Printable View
Доброго времени суток
Помогите пожалуйста, сегодня с утра на 1 машине
не запустился explorer.exe, ну подумаешь глюк
попробовал вручную запустить его, не прокатило
в безопасном он тоже не загрузился, и вручную
стартовать отказывался. Решил проверить авз-ом
который запустился только после того как сам
avz.exe был переименовал, с HiJackThis.ехе
была такая же ситуация.
Логи прилагаются
[URL="http://virusinfo.info/showthread.php?t=4905"]Отключите восстановление системы[/URL]!!!
[URL="http://virusinfo.info/showthread.php?t=4491"]Пофиксите [/URL] в Hijackthis:
[CODE]F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,C:\WINDOWS\system32\sdra64.exe,[/CODE]
Отключите компьютер от интернета, а также [B]антивирус[/B] и/или файрвол.
Закройте все программы, запустите только AVZ и Internet Explorer.
Выполните скрипт в AVZ:[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\Program Files\Microsoft Common\svchost.exe','');
QuarantineFile('msansspc.dll','');
QuarantineFile('digiwet.dll','');
QuarantineFile('C:\WINDOWS\system32\sdra64.exe','');
QuarantineFile('C:\WINDOWS\services.exe','');
QuarantineFile('C:\WINDOWS\system32\drivers\ethtlexk.sys','');
QuarantineFile('C:\Program Files\Common Files\netuse.exe','');
QuarantineFile('C:\WINDOWS\system32\activedsj.exe','');
DeleteFile('C:\WINDOWS\system32\activedsj.exe');
DeleteFile('C:\Program Files\Common Files\netuse.exe');
DeleteFile('C:\Program Files\Microsoft Common\svchost.exe');
DeleteFile('C:\WINDOWS\services.exe');
DeleteFile('C:\WINDOWS\system32\sdra64.exe');
DeleteFile('digiwet.dll');
DeleteFile('msansspc.dll');
BC_ImportALL;
ExecuteSysClean;
BC_DeleteSvc('ethtlexk');
BC_DeleteSvc('LmHostsRemoteRegistry');
BC_Activate;
ExecuteRepair(9);
RebootWindows(true);
end.[/CODE]
После выполнения скрипта компьютер перезагрузиться!!!
Пришлите карантин по ссылке согласно правил [COLOR="DarkRed"][B]Прислать запрошенный карантин [/B][/COLOR]вверху темы.
Сделайте новые логи по правилам - [B]virusinfo_syscheck.zip[/B], [B]virusinfo_syscure.zip [/B]и [B]hijackthis.log[/B]
Извиняюсь за задержку
После выполнения скрипка explorer.exe
запустился. Поглядите пожалуйста
новый логи и высылаю карантин
Файл сохранён как 090710_092220_virus_4a56d00c36044.zip
Размер файла 131984
MD5 3f0d7e778b8b92a04a312ae89898a8a7
Когда научимся отключать: Восстановление системы: включено?
Выполнить:
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
ClearQuarantine;
QuarantineFile('C:\WINDOWS\system32\activedsj.exe','');
DeleteFile('C:\WINDOWS\system32\activedsj.exe');
BC_DeleteSvc('LmHostsRemoteRegistry');
BC_DeleteSvc('ethtlexk');
DeleteFile('C:\WINDOWS\system32\drivers\ethtlexk.sys');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]
Логи повторить.
Новый карантин прислать по Правилам.
[QUOTE]Когда научимся отключать: Восстановление системы: включено?[/QUOTE]
простите, не углядел, да было включено
вот логи после отключения восстановления системы
и выполнения скрипка + карантин
Файл сохранён как 090710_132507_virus_4a5708f32682d.zip
Размер файла 598
MD5 04cd4f7b00d6c9c4bc7829b50e9e1bd8
поглядите пожалуйста
C:\Program Files\Common Files\netuse.exe - про вот это что-то знаете? Есть ли этот файл на диске. Если нет, то строчку в Хиджаке надо профиксить.
SP3 надо ставить.
Про данный файлик мне ничего неизвестно
это не моё :D
отправил его [URL]http://www.virustotal.com[/URL]
получил такие результаты
[LEFT][SIZE=2]Authentium[/SIZE][SIZE=2] 5.1.2.4[/SIZE][SIZE=2]2009.07.09[/SIZE][SIZE=2]W32/Ircbot.ZX[/SIZE][/LEFT]
[SIZE=2]CAT-QuickHeal[/SIZE][SIZE=2]10.00[/SIZE][SIZE=2] 2009.07.10[/SIZE][SIZE=2]Trojan.BAT.Runner.r[/SIZE]
[SIZE=2]eSafe[/SIZE][SIZE=2] 7.0.17.0[/SIZE][SIZE=2]2009.07.09[/SIZE][SIZE=2]Win32.QuickBatch.c[/SIZE]
[SIZE=2]F-Prot[/SIZE][SIZE=2] 4.4.4.56[/SIZE][SIZE=2]2009.07.09[/SIZE][SIZE=2]W32/Ircbot.ZX[/SIZE]
[SIZE=2]McAfee-GW-Edition[/SIZE][SIZE=2]6.8.5[/SIZE][SIZE=2]2009.07.10[/SIZE][SIZE=2]Heuristic.LooksLike.Win32.Killav.H[/SIZE]
[SIZE=2]TheHacker [/SIZE][SIZE=2]6.3.4.3.363[/SIZE][SIZE=2]2009.07.08[/SIZE][SIZE=2]Trojan/Runner.i[/SIZE]
подскажите как быть с этой файлом?
Убиваем.
Просто пофиксить с помощью HijackThis и ручками удалить?
Да, именно так.
Вроде пофиксил и удалил, сейчас ставить сп3
тему думаю можно отмечать решённой, если
больше никаких логов делать не надо.
всем большое спасибо!
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]15[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\windows\system32\drivers\ethtlexk.sys - [B]HEUR:Backdoor.Win32.Generic[/B] ( BitDefender: DeepScan:Generic.IEBooot.27D3E52B )[/LIST][/LIST]