Проблема была такая - WIN XP, запрешено редактировать реестр, запрещен диспетчер задач, при запуске эксплорера окно с порнухой, требует бабки, при запуске win требует бабки..
Скачал Dr. Web CureIt!, проверил на вирусы, все удалил, перезагрузил..
Затем поставил AVZ, сделал восстановление системы...появился диспетчер, при запуске браузеров все отлично..тока НОД не запускается в автозагрузке...
почему при перезагрузке опять порнуха в браузере и опять отключен диспетчер???:(
да.. при проверке dr.web нашел и удалил следующие вирусы :Win32.HLLW.Autohit.3438
Trojan.Packed.2479
BackDoor.Tdss.266
Tool.Pwdump
Trojan.DownLoad.33507
BackDoor.IRC.Sdbot.4823
Program.PrcView.3741
Trojan.Inject.5804
Win32.HLLW.Druck.5
Никакой блокировки диспетчера задач в логах нет
Логи делали без запущенного браузера? Если да, то их нужно переделать
нет логи я сделал после восстановления системы...сделать перед восстановлением системы и с запущенным браузером??
повторюсь еще раз.. после того как в AVZ делаю восстановление системы, все приходит в норму, затем перезагружаюсь и опять нет диспетчера, и порно в браузере и запрещено редактировать реестр..
какие именно сделать логи??
С запущенным браузером и включенным AVZPM
вот сделал
cVBqSz.dll - есть в папке system32?
Посмотрите с помощью AVZ (Сервис - Поиск файлов на диске)
есть в систем 32
что с ним делать убить?
[size="1"][color="#666686"][B][I]Добавлено через 7 минут[/I][/B][/color][/size]
удалил файл, восстановил систему, перезагрузился, ничего не изменилось
[B]virusinfo_cure.zip[/B] уберите из вложений.
Выполните скрипт в AVZ
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\cVBqSz.dll','');
DeleteFile('C:\WINDOWS\system32\cVBqSz.dll');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
ExecuteRepair(9);
ExecuteRepair(11);
ExecuteRepair(13);
ExecuteRepair(17);
ExecuteWizard('TSW', 1, 1, true);
RebootWindows(true);
end. [/code]Компьютер перезагрузится.
Пришлите карантин согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы
Сделайте новые логи
сделал новые логи, выслал карантин, все симптомы теже, делаю восстановление системы, после перезагрузки все повторяется+ когда шелкаешь правой кнопкой по раб столу, в контекстном меню тока : Обновит, Свойства, Вставить, вставить ярлык...
карантин дошел??
[size="1"][color="#666686"][B][I]Добавлено через 1 час 45 минут[/I][/B][/color][/size]
поставил agavaAnti Spy отсканил
нашел следующее AB System Spy, Futh, Redirected hostfile entry..
все удалил, но после перезагрузки опять находит то же самое..
понятно что все дело в перезагрузке..но не понятно как это устранить...
Карантин дошел
Результат проверки на ВирусТотал файла C:\WINDOWS\system32\cVBqSz.dll
[url]http://www.virustotal.com/ru/analisis/b6881c2364674403b7d192693ab0a2741da123ebd073e1c120232bdf72bc50d9-1247136020[/url]
Выполните скрипт в AVZ
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\RpCtgr.dll','');
DeleteFile('C:\WINDOWS\system32\RpCtgr.dll');
QuarantineFile('C:\WINDOWS\system32\crypt.dll','');
DeleteFile('C:\WINDOWS\system32\crypt.dll');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
ExecuteRepair(6);
ExecuteRepair(9);
ExecuteRepair(11);
ExecuteRepair(13);
ExecuteRepair(17);
RegKeyIntParamWrite( 'HKLM', 'SOFTWARE\Microsoft\Windows\CurrentVersion\policies\NonEnum', '{BDEADF00-C265-11D0-BCED-00A0C90AB50F}', 1);
ExecuteWizard('TSW', 1, 1, true);
RebootWindows(true);
end.[/CODE]
Пришлите карантин согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы
Сделайте новые логи
сейчас выташил hdd, воткнул в другой комп, проверил spyware terminator, он удалил несколько троянов. сейчас проверяю нодом.. он нашел D:\WINDOWS\system32\autorun.inf - Win32/Tifaut.C червь
D:\System Volume Information\_restore{CCF18627-5AE8-46DA-A73C-9B28ECE1F5F4}\RP105\A0007155.inf - Win32/Tifaut.C червь - очистка невозможна - удален
D:\System Volume Information\_restore{CCF18627-5AE8-46DA-A73C-9B28ECE1F5F4}\RP105\A0007156.sys - модифицированный Win32/Kryptik.NM троян - очистка невозможна - удален
D:\System Volume Information\_restore{CCF18627-5AE8-46DA-A73C-9B28ECE1F5F4}\RP105\A0007157.exe »AUTOIT »script.au3 - Win32/Packed.Autoit.Gen приложение
D:\System Volume Information\_restore{CCF18627-5AE8-46DA-A73C-9B28ECE1F5F4}\RP105\A0007157.exe - Win32/Packed.Autoit.Gen приложение - удален
комп главбуха, лечить надо срочно...сейчас допроверяю вставлю назад и выполны скрипт, запишу логи и отправлю
[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]
а что делать с результатом проверки на вирус тотал?
Это для ВаС Информация, да и для нас, для истории.
"Восстановление системы" теперь уже можете отключить?
щас допроверяет на этом компе, вставлю в родной попробую..
всмысле отключить??
Да. И после этого пропустить скрипт из [url]http://virusinfo.info/showpost.php?p=429455&postcount=12[/url]
сейчас попробую, я еще доктором вебом решил просканить для надежности, он нашел в System Volume Information что-то под названием Tool.Pwdump..
выполнил скрипт, после выполнения удалось произвести восстановление системы...сдал логи...все равно помоему что-то осталось нехорошее в системе..когда шелкаешь правой кнопкой по рабочему столу, в контекстном меню тока : Обновить, Свойства, Вставить, вставить ярлык...
скинул карантин после выполнения скриптов
В логах чисто.
В AVZ Файл восст системы, п.6,8 отметить и выполнить.