Printable View
Здравствуйте, помогите удалить трояны!
CureIt в Safe mode находил Panda, Siggen, AutoFake, Autorun, спамбота и пр. Всплывало окно "отправь смс", тормозил svhost, не запускались программы, слетало на синий экран с сообщением о повреждении памяти и проч. NOD при включении флешки находил Autorun-червя, но как обычно и после удаления он тут "отрастал" снова.
Заранее спасибо!
1. Отключите восстановление системы и антивирус.
2. [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ:[/URL]
[CODE]begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
TerminateProcessByName('c:\windows\system32\riodrv.exe');
QuarantineFile('c:\windows\system32\riodrv.exe','');
QuarantineFile('C:\WINDOWS\system32\config\systemprofile\Local Settings\Temporary Internet Files\Content.IE5\OPQ3G567\pin[2].exe','');
QuarantineFile('C:\Program Files\Microsoft Common\svchost.exe','');
DeleteFile('c:\windows\system32\riodrv.exe');
DeleteFile('C:\WINDOWS\system32\config\systemprofile\Local Settings\Temporary Internet Files\Content.IE5\OPQ3G567\pin[2].exe');
DeleteFile('C:\Program Files\Microsoft Common\svchost.exe');
BC_ImportDeletedList;
ExecuteSysClean;
ExecuteRepair(9);
BC_Activate;
RebootWindows(true);
end.[/CODE]
После выполнения скрипта компьютер перезагрузится!
Пришлите карантин согласно [B]приложению 3[/B] [URL="http://virusinfo.info/pravila.html"]правил.[/URL]
Загружать по ссылке: [url]http://virusinfo.info/upload_virus.php?tid=46362[/url]
3. Повторите логи.
[size="1"][color="#666686"][B][I]Добавлено через 2 минуты[/I][/B][/color][/size]
[QUOTE]O17 - HKLM\System\CCS\Services\Tcpip\..\{A3E7A63D-5763-45BB-807C-9FC7A284A92E}: NameServer = 80.71.244.244 80.71.245.245[/QUOTE]
Эти адреса Вам известны? Если нет, то [URL="http://virusinfo.info/showthread.php?t=4491"]пофиксите.[/URL]
Aleksandra спасибо!
1. Отключил (уже были отключены).
2. Выполнил, карантин залил.
3. Логи загрузил, адреса не знаю, пофиксил - появилось снова (может это от интернета? - у меня WAN PPPoE)
1. Отключите восстановление системы и антивирус.
2. [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ:[/URL]
[CODE]begin
DelBHO('{8DAE90AD-4583-4977-9DD4-4360F7A45C74}');
DelBHO('{6D7B211A-88EA-490c-BAB9-3600D8D7C503}');
DelBHO('{6C517674-DE1C-4493-977C-34A1BFAB35BA}');
DeleteFile('riodrv.exe');
ExecuteSysClean;
RebootWindows(true);
end.[/CODE]После выполнения скрипта компьютер перезагрузится!
3. Повторите лог [B]virusinfo_syscheck.[/B]
[size="1"][color="#666686"][B][I]Добавлено через 43 секунды[/I][/B][/color][/size]
[QUOTE=Sapratigs;405847]3. Логи загрузил, адреса не знаю, пофиксил - появилось снова (может это от интернета? - у меня WAN PPPoE)[/QUOTE]
Адреса Ваши. Не трогайте их!
1. Отключены.
2. Выполнил.
3. Повторил.
А флешку, где autorun сидел, чем лучше полечить?
Еще раз спасибо! :)
Ничего зловредного в логах нет.
[size="1"][color="#666686"][B][I]Добавлено через 36 секунд[/I][/B][/color][/size]
Выполните эту инструкцию [url]http://virusinfo.info/showthread.php?t=3519[/url] и загрузите полученный карантин через форму [url]http://virusinfo.info/index.php?page=uploadclean[/url] После его загрузки продублируйте имя и MD5 файла, который выдаст форма приема карантинов.
[size="1"][color="#666686"][B][I]Добавлено через 2 минуты[/I][/B][/color][/size]
[QUOTE=Sapratigs;405853]А флешку, где autorun сидел, чем лучше полечить?[/QUOTE]
Логи нужно было сделать со вставленной флэшкой, если знали о ее заражении.
[QUOTE]
Цитата:
Сообщение от [B]Sapratigs[/B] [URL="http://virusinfo.info/showthread.php?p=405853#post405853"][IMG]http://virusinfo.info/images/buttonsru/viewpost.gif[/IMG][/URL]
[I]А флешку, где autorun сидел, чем лучше полечить?[/I]
Логи нужно было сделать со вставленной флэшкой, если знали о ее заражении.
[/QUOTE]
Флешка была вставлена, на всякий случай решил уточнить, спасибо!
Ответ [url]http://virusinfo.info/showpost.php?p=405866&postcount=1186[/url]
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]3[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\program files\microsoft common\svchost.exe - [B]Trojan.Win32.Inject.aaxf[/B] ( BitDefender: Gen:Trojan.Heur.Hype.20708F8F8F )[*] c:\windows\system32\config\systemprofile\local settings\temporary internet files\content.ie5\opq3g567\pin[2].exe - [B]Trojan.Win32.Buzus.baxu[/B] ( DrWEB: Trojan.PWS.LDPinch.4308 )[*] c:\windows\system32\riodrv.exe - [B]Trojan-PSW.Win32.Agent.mza[/B] ( BitDefender: Rootkit.19807 )[/LIST][/LIST]
Рекомендации:
[LIST=1][*]Обнаружены троянские программы класса Trojan-PSW/Trojan-Spy - настоятельно рекомендуется поменять все пароли ![/LIST]