Printable View
Добрый день! NOD32 при загрузке находит трояна, безуспешно пытается его уничтожить. Троян поменял в реестре параметр TCPIP - удалял вручную, т. к. блокировался выход в интернет, трафик шел неведомо куда, в логах HiJack теперь этих строк нет. Помогите добить, пожалуйста!
Выполнить:
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
SetAVZPMStatus(True);
QuarantineFile('C:\WINDOWS\TEMP\tempo-15495515.tmp','');
QuarantineFile('C:\WINDOWS\system32\MSIVXuwpdqvstdynqjemwrdxhdkefgdkddbae.dll','');
DeleteFile('C:\WINDOWS\system32\MSIVXuwpdqvstdynqjemwrdxhdkefgdkddbae.dll');
DeleteFile('C:\WINDOWS\TEMP\tempo-15495515.tmp');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]
После перезагрузки повторить логи + сделать лог Gmer
Загрузить карантин по красной ссылке.
Выполнил.
Карантин закачал:
[SIZE=2]Файл сохранён как[/SIZE][SIZE=2]090707_170310_virus_4a53478e115ac.zip[/SIZE][SIZE=2]
Размер файла[/SIZE][SIZE=2]13262[/SIZE][SIZE=2]
MD5[/SIZE][SIZE=2]96c9b637fd0d0f1aede140cafd7ccd43[/SIZE]
В карантине был Trojan.Win32.Agent.clxm по Касперскому.
[size="1"][color="#666686"][B][I]Добавлено через 3 минуты[/I][/B][/color][/size]
Выполнить скрипт:
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\MSIVXuwpdqvstdynqjemwrdxhdkefgdkddbae.dll','');
QuarantineFile('C:\WINDOWS\system32\MSIVXitufxjlkmppkbpcxovbwqwmbqrychxyx.sys','');
QuarantineFile('C:\WINDOWS\system32\MSIVXfxwvbkpufnaqnfwmobwgbeycpasnvdiy.dll','');
BC_DeleteFile('C:\WINDOWS\system32\MSIVXitufxjlkmppkbpcxovbwqwmbqrychxyx.sys');
BC_DeleteFile('C:\WINDOWS\system32\MSIVXuwpdqvstdynqjemwrdxhdkefgdkddbae.dll');
BC_DeleteSvc('MSIVXserv');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]
Сделать новые логи после перезагрузки.
Загрузить карантин только за сегодняшнее число по Правилам.
+ к предыдущему
Сохраните текст ниже как cleanup.bat в ту же папку, где находится gmer.exe
[code]gmer.exe -del service MSIVXserv.sys
gmer.exe -del file "C:\WINDOWS\system32\drivers\MSIVXitufxjlkmppkbpcxovbwqwmbqrychxyx.sys"
gmer.exe -del file "C:\WINDOWS\system32\MSIVXuwpdqvstdynqjemwrdxhdkefgdkddbae.dll"
gmer.exe -del file "C:\WINDOWS\system32\MSIVXuwpdqvstdynqjemwrdxhdkefgdkddbae.bak"
gmer.exe -del file "C:\WINDOWS\system32\MSIVXfxwvbkpufnaqnfwmobwgbeycpasnvdiy.dll"
gmer.exe -del file "C:\WINDOWS\system32\MSIVXcount"
gmer.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\MSIVXserv.sys"
gmer.exe -del reg "HKLM\SYSTEM\ControlSet002\Services\MSIVXserv.sys"
gmer.exe -reboot[/code]И запустите cleanup.bat
Компьютер перезагрузится
Сделать новый лог gmer
Добрый день! AVZ пишет:
[QUOTE]Ошибка скрипта: Undeclared identifier: 'BC_DeleteSvs', позиция [9:14][/QUOTE]и ничего не выполняет.
Gmer сейчас сделаю
Исправил скрипт.
Карантин закачал:
Файл сохранён как 090708_165439_virus_4a54970f1262b.zip
Размер файла 55675
MD5 e1fb6f2443b1e0a3c64d2a1269fb48fb
Сохраните текст ниже как cleanup.bat в ту же папку, где находится gmer.exe
[CODE]gmer.exe -del service MSIVXserv.sys
gmer.exe -del file "C:\WINDOWS\system32\drivers\MSIVXitxfoykbvqsusbmqbltfmglwkqtgnmeg.sys"
gmer.exe -del file "C:\WINDOWS\system32\MSIVXnqwmrsybydnfyxtpaxxlllgbwtcpciti.dll"
gmer.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\MSIVXserv.sys"
gmer.exe -del reg "HKLM\SYSTEM\ControlSet002\Services\MSIVXserv.sys"
gmer.exe -reboot[/CODE]И запустите cleanup.bat
Компьютер перезагрузится
Сделать новый лог gmer
Выполнил. Gmer руганулсяся, что не нашел такие пути, перезагрузил. После перезагрузки просканировал все Gmer'ом, он не стал создавать лог.
Немного поправил скрипт
Попробуйте еще раз выполнить. На сообщения об ошибках не обращайте внимания.
Попробуйте сделать новый лог
Вот новый лог.
Зачищено. Лог чистый.
Спасибо за помощь! Сейчас последую вашим рекомендациям, создам ограниченную учетку и т. д.
Напоследок 2 вопроса:
1.В логе HiJack вызывает сомнение строчка
[QUOTE]O2 - BHO: FieryAds advertising module v1.5.0 - {CF272101-7F6E-4CF2-9453-B4C5D2FC32C0} - (no file)[/QUOTE]. Убить ее?
2. Посоветуйте что-нибудь для очистки и оптимизации реестра (в regedit'e я не силен!)
1. Да, эту строчку надо пофиксить
Пофиксил,пропала. Вроде все хорошо...
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]13[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\windows\system32\msivxfxwvbkpufnaqnfwmobwgbeycpasnvdiy.dll - [B]Trojan.Win32.Monder.cqcs[/B][*] c:\windows\system32\msivxuwpdqvstdynqjemwrdxhdkefgdkddbae.dll - [B]Trojan.Win32.Agent.clxm[/B] ( DrWEB: BackDoor.Tdss.223, BitDefender: Trojan.Generic.2020384 )[/LIST][/LIST]