Printable View
В общем поселилась на компе какая-то гадость, пытаюсь установить антивирус, но он не запускается, AVZ и HijackThis запускаются только после их переименования. В безопасном режиме DrWeb ничего не находит, Касперский удалил какого-то worma из автозагрузки, но проблемы остались...
Логи прилагаются...
Помогите, чем можете...
Выполните скрипт в AVZ:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\Documents and Settings\All Users\Application Data\90727806\90727806.exe','');
QuarantineFile('C:\Documents and Settings\All Users\Application Data\10717814\10717814.exe','');
QuarantineFile('C:\WINDOWS\System32\drivers\rmoa97c.sys','');
DeleteFile('C:\Documents and Settings\All Users\Application Data\10717814\10717814.exe');
DeleteFile('C:\Documents and Settings\All Users\Application Data\90727806\90727806.exe');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
ExecuteRepair(9);
RebootWindows(true);
end.[/code]
Компьютер перезагрузится.
Пришлите карантин согласно приложению 3 правил
(загружать тут: [url]http://virusinfo.info/upload_virus.php?tid=47867[/url]).
Все сделал...
После перезагрузки запустился антивирус (avira) и нашел пару вирусов...
Вот этот почему-то в карантин не попал:
C:\WINDOWS\System32\drivers\rmoa97c.sys
Хотя по логу он присутствует на диске 100%.
Не его ли нашел ваш антивирус?
Прочитайте и выполните это:
[url]http://virusinfo.info/showthread.php?t=43700[/url].
Сделайте новый лог по п.2 раздела [I]Диагностика[/I].
По поводу вот этого - [url]http://virusinfo.info/showthread.php?t=43700[/url] не удалось найти вот это HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet \Services\wuauserv
Точней сама ветка есть, а внутри пусто - к тому же и самой службы "Автоматическое обновление" нет...
rmoa97c.sys - на диске присутствует, но при попытке скопировать его в карантин вылезает ошибка "Карантин с использованием прямого чтения - ошибка"....
Лог прикрепляю...
В приложенном архиве reg-файл для восстановления службы автообновлений.
В AVZ установите драйвер расширенного мониторинга (AVZPM), перезагрузите компьютер и сделайте лог еще раз.
Файл для реестра выполнил, служба появилась, но когда выбираешь её свойства, то сначала появляется сообщение с предупреждением "Диспетчер конфигураций: указанный дескриптор устройств не соответствует имеющемуся устройству." Хотя потом вроде появляется окно с настройками...
Лог прилагается...
Попробуйте вручную заархивировать [B]rmoa97c.sys[/B] и загрузите по ссылке для карантина.
Отключил этот драйвер из автозагрузки, перегрузился.. и вроде получилось скопировать...
[size="1"][color="#666686"][B][I]Добавлено через 46 минут[/I][/B][/color][/size]
В общем загрузил этот файл на virustotal.com
[url]http://www.virustotal.com/ru/analisis/f267fc652f921b3b6d32b17484b491ea60ccd593c6ed2e94fccd5d9234dd893e-1244986455[/url]
6 из 38 показывают вирусняк...
На свой страх и риск выполнил следующее:
[QUOTE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\System32\drivers\rmoa97c.sys','');
DeleteFile('C:\WINDOWS\System32\drivers\rmoa97c.sys');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
ExecuteRepair(9);
RebootWindows(true);
end.[/QUOTE]
Вроде все работает - вот только не вижу чтобы обновления шли...
Можно ли проверить все исправлено или нет?
[QUOTE=andreyka65;416630]
Можно ли проверить все исправлено или нет?[/QUOTE]Логи сделайте повторные
[QUOTE]rmoa97c.sys - Rootkit.Win32.Agent.lok
Детектирование файла будет добавлено в следующее обновление.[/QUOTE]
Повторяю все логи...
Больше ничего плохого не видно.
Спасибо!
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]3[/B][*]Обработано файлов: [B]20[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\documents and settings\all users\application data\10717814\10717814.exe - [B]Trojan.Win32.FraudPack.ouw[/B][*] c:\documents and settings\all users\application data\90727806\90727806.exe - [B]Trojan-Downloader.Win32.FraudLoad.eqg[/B][*] \rmoa97c.sys - [B]Rootkit.Win32.Agent.lok[/B][/LIST][/LIST]