Printable View
нашел Curlit и убил, еще один троян нашел AVPTooll, AVZ и HiJack загрузились переименованными, вирусов не нашли к сожалению, а антивирусы, которые у меня есть возможность загрузить, касперский и avast устанавливаются, но не работают. что делать?? очень грустно мне :(
Пока так: программа AVZ - файл - выполнить скрипт - выполните скрипт:
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\stisvc.exe','');
QuarantineFile('C:\WINDOWS\system32\xvidvfw.dll','');
QuarantineFile('C:\WINDOWS\system32\yv12vfw.dll','');
QuarantineFile('C:\windows\ld08.exe','');
QuarantineFile('C:\WINDOWS\system32\1028u.exe','');
BC_ImportquarantineList;
BC_Activate;
executerepair(9);
RebootWindows(true);
end.[/code] После перезагрузки, карантин AVZ загрузите по ссылке [url]http://virusinfo.info/upload_virus.php?tid=46192[/url] , как написано в прил.3 правил.
Avast! стоял на этой машине?
Numb спасибо, скрипт выполнила, после перезагрузки Avast! загрузился нормально. Карантин отправила.
Да, Avast! стоял, появилось предупреждение, о атаках с какого-то адреса (так бывает и я не испугалась :) ) а через какое-то время антивирус заругался, что пора бы зарегится и я повелась, сходила на сайт, номер лицензии полученной вбила,ту т он умер. Пробовала переустанавливать, ставить каспер - не помогало.
Вирус блокировал антивирусные проги, другой активности не заметила.
Что теперь делать? Подождем? Карантин очистить в AVZ?
На время выполнения скрипта, отключитесь от сети и отключите антивирусный монитор.
Программа AVZ - файл - выполнить скрипт - выполните скрипт: [code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
RegKeyParamDel('HKEY_USERS','.DEFAULTControl PanelIOProcs','MVB');
RegKeyParamDel('HKEY_USERS','S-1-5-19Control PanelIOProcs','MVB');
RegKeyParamDel('HKEY_USERS','S-1-5-20Control PanelIOProcs','MVB');
RegKeyParamDel('HKEY_USERS','S-1-5-18Control PanelIOProcs','MVB');
RegKeyParamDel('HKEY_CURRENT_USER','Control PanelIOProcs','MVB');
DeleteFile('C:\WINDOWS\system32\1028u.exe');
BC_DeleteFile('C:\WINDOWS\system32\1028u.exe');
DeleteService('SENSRemoteAccess');
BC_DeleteSvc('SENSRemoteAccess');
BC_Activate;
ExecuteSysClean;
RebootWindows(true);
end.[/code] После перезагрузки, повторите логи.
Спасибо, мой незнакомый друг! Новые логи перед запуском скрипта проверила ноут dr.wed lcd - не нашел ничего. меня напрягает немножко, что в активных процессах нахожу со вчерашнего дня wuauclt и spoollsv. авт.обновление у меня отключено и отключенным остается. AVZ находит перехватчиков и "успешно" нейтрализует код при каждом запуске пока писала на форум, avast! успел обновится, процесс был с PID 2168, теперь автоматическое обновление отключила
Avast, если вы им собираетесь пользоваться дальше, и должен обновляться - не надо ему мешать.
На время выполнения скрипта, отключитесь от сети и отключите антивирусный монитор. Пофиксите с помощью Hijackthis строчку: [code]O4 - HKLM\..\Run: [sysldtray] C:\windows\ld08.exe[/code]. Программа AVZ - файл - выполнить скрипт - выполните скрипт: [code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\windows\System32\Drivers\Parport.SYS','');
QuarantineFile('\SystemRoot\System32\Drivers\Parport.SYS','');
DeleteFile('C:\windows\ld08.exe');
BC_DeleteFile('C:\windows\ld08.exe');
BC_ImportquarantineList;
BC_Activate;
ExecuteSysClean;
SetServiceStart('RDSessMgr', 4);
SetServiceStart('SSDPSRV', 4);
RebootWindows(true);
end.[/code] После перезагрузки, карантин AVZ загрузите по ссылке [url]http://virusinfo.info/upload_virus.php?tid=46192[/url] , как написано в прил.3 правил, и повторите логи.
привет, новые логи, а в карантине нет ничего. построение списка"установка и удаление программ " занимает целую вечность. небыло такого до "пришествия" вируса. цифра "4" в имени и процессах аваста появилась тоже после.
пробовала выполнить скрипт еще, файлы в карантин не добавляются, пробовала добавить по списку, автоматически - не их в карантине, в системе есть. автоматически добавился другой файл - он в карантине по ссылке. Файл сохранён как 090526_004425_virus_4a1b03290f39a.zip сохранила протокол, после выполнения скрипта, посмотрите
Попробуйте две вещи: во-первых, если файл C:\windows\System32\Drivers\Parport.SYS в системе присутствует, скопируйте его руками, запакуйте в карантин с паролем virus и загрузите через форму загрузки карантина. Если вы файл не видите, попробуйте найти и поместить его в карантин, как написано здесь - [url]http://virusinfo.info/showthread.php?t=17109[/url]
Во-вторых, удалите Avast! через установку-удаление программ, посмотрите, уйдут ли проблемы со списком. Если уйдут, то можно заново скачать установочный дистрибутив - [url=http://files.avast.com/iavs4pro/setuprus.exe]ссылка на актуальную русскую home-версию[/url] - и установить его заново. Если проблемы со списком останутся, повторите лог исследования системы [b]без установленного антивируса.[/b]
[QUOTE=Numb;407109]Если вы файл не видите,</b>[/QUOTE]
я файл вижу, а AVZ нет. Свою карантинскую папку, после копирования туда файла, показывает как пустую, и не удаляет.
загрузила: Файл сохранён как 090526_143742_virus_4a1bc676d8d9e.zip
проблема со списком осталась поле удаления антивируса :(
позакрывала дырки, какие смогла,
не пойму тольео,как закрыть доступ анониму, гиперссылки не вижу, или она не активна
логи:
Логи чистые. Вот этот скрипт [code]begin
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Control\LSA','RestrictAnonymous', 2);
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'System\CurrentControlSet\Services\LanmanServer\Parameters','AutoShareWks', 0);
RebootWindows(true);
end.[/code] отключает доступ анонимного пользователя и административный доступ к локальным дискам. Закрывать вообще все следует только если это stand-alone домашняя машина, не подключенная ни к какой локальной сети. Если это рабочая станция в составе локальной сети, могут возникнуть проблемы с доступом к сетевым ресурсам.
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]4[/B][*]Обработано файлов: [B]15[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\windows\system32\1028u.exe - [B]Trojan.Win32.Inject.aapx[/B] ( DrWEB: BackDoor.IRC.Bot.114, BitDefender: Trojan.Waledac.CT )[/LIST][/LIST]