На компьютере две системы. После работы в одной из них, предположительно после выхода в интернет, в корне логических дисков возникает autorun.inf и exe-шник с произвольным именем, который иногда детектируется KAV как Packed.Win32.Klone.bj, иногда нет. Для Dr.Web эти файлы всегда Win32.HLLW.Autohit.7920. Там же- файлы khu ,khv,kht нулевой длины. Логи прикрепил. Что-бы это было?
1. [COLOR="Red"]Отключисте восстановление системы![/COLOR]
2. Выполните скрипт в AVZ (AVZ, Меню Файл\Выполнить скрипт. [URL="http://virusinfo.info/showthread.php?t=7239"]Подробнее...[/URL]):
[code]
begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(true);
QuarantineFile('F:\Documents and Settings\masha\DoctorWeb\Quarantine\xxnonp.exe','');
QuarantineFile('F:\WINDOWS\system32\winsys2.exe','');
QuarantineFile('F:\WINDOWS\NCLAUNCH.EXe','');
DeleteFile('F:\Documents and Settings\masha\DoctorWeb\Quarantine\xxnonp.exe');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
После выполнения скрипта компьютер перезагрузится.
После перезагрузки пришлите попавшие в карантин файлы согласно правилам (для отправки файлов следует воспользоваться ссылкой "[B][U][COLOR="Red"]Прислать запрошенный карантин[/COLOR][/U][/B]" над первым сообщением темы)
Сделайте новые логи
Прислал карантин, сделал логи.
Замечания:
1)Восстановление системы уже было отключено
2)После скрипта компьютер не перегрузился, начал, на экране только обои остались - и стал. Пришлось кнопкой после 10 минут...
Выполните скрипт в AVZ (AVZ, Меню Файл\Выполнить скрипт. [URL="http://virusinfo.info/showthread.php?t=7239"]Подробнее...[/URL]):
[code]
begin
ClearQuarantine;
QuarantineFile('F:\WINDOWS\NCLAUNCH.EXe','');
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.
[/code]
Пришлите файл [B]quarantine.zip[/B] из папки AVZ по ссылке [B][U][COLOR="Red"]прислать запрошенный карантин[/COLOR][/U][/B]
Ошибка карантина файла, попытка прямого чтения (F:\WINDOWS\NCLAUNCH.EXe)
Карантин с использованием прямого чтения - ошибка
Ошибка карантина файла, попытка прямого чтения ( F:\WINDOWS\NCLAUNCH.EXe)
Карантин с использованием прямого чтения - ошибка
Создание архива с файлами из карантина
Создание архива с файлами из карантина завершено
Архив карантина не изменился. Могу попробовать его достать, загрузившись с второй осью, потому что визуально этого файла нет в папке F:\WINDOWS
...Загрузился со второй оси, файла не вижу в упор... regeditom удалил из HKCU ссылку на NCLAUNCH.exe.
Попробуйте выполнить поиск с помощью AVZ и прислать (приложение 3 правил)
Не нашел его AVZ. И что дальше?
Пофиксите в Hijackthis:
[CODE]O4 - HKCU\..\Run: [NCLaunch] F:\WINDOWS\NCLAUNCH.EXe[/CODE]
Так я его уже того, rеgedit-oм. будем считать что пофиксил, так как HJ уже его не показывает.
Антивирус больше не находит троянов?
Залез на [url]http://vkontakte.ru/id15306537[/url] (дочкина и ось, и страница), получил пару свеженьких. Давно подозревал что тянется оттуда. Мои действия?
Сделайте новые логи
Новые логи. Кстати, нашел закономерность. Звери появлялись в корне дисков, отданных ЦЕЛИКОМ в полный доступ (это все дома, ноут подключен к десктопу через DSL-модем с встроенным хабом, вроде бояться некого было).
P.S. Убрал доступ к дискам целиком - начали лезть в расшаренные папки.
Есть соображения? Живет ли что-то на компьютере или все-же лезет извне? Других проявлений не замечал, могу у смериться, просто очень не хочется зря переустанавливать систему-в моем случае это очень надолго...
[QUOTE=prog;495510]Живет ли что-то на компьютере или все-же лезет извне? [/QUOTE]
[QUOTE]Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)[/QUOTE]
На такой системе и то и другое запросто возможно.
- Установите [URL="http://www.microsoft.com/Downloads/details.aspx?displaylang=ru&FamilyID=5b33b5a8-5e76-401f-be08-1e1555d4f3d4"]Сервис Пак 3[/URL] - возможно потребуется активация, и все последующие важные патчи.
Перед установкой Сервис Пака необходимо выгрузить [B][COLOR="Red"]все защитные приложения[/COLOR][/B] (антивирус, файрвол а так же резидентные приложения типа TeaTimer (Spybot Search and Destroy) и др.)
- Установите [URL="http://www.microsoft.com/rus/windows/internet-explorer/default.aspx"]IE 8[/URL].
- Сделайте лог полного сканирования [URL="http://virusinfo.info/showthread.php?t=53070"]MBAM[/URL].
Вторая ось на этой машине-с SP3, но на ней картина при посещении однокласников повторяется. OK,IE не пользуюсь, но из-за соображений безопасности обновлюсь, SP3 поставлю, что понимать под "все последующие важные патчи" ?
[QUOTE]все последующие важные патчи[/QUOTE]Все исправления безопасности, которые Microsoft выпустила после SP3
Для начала:
1.Установил SP3.
2.Установил IE8.
3.Включил встроенный брандмауэр.
Пока ничего не лезет. Интересно, попробую помучить вторую ось на машине. SP3 там уже стоял, но лезло все равно. Пропробую поставить IE8, включить-выключить брандмауэр... В любом случае всем спасибо за помощь и идеи...
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]2[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]