C:\F\UCK\FK.exe - спаммер ругается что ли?

Printable View

07.08.2009, 04:27
bullbash

Вложений: 3

C:\F\UCK\FK.exe - спаммер ругается что ли?

Похоже, спамит зараза какая-то. Исходящий трафик идет. Ну и как у старушки - каждый день новости. В смысле после неоднократных попыток лечения появляются новые драйверы с похожими на вылеченные названиями. Могло очень сильно тормозить при загрузке системы, вплоть до подвисания. Изначально торчал dllcache.exe в \windows\system (без 32), в процессах был замаскирован. C:\F\UCK\FK.exe в отчете есть, а на диске нет. Раньше его удаляло. До лечения мешало выходу в инет - изредка давало связь. Был еще файл csrcs.exe в \system32 и в процессах.

Хелп.
07.08.2009, 05:36
Aleksandra

1. Отключите восстановление системы и антивирус.
2. [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ:[/URL]

[CODE]begin
SetAVZGuardStatus(True);
DelCLSID('67XOR2B0-3GMC-89VV-JIJ1-32KL2R3423321');
DeleteService('sysdrv32');
DeleteFile('C:\WINDOWS\system32\drivers\sysdrv32.sys');
DeleteFile('C:\WINDOWS\system32\csrcs.exe');
DeleteFile('C:\F\UCK\FK.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]
После выполнения скрипта компьютер перезагрузится!

3. Повторите логи.
07.08.2009, 12:06
bullbash

Вложений: 3

Perestal spamit'. No kto-to es4e est'
07.08.2009, 12:16
Aleksandra

Ничего зловредного в логах нет.
07.08.2009, 12:27
bullbash

А splm.sys ?
Я уже писал, что до этого были другие с похожими названиями.

O17 - HKLM\System\CCS\Services\Tcpip\..\{D5CBE083-E37E-41E7-86A1-532800943583}: NameServer = 93.125.48.250 194.226.121.42
это мне тоже не нравится. посторонние адреса какие-то.

Может я конечно и зря так волнуюсь...
07.08.2009, 12:41
Aleksandra

[QUOTE=bullbash;444498]А splm.sys ?[/QUOTE]
Эмулятор дисков. :)

[QUOTE=bullbash;444498]O17 - HKLM\System\CCS\Services\Tcpip\..\{D5CBE083-E37E-41E7-86A1-532800943583}: NameServer = 93.125.48.250 194.226.121.42
это мне тоже не нравится. посторонние адреса какие-то.[/QUOTE]
Если адреса не Ваши, то [URL="http://virusinfo.info/showthread.php?t=4491"]пофиксите в HijackThis:[/URL]

[QUOTE]O17 - HKLM\System\CCS\Services\Tcpip\..\{D5CBE083-E37E-41E7-86A1-532800943583}: NameServer = 93.125.48.250 194.226.121.42[/QUOTE]
07.08.2009, 12:49
bullbash

Низкий поклон тебе, добрая фея :)
Можно закрывать.
А мне похоже пора идти доучиваться. А то что-то долго приходится биться с заразой, которую одним коротким скриптом не могу замочить...