Printable View
Решил проверить систему с помощью AVZ.
Вызвыла беспокоиство строчка о подозрении на троянский днс...
И насчет перехватчиков красным...
Может зараза какая завелась?
Вообще проверяю регулярно Нодом32, бывает что то находит и удаляет, может недоудалял?
Логи приложены. Посмотрите пожалуйста.
Установите AVZPM и повторите логи...
Вот это можно сразу пофиксить:
[CODE]O17 - HKLM\System\CCS\Services\Tcpip\..\{07ADBFF1-F252-4934-8648-1BDAB78EC2DD}: NameServer = 85.255.112.165,85.255.112.216
O17 - HKLM\System\CS1\Services\Tcpip\Parameters: NameServer = 85.255.112.165,85.255.112.216
O17 - HKLM\System\CS1\Services\Tcpip\..\{07ADBFF1-F252-4934-8648-1BDAB78EC2DD}: NameServer = 85.255.112.165,85.255.112.216
O17 - HKLM\System\CS2\Services\Tcpip\Parameters: NameServer = 85.255.112.165,85.255.112.216
O17 - HKLM\System\CS2\Services\Tcpip\..\{07ADBFF1-F252-4934-8648-1BDAB78EC2DD}: NameServer = 85.255.112.165,85.255.112.216
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: NameServer = 85.255.112.165,85.255.112.216[/CODE]
[QUOTE=Гриша;397349]Установите AVZPM и повторите логи...[/QUOTE]
Что это и где взять?
[url]http://virusinfo.info/showthread.php?t=12316[/url]
Как пофиксить? Просто удалить из реестра?
И откуда это? чтоб предотвратить в дальнейшем?
[COLOR="Red"][U]4. Запрещено цитирование слишком больших текстов (оверквоттинг),[/U][/COLOR]
Сделайте что я попросил...
Вот
[QUOTE=AlexE2009;397362]Как пофиксить?[/QUOTE]
[URL="http://virusinfo.info/showthread.php?t=4491"][COLOR=#0532aa]Что значит "пофиксить с помощью HijackThis"?[/COLOR][/URL]
[size="1"][color="#666686"][B][I]Добавлено через 4 минуты[/I][/B][/color][/size]
Выполните скрипт в AVZ:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('digeste.dll','');
QuarantineFile('I:\windows\system32\drivers\gaopdxtmtndyoygtexrmlsfncpapppactdcnty.sys','');
DeleteFile('I:\windows\system32\drivers\gaopdxtmtndyoygtexrmlsfncpapppactdcnty.sys');
DeleteFile('digeste.dll');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]
Компьютер перезагрузится.
Пришлите карантин согласно приложению 3 правил
(загружать тут: [url]http://virusinfo.info/upload_virus.php?tid=45156[/url]).
Сделайте новые логи (только п.2 и 3 раздела Диагностика).
всё сделал
после перезагрузки нод заорал что в /system32/ троян и удалил его
Скажите, что это было?
[URL="http://virusinfo.info/showthread.php?t=7239"]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".[/URL]
[CODE]begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteService('navigator');
QuarantineFile('I:\WINDOWS\fd.dll','');
QuarantineFile('I:\Documents and Settings\Alex\Application Data\AdobeUM\A346D81075266088\A346D81075266088','');
DeleteFile('I:\WINDOWS\fd.dll');
BC_ImportDeletedList;
ExecuteSysClean;
BC_DeleteSvc('navigator');
BC_Activate;
RebootWindows(true);
end.[/CODE]
Пришлите карантин по правилам и повторите логи...
[QUOTE=AlexE2009;397408]Скажите, что это было?[/QUOTE]
А вот что нод сказал, то и было! Вы ж пустой карантин прислали.
На будущее: антивирус нужно отключать при выполнении скриптов в AVZ.
[QUOTE=Bratez;397415]А вот что нод сказал, то и было! Вы ж пустой карантин прислали.
На будущее: антивирус нужно отключать при выполнении скриптов в AVZ.[/QUOTE]
Отключил нод, восстановил из нодовского карантина, прислал заново, смотрите...
DrWEB 5.0=Зловред [B]BackDoor.Tdss.115[/B]; VBA32=Зловред [B]Trojan.Win32.Olmarik.37[/B]; BitDefender=Зловред [B]Gen:Trojan.Heur.TDSS.207C83B3B3[/B]
Касперский пока не знает...
2 Гриша
ВСе сделал логи положил...
Короче с "пофиксиньем" в реестре такая петрушка:
удаляю эти строчки - ни в ие, ни в гугле хроме ни одна страница не открывается, восстанавливаю - всё работает...
[QUOTE=Гриша;397438]DrWEB 5.0=Зловред [B]BackDoor.Tdss.115[/B]; VBA32=Зловред [B]Trojan.Win32.Olmarik.37[/B]; BitDefender=Зловред [B]Gen:Trojan.Heur.TDSS.207C83B3B3[/B]
Касперский пока не знает...[/QUOTE]
А почему нод эту заразу не видел, пока авзшный скрипт не выполнил?
\Utils\avz4\avz4\Quarantine\2009-05-05\avz00001.dta - Win32/Agent.PAX троянская программа - очищен удалением - изолирован [1]
[size="1"][color="#666686"][B][I]Добавлено через 14 минут[/I][/B][/color][/size]
2 Гриша
Еще вопрос:
Вот это откуда могло взяться: 'I:\Documents and Settings\Alex\Application Data\AdobeUM\
Может вообще эту папку удалить?
Где карантин после последнего скрипта?
После того как пофиксили, нужно ввести свои DNS выданные провайдером...
Положил карантин после последнего скрипта
"\Utils\avz4\avz4\Quarantine\2009-05-05\avz00001.dta - Win32/Agent.PAX троянская программа - очищен удалением - изолирован [1]
" - это относилось к второму карантину
А как эти архивы открываются (пароль)? Если не секрет, конечно...
[QUOTE=AlexE2009;397442]А почему нод эту заразу не видел, пока авзшный скрипт не выполнил?[/QUOTE]
Нод не видит активный руткит. Только когда авз его нейтрализовал и закарантинил - тогда вуаля :)