Подозрительные файлы в корне С:\

[COLOR=black]Доброго времени суток[/COLOR]
[COLOR=black]обнаружил на одном из компов, подозрительные файлы [/COLOR]
[COLOR=black]в корне диска С:\ и в процессах системы. Просканил комп [/COLOR]
[COLOR=black]утилитой Dr.Web CureIt, она ничего не нашла, но такой файл[/COLOR]
[COLOR=black]как khs в корне диска с нулевым размером лежит, по мимо него[/COLOR]
лежат ещё какие то подозрительные файлы которые утилита тоже не определила
поглядите пожалуйста логи, лиги выполнил по 3 скрипту по правилам,
так же выполнил 4 скрипт по правилам, подскажите куда его выложить, а то не найду линку

[QUOTE]10.17.112.1 kiosk[/QUOTE] Вы его сами в hosts прописывали?


Закройте/выгрузите все программы кроме AVZ и Internet Explorer.
Отключите
- ПК от интернета/локалки
- Антивирус и Файрвол.
- Системное восстановление.
-[URL="http://virusinfo.info/showthread.php?t=4491"]Пофиксите[/URL]
[CODE]O20 - AppInit_DLLs: SnPrnCtrl.dll
[/CODE]
- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт[/URL]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
StopService('heszaotk');
StopService('jctjxh');
QuarantineFile('C:\WINDOWS\system32\02.tmp','');
QuarantineFile('C:\WINDOWS\Downloaded Program Files\OfficeScanRemoveCtrl.dll','');
QuarantineFile('C:\WINDOWS\Downloaded Program Files\OfficeScanSetup.dll','');
QuarantineFile('C:\WINDOWS\Downloaded Program Files\WinNTChk.dll','');
QuarantineFile('SnPrnCtrl.dll','');
DeleteFile('SnPrnCtrl.dll');
DeleteFile('C:\WINDOWS\system32\SnPrnCtrl.dll');
DeleteFile('C:\WINDOWS\system32\02.tmp');
DeleteFileMask('C:\WINDOWS\system32','*.tmp',false);
DeleteService('jctjxh');
DeleteService('heszaotk');
BC_ImportAll;
ExecuteSysClean;
BC_DeleteSvc('jctjxh');
BC_DeleteSvc('heszaotk');
BC_Activate;
SetAVZPMStatus(True);
RebootWindows(true);
end.
[/CODE]

После перезагрузки:
- Удалите [URL="http://virusinfo.info/showthread.php?t=27923"]Bonjour[/URL]
- Удалите AdAware
- [url="http://virusinfo.info/showthread.php?t=10025"] Очистите [/url]темп-папки, кэш проводников и корзину.
- Закройте все программы, включая Антивирус и Файрвол, Оставьте запущенным [B]только Internet Explorer[/B]. Если он не запущен - запустите!!!
- Сделайте лог [URL="http://virusinfo.info/showthread.php?t=40118"]GMER[/URL]
- Повторите действия, описанные в п. 1 - 3 Диагностики и новые логи прикрепите к новому сообщению.
- Включите Антвирус и Файрволл
- Подключите ПК к интернету/локалке
- Закачайте карантин по ссылке [COLOR="Red"][B]Прислать запрошенный карантин[/B][/COLOR] вверху темы (Приложение 3 правил).

[size="1"][color="#666686"][B][I]Добавлено через 42 секунды[/I][/B][/color][/size]

[QUOTE=pog0;447049]
так же выполнил 4 скрипт по правилам[/QUOTE]Скрипт 4 в правилах не упоминается.

[QUOTE]
Цитата:
10.17.112.1 kiosk
Вы его сами в hosts прописывали?

[/QUOTE]

да это мной прописывалось
у меня такой вопросик:
Что делать если после выполнения скрипта
комп не перезагрузился, а выдал ошибку
[QUOTE]Invalid data type for "[/QUOTE]?
мне проолжить осуществлять снятие логов
дальше по вышему посту или будут изменения
в лечении?

И ещё вопрос по поводу карантина, вам высылать
весь карантин (вчерашний и сегодняшний) или
тольок сегодняшний после выполниния скрипта?
p.s. после выполнения скрипта с ошибкой, сейчас
поглядел, карантин пустой

[QUOTE=pog0;447329]
мне проолжить осуществлять снятие логов[/QUOTE]Да.
[QUOTE]дальше по вышему посту[/QUOTE]Да
[QUOTE]И ещё вопрос по поводу карантина[/QUOTE] высылать
только сегодняшний после выполнения скрипта

[QUOTE]после выполнения скрипта
комп не перезагрузился, а выдал ошибку[/QUOTE]

[QUOTE]p.s. после выполнения скрипта с ошибкой, сейчас
поглядел, карантин пустой [/QUOTE]

так что с высыланием карантина возможно проблемы, нету его))

[QUOTE=pog0;447396]так что с высыланием карантина возможно проблемы, нету его))[/QUOTE]Так зачем вопрос задаете, если высылать нечего? :O

я думал вы подскажите как быть, что бы
после выполнения скрипта не вываливалась
выше написанная ошибка и всё таки получить
карантин для отправки :>

[QUOTE=pog0;447403]я думал вы подскажите как быть, что бы
после выполнения скрипта не вываливалась
выше написанная ошибка [/QUOTE]Вылечим машину - не будет вываливаться
[QUOTE]и всё таки получить
карантин для отправки
[/QUOTE]ну если не попало в карантин - бог с ним.

ЛОГИ ГДЕ? >:(

Извеняюсь за задержку
Поглядите пожалуйста логи
все вышеперечисленные вами действия выполнил
надеюсь ничего страшного, если я в авз
выполнил 2ой скрипт, а не 3ий, он просто побыстрее
проверку проводит, а то и так на компе работа стоит.
з.ы. подозрительные файлы в корне диска всё ещё
присутствуют

[QUOTE=pog0;447879]
надеюсь ничего страшного, если я в авз
выполнил 2ой скрипт, а не 3ий, он просто побыстрее
[/QUOTE]Если Вы вместо слабительного снотворное примете - поможет? Скрипт 3 лечит, скрипт 2 - нет.

Откройте новый текстовый файл.
Скопируйте в него код:
[CODE]gmer.exe -del service jctjxh
gmer.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\jctjxh"
gmer.exe -del reg " HKLM\SYSTEM\ControlSet003\Services\jctjxh"
gmer.exe -reboot[/CODE]
и сохраните файл в той же папке, где находится файл gmer.exe, под именем 333.bat.
Запустите файл 333.bat двойным щелчком.

После перезагрузки повторите все логи.

простите за такую задержку
поглядите пожалуйста логи

Выполните скрипт:

[CODE]begin
ClearQuarantine;
SetAVZGuardStatus(True);
DeleteService('heszaotk');
DeleteFile('C:\WINDOWS\system32\02.tmp');
BC_ImportDeletedList;
ExecuteSysClean;
BC_DeleteSvc('heszaotk');
BC_Activate;
RebootWindows(true);
end.[/CODE]

Повторите лог...

поглядите пожалуйста логи

Поставьте надежный пароль на учетные записи с правами Администратора.
Вышла новая версия AVZ. Скачайте её и сделайте новые логи.

вот переделанные логи, новой версией авз-та

Закройте все программы. Запустите AVZ.
Выполните скрипт через меню Файл:
[code]
begin
BC_DeleteSvc('heszaotk');
BC_Activate;
RebootWindows(true);
end.
[/code]
Компьютер перезагрузится.

Обновите базы AVZ.
Проведите процедуру, описанную в первом сообщении тут: [url]http://virusinfo.info/showthread.php?t=3519[/url]

всё выполнил
вот инфа оп закачке
Файл сохранён как090828_145807_virusinfo_files_comp3_4a97b83f300a8.zip
Размер файла8995776
MD59b1f0bb14f447cbe8ec048f4efc664f8

Жалобы есть?