Экзешники с именем iexplore7.exe и т д с произвольным набором букв заполонили столбик процессов. В автозагрузке прописываются новые.
Высылаю логи, помогите пожалуйста.
Printable View
Экзешники с именем iexplore7.exe и т д с произвольным набором букв заполонили столбик процессов. В автозагрузке прописываются новые.
Высылаю логи, помогите пожалуйста.
выполните скрипт
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\RECYCLER\S-1-5-21-8175887972-1683311007-518635221-1716\csvcs.exe','');
QuarantineFile('C:\RECYCLER\S-1-5-21-5740467155-7048588607-606387015-4000\csvcs.exe','');
QuarantineFile('C:\RECYCLER\S-1-5-21-0243936033-3052116371-381863308-1859\ls888.exe','');
QuarantineFile('C:\Documents and Settings\Администратор.MICROSOF-53C7E3\Local Settings\Temporary Internet Files\Content.IE5\3SP539OQ\vs8[1].exe','');
QuarantineFile('C:\Documents and Settings\Администратор.MICROSOF-53C7E3\Local Settings\Temp\220.exe','');
QuarantineFile('C:\Documents and Settings\Администратор.MICROSOF-53C7E3\Local Settings\Temp\217.exe','');
QuarantineFile('C:\Documents and Settings\NetworkService.NT AUTHORITY\Local Settings\Temporary Internet Files\Content.IE5\23R7M3NP\b82[1].exe','');
QuarantineFile('C:\WINDOWS.0\iexplorer7.exe','');
QuarantineFile('C:\RECYCLER\S-1-5-21-3982738853-6662309894-005671984-7734\csvcs.exe,explorer.exe,C:\RECYCLER\S-1-5-21-1606411818-6195225655-987190387-7691\mwau.exe,Explorer.exe','');
QuarantineFile('C:\RECYCLER\S-1-5-21-1606411818-6195225655-987190387-7691\mwau.exe','');
DeleteService('pjcllxtt');
QuarantineFile('C:\WINDOWS.0\System32\Drivers\pjcllxtt.sys','');
QuarantineFile('C:\WINDOWS.0\System32\Drivers\uszcxktn.sys','');
DeleteFile('C:\WINDOWS.0\System32\Drivers\uszcxktn.sys');
DeleteFile('C:\WINDOWS.0\System32\Drivers\pjcllxtt.sys');
DeleteFile('C:\WINDOWS.0\iexplorer7.exe');
DeleteFile('C:\Documents and Settings\NetworkService.NT AUTHORITY\Local Settings\Temporary Internet Files\Content.IE5\23R7M3NP\b82[1].exe');
DeleteFile('C:\Documents and Settings\Администратор.MICROSOF-53C7E3\Local Settings\Temp\217.exe');
DeleteFile('C:\Documents and Settings\Администратор.MICROSOF-53C7E3\Local Settings\Temp\220.exe');
DeleteFile('C:\Documents and Settings\Администратор.MICROSOF-53C7E3\Local Settings\Temporary Internet Files\Content.IE5\3SP539OQ\vs8[1].exe');
DeleteFile('C:\RECYCLER\S-1-5-21-0243936033-3052116371-381863308-1859\ls888.exe');
DeleteFile('C:\RECYCLER\S-1-5-21-5740467155-7048588607-606387015-4000\csvcs.exe');
DeleteFile('C:\RECYCLER\S-1-5-21-8175887972-1683311007-518635221-1716\csvcs.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
пришлите карантин согласно приложения 3 правил
повторите логи
карантин выслал. Логи повторил. процессы вроде остались
Выполните скрипт в AVZ
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('c:\documents and settings\Администратор.microsof-53c7e3\jicjk.exe','');
QuarantineFile('c:\documents and settings\Администратор.microsof-53c7e3\tuaxmww.exe','');
QuarantineFile('c:\documents and settings\Администратор.microsof-53c7e3\jqmv.exe','');
QuarantineFile('C:\Documents and Settings\Администратор.MICROSOF-53C7E3\Local Settings\Temp\244.exe','');
QuarantineFile('C:\Documents and Settings\Администратор.MICROSOF-53C7E3\Local Settings\Temp\421.exe','');
DelBHO('{3041d03e-fd4b-44e0-b742-2d9b88305f98}');
DelBHO('{201f27d4-3704-41d6-89c1-aa35e39143ed}');
QuarantineFile('C:\WINDOWS.0\iexplorer7.exe','');
QuarantineFile('C:\Program Files\QIP\Users\197460003\RcvdFiles\317155243_Snohodetz\uopilot.exe','');
QuarantineFile('C:\Program Files\WinAntispyware2008\WinAntispyware2008.exe','');
QuarantineFile('C:\DOCUME~1\4837~1.MIC\LOCALS~1\Temp\173.exe','');
QuarantineFile('C:\WINDOWS.0\System32\Drivers\svqobczw.sys','');
DeleteService('svqobczw');
DeleteFile('C:\WINDOWS.0\System32\Drivers\svqobczw.sys');
DeleteFile('C:\DOCUME~1\4837~1.MIC\LOCALS~1\Temp\173.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Advanced DHTML Enable');
DeleteFile('C:\RECYCLER\S-1-5-21-0243936033-3052116371-381863308-1859\ls888.exe');
DeleteFile('C:\RECYCLER\S-1-5-21-1606411818-6195225655-987190387-7691\mwau.exe');
DeleteFile('C:\RECYCLER\S-1-5-21-3982738853-6662309894-005671984-7734\csvcs.exe');
DeleteFile('C:\Program Files\WinAntispyware2008\WinAntispyware2008.exe');
DeleteFile('C:\WINDOWS.0\iexplorer7.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Microsoft Driver Setup');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','Microsoft Driver Setup');
DeleteFile('C:\Program Files\AskBarDis\bar\bin\askBar.dll');
DeleteFile('C:\Documents and Settings\Администратор.MICROSOF-53C7E3\Local Settings\Temporary Internet Files\Content.IE5\1WJYS5QO\vs8[1].exe');
DeleteFile('C:\Documents and Settings\Администратор.MICROSOF-53C7E3\Local Settings\Temp\421.exe');
DeleteFile('C:\Documents and Settings\Администратор.MICROSOF-53C7E3\Local Settings\Temp\244.exe');
DeleteFile('c:\documents and settings\Администратор.microsof-53c7e3\jqmv.exe');
DeleteFile('c:\documents and settings\Администратор.microsof-53c7e3\tuaxmww.exe');
DeleteFile('c:\documents and settings\Администратор.microsof-53c7e3\jicjk.exe');
DeleteFileMask('C:\Documents and Settings\Администратор.MICROSOF-53C7E3\Local Settings\Temp', '*.*', true);
DeleteFileMask('C:\Documents and Settings\Администратор.MICROSOF-53C7E3\Local Settings\Temporary Internet Files\Content.IE5', '*.*', true);
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Winlogon','Taskman');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end. [/code]Компьютер перезагрузится.
Пришлите карантин согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы
Сделайте новые логи
Сделайте новые логи
карантин выслал, логи в процессе.
высылаю логи.
Пофиксите в HijackThis:
[code]
R3 - URLSearchHook: (no name) - - (no file)
F2 - REG:system.ini: UserInit=C:\WINDOWS.0\system32\userinit.exe,C:\Documents and Settings\Администратор.MICROSOF-53C7E3\jqmv.exe \s
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
[/code]
Перезагрузите компьютер и повторите лог HijackThis.
лог hijackthis после фикса и ребута.
Чисто. Что с проблемами?
Вроде чисто. Новых процессов не наблюдаю.. Ставить фаерволл надо видимо. Спасибо большое! :>
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]29[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\documents and settings\networkservice.nt authority\local settings\temporary internet files\content.ie5\23r7m3np\b82[1].exe - [B]Trojan-Dropper.Win32.Agent.bben[/B] ( DrWEB: Win32.HLLW.Lime.18, BitDefender: Trojan.Dropper.TEC, NOD32: Win32/Peerfrag.AU worm, AVAST4: Win32:Trojan-gen )[*] c:\documents and settings\администратор.microsof-53c7e3\local settings\temporary internet files\content.ie5\3sp539oq\vs8[1].exe - [B]Trojan.Win32.Delf.owo[/B] ( DrWEB: BackDoor.IRC.Letmein.13, BitDefender: Worm.Generic.90347, AVAST4: Win32:Trojan-gen )[*] c:\documents and settings\администратор.microsof-53c7e3\local settings\temp\217.exe - [B]Trojan.Win32.Delf.owo[/B] ( DrWEB: BackDoor.IRC.Letmein.13, BitDefender: Worm.Generic.90347, AVAST4: Win32:Trojan-gen )[*] c:\documents and settings\администратор.microsof-53c7e3\local settings\temp\220.exe - [B]Trojan.Win32.Delf.owo[/B] ( DrWEB: BackDoor.IRC.Letmein.13, BitDefender: Worm.Generic.90347, AVAST4: Win32:Trojan-gen )[*] c:\documents and settings\администратор.microsof-53c7e3\local settings\temp\244.exe - [B]Trojan.Win32.Delf.owo[/B] ( DrWEB: BackDoor.IRC.Letmein.13, BitDefender: Worm.Generic.90347, AVAST4: Win32:Trojan-gen )[*] c:\documents and settings\администратор.microsof-53c7e3\local settings\temp\421.exe - [B]Trojan.Win32.Delf.owo[/B] ( DrWEB: BackDoor.IRC.Letmein.13, BitDefender: Worm.Generic.90347, AVAST4: Win32:Trojan-gen )[*] c:\documents and settings\администратор.microsof-53c7e3\tuaxmww.exe - [B]Trojan.Win32.Agent.cwsg[/B] ( DrWEB: Trojan.Packed.154, BitDefender: Trojan.Generic.2421994, AVAST4: Win32:Rootkit-gen [Rtk] )[*] c:\recycler\s-1-5-21-0243936033-3052116371-381863308-1859\ls888.exe - [B]Trojan.Win32.Delf.owo[/B] ( DrWEB: BackDoor.IRC.Letmein.13, BitDefender: Worm.Generic.90347, AVAST4: Win32:Trojan-gen )[*] c:\recycler\s-1-5-21-1606411818-6195225655-987190387-7691\mwau.exe - [B]Trojan.Win32.Inject.ajfn[/B] ( DrWEB: Trojan.Packed.154, BitDefender: Worm.Generic.89330, NOD32: Win32/Peerfrag.DY worm, AVAST4: Win32:Trojan-gen )[*] c:\recycler\s-1-5-21-5740467155-7048588607-606387015-4000\csvcs.exe - [B]Trojan-Dropper.Win32.Agent.bben[/B] ( DrWEB: Win32.HLLW.Lime.18, BitDefender: Trojan.Dropper.TEC, NOD32: Win32/Peerfrag.AU worm, AVAST4: Win32:Trojan-gen )[*] c:\recycler\s-1-5-21-8175887972-1683311007-518635221-1716\csvcs.exe - [B]Trojan-Dropper.Win32.Agent.bben[/B] ( DrWEB: Win32.HLLW.Lime.18, BitDefender: Trojan.Dropper.TEC, NOD32: Win32/Peerfrag.AU worm, AVAST4: Win32:Trojan-gen )[*] c:\windows.0\iexplorer7.exe - [B]Trojan.Win32.Buzus.camn[/B] ( DrWEB: BackDoor.IRC.Letmein.13, BitDefender: Trojan.Generic.2477453 )[*] c:\windows.0\system32\drivers\pjcllxtt.sys - [B]Rootkit.Win32.Pakes.tx[/B] ( DrWEB: Trojan.NtRootKit.2682, BitDefender: Backdoor.Rootkit.X, NOD32: Win32/Agent.NWF trojan, AVAST4: Win32:Rootkit-gen [Rtk] )[*] c:\windows.0\system32\drivers\svqobczw.sys - [B]Rootkit.Win32.Pakes.tx[/B] ( DrWEB: Trojan.NtRootKit.2682, BitDefender: Backdoor.Rootkit.X, NOD32: Win32/Agent.NWF trojan, AVAST4: Win32:Rootkit-gen [Rtk] )[*] c:\windows.0\system32\drivers\uszcxktn.sys - [B]Rootkit.Win32.Pakes.tx[/B] ( DrWEB: Trojan.NtRootKit.2682, BitDefender: Backdoor.Rootkit.X, NOD32: Win32/Agent.NWF trojan, AVAST4: Win32:Rootkit-gen [Rtk] )[/LIST][/LIST]