Printable View
Всем доброго времени суток...
У мя такая проблеиа: я недавно поймал торяна (это тот который незапускает рабочий стол, убирает менюшки в Пуске пакастит в панели и перед приветствием Выскакивает окошко Типа перечисли 10 баксов тудато и твоя информация останется живой, кстати этот же троян и скрывает папки Програм файлс и Виндовс).
Скачал AVZ просканил нашел вирусок, удалил, сделал восстановление системы все вроде исправилось, вот только папочки остались скрытыми. Что посоветуете сделать?:?
Для начала нужно приложить логи согласно правилам, чтобы предметно посмотреть, что и как в системе ...
А скрытую папку легко сделать обычной - для этого достаточно взять файловый менеджер типа FAR и из него поменять атрибуты папок.
Не все так просто... я б и сам сделал бы эту операцию тока кода в Виндовс командере вызываешь свойства папки Виндовс то галочка которая стоит рядом с пунктом "Скрытая" НЕДОСТУПНА или неактивна как хотите то есть стоит как бы по умолчанию что ли .....
Дя кстати я прикрепил лог и 2 зипа....
Необходимо согласно правилам поискать и прислать на анализ следующие файлы:
C:\WINDOWS\Cursors\avp.exe
C:\WINDOWS\Web\rundll32.exe
C:\WINDOWS\lsass.exe
Вероятнее всего ни одного из них найти не удастся, если это так, то нужно удалить через диспетчер автозапуска AVZ соответствующие им записи.
Кроме того, нужно прислать файлы
C:\Program Files\MyWebSearch\SrchAstt\4.bin\MWSSRCAS.DLL
C:\Program Files\MyWebSearch\bar\4.bin\MWSBAR.DLL
а самого MyWebSearch деинсталлировать (если выйдет) - это шпион
Насчет атрибутов - WindowsCommander должен показать птички как бы закрашенными. Щелчек мышью переводит их в помеченное галочкой состояние или в неотмеченное состояние (оно то нам и требуется).
Все правильно, во вкладке свойства "WindowsCommander должен показать птички как бы закрашенными" он и показывает как бы закрашенной эту галочку. Но при щелчке на нее никаких дейтсвий непроисходит т.е как была закрашенной так и осталась... как бы по умолчанию что ли, никаких реакций на манипуляции....(((
И еще, те файлы которые Вы указали неприкрепляются в AVZ незнаю почему( прикрепился только один вот он
Извеняюсь...
Закачал как надо...
Ну так все таки, что еще можно предпринять???!(((((
[QUOTE=Mr_Grek_]Извеняюсь...
Закачал как надо...
Ну так все таки, что еще можно предпринять???!((((([/QUOTE]
ТоталКоммандер (при всем моем к нему уважении) немного не то, что нужно - рекомендую FAR ... Но в данном случае проще без них обойтись - выполниь команду вида:
[B]attrib -R -S -H c:\windows[/B]
где собственно c:\windows - это папка, с которой нужно снять атрибуты. Выполнить эту команду можно из того-же ТоталКоммандер или через "Пуск/Выполнить"
[QUOTE=Mr_Grek_]Извеняюсь...
Закачал как надо...
Ну так все таки, что еще можно предпринять???!((((([/QUOTE]
Загрузитесь в Safe mode запустите Hijack и пофиксите строки
R3 - URLSearchHook: (no name) - {00A6FAF6-072E-44cf-8957-5838F569A31D} - C:\Program Files\MyWebSearch\SrchAstt\4.bin\MWSSRCAS.DLL
O2 - BHO: MyWebSearch Search Assistant BHO - {00A6FAF1-072E-44cf-8957-5838F569A31D} - C:\Program Files\MyWebSearch\SrchAstt\4.bin\MWSSRCAS.DLL
O2 - BHO: mwsBar BHO - {07B18EA1-A523-4961-B6BB-170DE4475CCA} - C:\Program Files\MyWebSearch\bar\4.bin\MWSBAR.DLL (file missing)
O3 - Toolbar: My &Web Search - {07B18EA9-A523-4961-B6BB-170DE4475CCA} - C:\Program Files\MyWebSearch\bar\4.bin\MWSBAR.DLL (file missing)
O4 - HKLM\..\Run: [AVPCC] C:\WINDOWS\Cursors\avp.exe
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [System] C:\WINDOWS\lsass.exe
O8 - Extra context menu item: &Search - [url]http://edits.mywebsearch.com/toolbaredits/menusearch.jhtml?p=ZN[/url]
O13 - Home Prefix: home://
Сотрите файлы -
C:\WINDOWS\Cursors\avp.exe
C:\WINDOWS\system32\ctfmon.exe
C:\WINDOWS\lsass.exe
Сотрите каталоги-
C:\Program Files\MyWebSearch\
Перезагрузитесь и повторите 2 лога,
[QUOTE]ТоталКоммандер (при всем моем к нему уважении) немного не то, что нужно - рекомендую FAR ... Но в данном случае проще без них обойтись - выполниь команду вида:
attrib -R -S -H c:\windows
где собственно c:\windows - это папка, с которой нужно снять атрибуты. Выполнить эту команду можно из того-же ТоталКоммандер или через "Пуск/Выполнить"[/QUOTE]
Лабогадарю папка стала "видимой". Такая же проблема и с папкой Програм Файлс. Попробывал в командной строке команду: attrib -R -S -H c:\Program Files НЕПОМОГЛО((( Может есть другая команда?
Да кстати поисковик этот MyWebSearch - C:\Program Files\MyWebSearch\SrchAstt\4.bin\MWSSRCAS.DLL Я УДАЛИЛ, как Вы и советовали.
Заранее благадарю
attrib -R -S -H "c:\Program Files"
или
attrib -R -S -H c:\Progra~1
БОЛЬШОЕ спасибо!!! Програм файлс "видим".
А вот насчет этих файлов то их нет:
Сотрите файлы -
C:\WINDOWS\Cursors\avp.exe
C:\WINDOWS\lsass.exe
Файл lsass.exe находится в папке:
C:\WINDOWS\system32\lsass.exe
Искали через AVZ?
Да искал.
Ну avp.exe ненашел, lsass.exe нашел в папкеC:\WINDOWS\system32\lsass.exe, ctfmon.exe нашел в папке C:\WINDOWS\system32\, но при удалении эт файла (ctfmon.exe) система просит восстановить его.
Что делать в эт ситуации?
Эти трогать не надо, они действительно системные.
Только те, что сказали.
Попробуйте перезагрузиться в безопасный режим (нажать F8 в начале загрузки винды и выбрать Безопасный режим) и там посмотрите. Вообще в правилах это написано.
Это понятно что системные.
Чесно говоря я уже запутался что надо делитить а что нет.
Если можно еще раз конкретней какие операции следует произвести с этими файлами или уже ничего ненадо???!
Еще раз спасибо...:)
С теми, что нашли - ничего. Попробуйте ещё в безопасном режиме поискать ненайденные.
Всем еще раз огромное спасибо!!!!:D