Printable View
Подхватили эту заразу. Теперь требует получить ключ для винды по смс. В безопасном режиме запустился, провел чистку AVPTool'ом. Но что дальше? Ведь диагностику HJT и AVZ нужно проводить не в безопасном режиме, а меня злой вирус туда не пускает. Как быть?
Сделайте логи в безопасном режиме.
Удалось-таки запуститься в обычном режиме.
Логи прилагаются.
Выполните скрипт в AVZ
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\mstmdm.dll','');
QuarantineFile('C:\RECYCLER\S-1-5-21-7042795328-2185305682-926418702-8842\mwau.exe','');
DeleteFile('C:\RECYCLER\S-1-5-21-7042795328-2185305682-926418702-8842\mwau.exe');
DeleteFile('C:\WINDOWS\system32\mstmdm.dll');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad','UpdateCheck');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Winlogon','Taskman');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end. [/code]Компьютер перезагрузится.
Пришлите карантин согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы
Сделайте новые логи (по возможности в нормальном режиме)
Карантин отправил.
Логи прилагаются.
Выполните скрипт в AVZ
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\RECYCLER\S-1-5-21-7042795328-2185305682-926418702-8842\mwau.exe');
DeleteFile('C:\WINDOWS\system32\mstmdm.dll');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad','UpdateCheck');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Winlogon','Taskman');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
ExecuteRepair(16);
RebootWindows(true);
end. [/code]Компьютер перезагрузится.
Пришлите карантин согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы
Сделайте новые логи + сделайте лог [URL="http://virusinfo.info/showpost.php?p=457118&postcount=1"]МВАМ[/URL]
При загрузке карантина говорит "Данный файл уже был загружен".
Все нужные логи сделал.
Удалите в [url=http://virusinfo.info/showpost.php?p=493584&postcount=2]mbam [/url]
[code]
HKEY_CLASSES_ROOT\CLSID\{1408e208-2ac1-42d3-9f10-78a5b36e05ac} (Trojan.BHO) -> No action taken.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Stats\{1a26f07f-0d60-4835-91cf-1e1766a0ec56} (Trojan.Agent) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\taskman (Trojan.Agent) -> No action taken.
[/code]
Сделаете новый лог mbam
Выполните скрипт в avz
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\RECYCLER\S-1-5-21-7042795328-2185305682-926418702-8842\mwau.exe');
BC_DeleteFile('C:\RECYCLER\S-1-5-21-7042795328-2185305682-926418702-8842\mwau.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE',' Software\Microsoft\Windows NT\CurrentVersion\Winlogon',' Taskman');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]
ПК перезагрузится.
Сделайте новый лог из пункта 2 Диагностики (virusinfo_syscheck.zip) и приложите к этой теме.
А оставшиеся три строки в mbam не надо было удалять?
А вообще все выполнил. Сделал новые логи.
Удалите в МВАМ
[CODE]Заражено значений реестра:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Services\del (Malware.Trace) -> No action taken.[/CODE]
Выполните скрипт в AVZ
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\mstmdm.dll','');
QuarantineFile('C:\RECYCLER\S-1-5-21-7042795328-2185305682-926418702-8842\mwau.exe','');
DeleteFile('C:\RECYCLER\S-1-5-21-7042795328-2185305682-926418702-8842\mwau.exe');
DeleteFile('C:\WINDOWS\system32\mstmdm.dll');
RegKeyParam-Del('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad','UpdateCheck');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Winlogon','Taskman');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
ExecuteRepair(16);
RebootWindows(true);
end. [/code]Компьютер перезагрузится.
Пришлите карантин согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы
Сделайте новые логи
[QUOTE=thyrex;524065]RegKeyParam-Del('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad','UpdateCheck');[/QUOTE]
Изменил на RegKeyParamDel. Правильно ведь?
Сделал логи.
Вдогонку отправил карантин.
Выполните скрипт в AVZ
[code]begin
DeleteFile('C:\RECYCLER\S-1-5-21-7042795328-2185305682-926418702-8842\mwau.exe,explorer.exe');
DeleteFile('C:\RECYCLER\S-1-5-21-7042795328-2185305682-926418702-8842\mwau.exe');
ExecuteSysClean;
BC_Activate;
ExecuteRepair(16);
RebootWindows(true);
end. [/code]Компьютер перезагрузится.
Сделайте новый лог virusinfo_syscheck.zip
Выполнено. Новый лог syscheck прилагаю.
Чисто.
[B]thyrex[/B], [B]snifer67[/B], спасибо вам огромное за помощь!
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]9[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\recycler\s-1-5-21-7042795328-2185305682-926418702-8842\mwau.exe - [B]P2P-Worm.Win32.Palevo.kgl[/B] ( DrWEB: Trojan.Packed.688, AVAST4: Win32:Malware-gen )[/LIST][/LIST]