрипта компьютер перезагрузится!
Пришлите карантин согласно [B]приложению 3[/B] [URL="http://virusinfo.info/pravila.html"]правил.[/URL]
Загружать по ссылке: [url]http://virusinfo.info/upload_virus.php?tid=44590[/url]
3. Повторите логи.
[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]
В hosts вносили изменения?
Восстановление отключено.
В hosts вносил, ничего нового не прибавилось.
Антивирь удален, но загрузчик от него можно вычистить только ручками.
Пришибание процессов UdaterUI.exe и McTray.exe дает только "временное затишье", при обнаружении сетки в течении 5 мин антивирь опять установлен. McAfee - корпоративный.
Вообщем пофиксил эти файлы в HijackThis (3 значения) и на всяк случай перенес каталог C:\Program Files\Network Associates\Common Framework в другое место, иначе ничего не прокатывало, можно и менее кординально, но времени на разборки мало.
Новые логи приложены.
Малость намудрил:
- старый каталог LOG переместил в другое место, Quarantine не трогал.
- после скрипта на первом прогоне пришлось остановить тест1 для прибивания макаки - успел поставиться.
- после перзагрузки сделал повтор теста1 и продолжил далее тест2 и HijackThis.
- virusinfo_cure.zip - приаттачен новый
После выполнения скрипта система стала пытается поставить какое-то железо, но дров не находит, бум искать что слетело.
ЗЫ: как мало компу надо для счастья - удали макаку и все летает :( (независимо от наличия виря).
1. Отключите восстановление системы и антивирус.
2. [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ:[/URL]
[CODE]begin
DeleteFile('digiwet.dll');
ExecuteSysClean;
RebootWindows(true);
end.[/CODE]После выполнения скрипта компьютер перезагрузится!
3. [URL="http://virusinfo.info/showthread.php?t=4491"]Пофиксите в HijackThis:[/URL]
[QUOTE]O20 - Winlogon Notify: crypt - C:\WINDOWS\[/QUOTE]4. Сделайте новые логи (только п.2 и 3 раздела Диагностика).
Сделал, загрузил.
В карантине, если я правильно понял, файлы чистые:
[I]mfehidk.sys [/I]компонент Antispyware модуля макаки
[COLOR=black][I]iertutil.dll[/I] компонент от IE7[/COLOR]
Что с проблемами?
[size="1"][color="#666686"][B][I]Добавлено через 3 минуты[/I][/B][/color][/size]
пункт 1 диагностики сделайте... что-то мне тут не даёт покоя :)
Увы, спасибо за потраченное на меня время, но резульнат плачевный.
Параллельно попробовал разобраться с железом - что слетело и при повторном накате ранее загруженных дров система приказала долго жить :O. Грузится только в безопасном режиме, в другом варианте только синий экран и перезагрузка, стабилизировать синюшник не удается - очень короткое время отображения. По событиям ситемы - критическая 0x1000008e, вообщем проще переставить - все одно, стабильнее будет и времени на порядок меньше займет (хоть и интересно ....) пока это не массовое.
По логам проблема - сеть (все ошибки из-за сетевых служб). Попробовал накатить Sp3 - ситуация исправилась до установки дров (до этого снес все), потом тоже самое.
Подобная ситуация уже на 2й тачке (везде Sp2), первый раз недочистил, было порядка 5 штук разнопрофильных. Сейчас с дровами погорел или просто поспешил. Ладно век живи - век учись и всеравно ... . На чем то учится надо. Жалко, что образ не сделал :(, теперь ковырять нечего.
В целом из активных кроме разновидности [COLOR=#810081]Trojan.Inject [COLOR=black]и [/COLOR]Trojan.DownLoad [/COLOR][COLOR=black]ничего не нашол.[/COLOR]
Очень жаль. :(
Из найденного: digiwet.dll - [B]Backdoor.Win32.Zdoogu.bp[/B]
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]2[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\windows\system32\digiwet.dll - [B]Backdoor.Win32.Zdoogu.bp[/B] ( DrWEB: Trojan.Inject.5512 )[/LIST][/LIST]