Printable View
Всем привет.
Случилась такая бяка с компом, грузит процессор постоянно explorer.exe
В разных папках и в корнях дисках появляется какой то вирус tporncollection, AVP находит и удаляет, но видимо сам рассадник не видит... Да и вообще что то машина чудит.
Заранее благодарен.
Выполните скрипт в AVZ
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\RECYCLER\S-1-5-21-1275210071-1450960922-1801674531-500\Dc1\wgp\wgprun.exe','');
DeleteFile('C:\RECYCLER\S-1-5-21-1275210071-1450960922-1801674531-500\Dc1\wgp\wgprun.exe');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
SetAVZPMStatus(True);
RebootWindows(true);
end. [/code]Компьютер перезагрузится.
Пришлите карантин согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы
Сделайте новые логи
Карантин отправил согласно правилам.
Вот новые логи.
Появляется в папках вот такое г -= The Porn Collection =-
От куда то постоянно появляется я не пойму.
Компьютер в локальной сети? Диски открыты на запись при сетевом доступе?
Да
Скорее всего это к Вам из сети приходит. В логах этого компьютера ничего подозрительного нет.
как быть ? лечить второй комп из сетки таким же образом ?
Если в Вашей сети их всего два, то выполните на втором компьютере сбор логов, [B]создайте новую тему[/B] и выложите логи в ней
Хорошо так и сделаю, но вопрос в другом, на первом компе заново придется фиксить все ? Папки по новой создаются не спроста. И при открытии этих папок или даже поиске этих папок на компе explorer.exe начинает грузить процессор на 99%, спасает снятие задачи и запуск приложения вручную "explorer.exe" тогда груз с проца спадает...
Да, скорее всего, на первом придется делать все заново.
Продолжение темы...
Второй комп вроде как вылечили, а вот с первым не ясно ... все эти папки появляются из не от куда.
Новые логи ниже.
Попробуем вот это:
[url]http://images.malwareremoval.com/random/RSIT.exe[/url]
Запустите, выберите проверку файлов за последние два месяца и нажмите продолжить. Должны открыться два отчета log.txt и info.txt
Их пришлите.
Сделал все как просили.
Вот логи.
Выполнить скрипт:
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
ClearQuarantine;
QuarantineFile('C:\WINDOWS\system32\~.exe','');
QuarantineFile('C:\WINDOWS\system32\sys32net.dll','');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]
Загрузить карантин по Правилам согласно Приложения 3
через [url]http://virusinfo.info/upload_virus.php?tid=49058[/url]
Отправил.
Файл сохранён как 090702_172237_virus_4a4cb49d36a49.zip
Размер файла 11697
MD5 1147465f7342cfdae0a74c943e00ccb6
sys32net.dll -Trojan.KeyLogger.3497 по Доктору Вебу.
Похоже, ворует пароли. :(
Выполнить:
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\WINDOWS\system32\~.exe');
DeleteFile('C:\WINDOWS\system32\sys32net.dll');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]
Все удалил :) спасибо большое.
Да тут паролей никаких и нету, воровать нечего :)
Там еще пару ключиков в реестре надо, наверное, подчистить.
Пока понаблюдай полезут эти директории или нет.
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]7[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\windows\system32\~.exe - [B]Trojan-Downloader.Win32.Small.jyd[/B][*] c:\windows\system32\sys32net.dll - [B]Trojan-Spy.Win32.Agent.awmd[/B] ( DrWEB: Trojan.KeyLogger.3497 )[/LIST][/LIST]
Рекомендации:
[LIST=1][*]Обнаружены троянские программы класса Trojan-PSW/Trojan-Spy - настоятельно рекомендуется поменять все пароли ![/LIST]