Printable View
После пролечивания Cureit-ом последней версии (Autoruner.5555, BackdoorBifrost.8, Backdoor.IRC.Sdbot.472, Backdoor.Poison.767 и др.) позозреваю что в системе остались какие-то "хвосты" т.к. получить доступ к реестру и таскменеджеру удалось только через утилиту-разблокиратор "enableregedit". Gpedit.msc до сих пор недоступен, как и отображение скрытых файлов в проводнике. Помогите "долечить"
ещё парочку осталось,
пофисксить в HijackThis:
[code]F2 - REG:system.ini: Shell=Explorer.exe winfiles.exe
F2 - REG:system.ini: UserInit=C:\WINDOWS\System32\userinit.exe[/code]
Не перегружая компьютер,
отключить антивирус и инет, выполнить скрипт в avz:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\iexplorer.exe','');
QuarantineFile('C:\RECYCLER\S-1-5-21-1482476501-1644491937-682003330-1013\login.exe','');
QuarantineFile('C:\RECYCLER\S-1-5-21-1482476501-1644491937-682003330-1013\windows-alm7tas.exe','');
QuarantineFile('appmgmts.dll','');
QuarantineFile('windows.exe','');
QuarantineFile('test.exe','');
QuarantineFile('svchoste.exe','');
QuarantineFile('C:\WINDOWS\system32\winfiles.exe','');
QuarantineFile('C:\WINDOWS\system32\amvo.exe','');
DeleteFile('C:\WINDOWS\system32\amvo.exe');
DeleteFile('C:\WINDOWS\system32\winfiles.exe');
DeleteFile('svchoste.exe');
DeleteFile('test.exe');
DeleteFile('windows.exe');
DeleteFile('C:\RECYCLER\S-1-5-21-1482476501-1644491937-682003330-1013\windows-alm7tas.exe');
DeleteFile('C:\RECYCLER\S-1-5-21-1482476501-1644491937-682003330-1013\login.exe');
DeleteFile('C:\WINDOWS\system32\iexplorer.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
BC_DeleteSvc('C1E17734');
ExecuteRepair(1);
ExecuteRepair(2);
ExecuteRepair(3);
ExecuteRepair(4);
ExecuteRepair(5);
ExecuteRepair(6);
ExecuteRepair(7);
ExecuteRepair(8);
ExecuteRepair(9);
ExecuteRepair(16);
RebootWindows(true);
end.
[/code]
1.Прислать карантин согласно приложения 3 правил .
Загружать по красной ссылке вверху этой темы [COLOR="Red"]"Прислать запрошенный карантин"[/COLOR]
2.Повторить логи
применил скрипт, спасибо.
сделать ещё раз логи?
в карантине только C:\WINDOWS\system32\iexplorer.exe -клиент мирк- используется часто зловредами.
каспер зовёт: not-a-virus:Client-IRC.Win32.mIRC.601
-----------------------------------------------------
[quote]сделать ещё раз логи? [/quote]
А для кого я это указал? :lol:
[QUOTE=drongo;447624]
2.Повторить логи[/QUOTE]
Только новые, после скрипта :)
Вот новые логи
в карантине ничего нет
Закройте/выгрузите все программы кроме AVZ и Internet Explorer.
Отключите
- ПК от интернета/локалки
- Антивирус и Файрвол.
- Системное восстановление.
- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт[/URL]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
StopService('C1E17734');
QuarantineFile('C:\RECYCLER\S-1-5-21-1482476501-1644491937-682003330-1013\login.exe','');
QuarantineFile('C:\RECYCLER\S-1-5-21-1482476501-1644491937-682003330-1013\windows-alm7tas.exe','');
QuarantineFile('C:\WINDOWS\system32\winfiles.exe','');
QuarantineFile('C:\WINDOWS\system32\ABDDB030.EXE','');
DeleteFile('C:\WINDOWS\system32\ABDDB030.EXE');
DeleteFile('C:\WINDOWS\system32\winfiles.exe');
DeleteFile('C:\RECYCLER\S-1-5-21-1482476501-1644491937-682003330-1013\windows-alm7tas.exe');
DeleteFile('C:\RECYCLER\S-1-5-21-1482476501-1644491937-682003330-1013\login.exe');
DeleteService('C1E17734');
DelCLSID('{2559a1f6-21d7-11d4-bdaf-00c04f60b9f0}');
DelCLSID('{28ABC5C0-4FCB-11CF-AAX5-81CX1C635612}');
BC_ImportAll;
ExecuteSysClean;
BC_DeleteSvc('C1E17734');
BC_Activate;
SetAVZPMStatus(True);
RebootWindows(true);
end.
[/CODE]
После перезагрузки:
- [url="http://virusinfo.info/showthread.php?t=10025"] Очистите [/url]темп-папки, кэш проводников и корзину.
- Закройте все программы, включая Антивирус и Файрвол, Оставьте запущенным [B]только Internet Explorer[/B]. Если он не запущен - запустите!!!
- Повторите действия, описанные в п. 1 - 3 Диагностики и новые логи прикрепите к новому сообщению.
- Включите Антвирус и Файрволл
- Подключите ПК к интернету/локалке
- Закачайте карантин по ссылке [COLOR="Red"][B]Прислать запрошенный карантин[/B][/COLOR] вверху темы (Приложение 3 правил).
карантина нет почему-то
[QUOTE=trofimovich;447968]карантина нет почему-то[/QUOTE]
Не страшно, главное, что в логах сейчас ничего враждебного.
- Установите ИЕ 8
- Обновите JavaRE
Удалите ненужное в планировщике задач:
АВЗ/Сервис/Диспетчер планировщика задач.
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]1[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\windows\system32\iexplorer.exe - [B]not-a-virus:Client-IRC.Win32.mIRC.601[/B] ( DrWEB: Program.mIRC.601 )[/LIST][/LIST]