Printable View
Два дня назад начались сыпаться сообщения от Symantec Emai Proxy (Norton Antivirus) с сообщениями о рассылке с моего email. Пробовал уничтожать найденный троян, но после удаления он опять восстанавливается.
Сообщения появляются каждую секунду, невозможно работать на компьютере :(
[QUOTE=Sergey100]Пробовал уничтожать найденный троян, но после удаления он опять восстанавливается.
[/QUOTE]
пофиксите с помощью HijackThis следующие строки:
(если не ставили эту страницу сами:)
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = [url]https://gw26.enals.com/fw/enter.asp[/url]
O4 - HKLM\..\Run: [UpdReg] C:\WINDOWS\UpdReg.EXE
O20 - Winlogon Notify: arm32reg - C:\Documents and Settings\All Users\Документы\Settings\arm32.dll
пришлите по правилам форума файлы:
C:\WINDOWS\UpdReg.EXE
C:\Documents and Settings\All Users\Документы\Settings\arm32.dll
C:\WINDOWS\TEMP\arm5EE8.tmp
[QUOTE][/QUOTE]
Отправил Вам данные файлы
[QUOTE=Sergey100]Отправил Вам данные файлы[/QUOTE]
пришел только ОДИН файл:
C:\WINDOWS\TEMP\arm5EE8.tmp - там червь Email-Worm.Win32.Scano.ar, его нужно удалить.
а другие файлы не найдены? искали через AVZ?
C:\WINDOWS\TEMP\arm5EE8.tmp - там червь Email-Worm.Win32.Scano.ar, его нужно удалить.
а другие файлы не найдены? искали через AVZ?[/quote]
Пробовал удалять через AVZ червь Email-worm.win32.scano.ar, после удаления все равно программа его находит.......кроме этого файла другие файлы не найдены.
Пробовал сканировать с помощью Outpost Firewall, находит два файла Scano и Perf, которые тоже не получается удалить :(
-запустите AVZ > Файл > Добавление в карантин по списку > введите указанные [B]МОСТ[/B]
C:\WINDOWS\UpdReg.EXE
C:\Documents and Settings\All Users\Документы\Settings\arm32.dll
C:\WINDOWS\TEMP\arm5EE8.tmp
-попробуйте с включённым AVZ Guard или с включенным Блокировать работу RootKit...
Снова пришел один C:\WINDOWS\TEMP\arm5EE8.tmp
Попробуйте такой алгоритм:
1. Отключите компютер от Интернет/локальной сети.
2. Закройте все программы в том числе антивирус и browser hijack retaliator.
3. Запустите AVZ.
4. Включите AVZGuard.
5. Удалить файл C:\WINDOWS\TEMP\arm5EE8.tmp через AVZ меню Файл->«Отложенное удаление».
6. Меню файл – Восстановление системы – установите галочку «Удаление отладчиков системных процессов». Нажмите кнопку Выполнить …
7. Перезагрузите компьютер, не выходя из AVZ и не выключая AVZ Guard
[quote=AndreyKa]Снова пришел один C:\WINDOWS\TEMP\arm5EE8.tmp
Попробуйте такой алгоритм:
1. Отключите компютер от Интернет/локальной сети.
2. Закройте все программы в том числе антивирус и browser hijack retaliator.
3. Запустите AVZ.
4. Включите AVZGuard.
5. Удалить файл C:\WINDOWS\TEMP\arm5EE8.tmp через AVZ меню Файл->«Отложенное удаление».
6. Меню файл – Восстановление системы – установите галочку «Удаление отладчиков системных процессов». Нажмите кнопку Выполнить …
7. Перезагрузите компьютер, не выходя из AVZ и не выключая AVZ Guard[/quote]
После удаления файла
arm5EE8.tmp по данному алгоритму выведен из строя Norton (запрос об активации). Просканировал еще раз программой Outpost Firewall, червь Scano больше не обнаруживается, но все еще находит и не удается удалить Perf......
[QUOTE=Sergey100]После удаления файла
arm5EE8.tmp по данному алгоритму выведен из строя Norton (запрос об активации). Просканировал еще раз программой Outpost Firewall, червь Scano больше не обнаруживается, но все еще находит и не удается удалить Perf......[/QUOTE]
Туда ему и дорога. :) Norton не лучший вариант. Хотя, эффект не ожиданный.
Где (в каком файле) Outpost находит Perf... Приведите здесь его сообщение полностью.
[quote=AndreyKa]Туда ему и дорога. :) Norton не лучший вариант. Хотя, эффект не ожиданный.
Где (в каком файле) Outpost находит Perf... Приведите здесь его сообщение полностью.[/quote]
Просканировал еще раз при помощи Outpost:
Всего выявило 5 упоминаний в реестре:
HKLM\software\Microsoft\Windows Nt\CurrentVersion\Winlogon\Notify\arm32reg\Startup
HKLM\software\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\arm32reg\Impersonate
HKLM\software\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\arm32reg\DllName
HKLM\software\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\arm32reg\Asynchronous
HKLM\software\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\arm32reg
а)Набрать в командной строке и выполнить следующую команду:
reg delete "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\explorer.exe" /v Debugger /f
б) Перезагрузить систему.
в) Запустить утилиту Dr.Web CureIt. Проверяемая директория - %SystemRoot% (по умолчанию С:\WINDOWS). Действие для объектов зараженных Win32.HLLM.Perf - удалить
Скачать Dr.Web CureIt [url]http://download.drweb.com/drweb+cureit/[/url]
[quote=SDA]а)Набрать в командной строке и выполнить следующую команду:
reg delete "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\explorer.exe" /v Debugger /f
б) Перезагрузить систему.
в) Запустить утилиту Dr.Web CureIt. Проверяемая директория - %SystemRoot% (по умолчанию С:\WINDOWS). Действие для объектов зараженных Win32.HLLM.Perf - удалить
Скачать Dr.Web CureIt [URL="http://download.drweb.com/drweb+cureit/"]http://download.drweb.com/drweb+cureit/[/URL][/quote]
Ввел команду удаления, проверил с помощью утилиты Dr.Web CureIt......вирусы обнаружены не были. Запускаю Outpost Firewall, находит опять 5 совпадений в реестре по Perf :(
Сделайте ещё раз лог HijackThis.
[QUOTE=Sergey100]Ввел команду удаления, проверил с помощью утилиты Dr.Web CureIt......вирусы обнаружены не были. Запускаю Outpost Firewall, находит опять 5 совпадений в реестре по Perf :([/QUOTE]
MOCT уже писал:
[quote=MOCT]
[url=http://virusinfo.info/showpost.php?p=64376&postcount=1]пофиксите[/url] с помощью HijackThis следующие строки:
(если не ставили эту страницу сами
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = [url]https://gw26.enals.com/fw/enter.asp[/url]
O4 - HKLM\..\Run: [UpdReg] C:\WINDOWS\UpdReg.EXE
O20 - Winlogon Notify: arm32reg - C:\Documents and Settings\All Users\Документы\Settings\arm32.dll[/quote]
Это было сделано?
Если да, то давайте новый лог HijackThis.
Высылаю еще раз log
Воно не вмерло:
[code]R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://gw26.enals.com/fw/enter.asp
O20 - Winlogon Notify: arm32reg - C:\Documents and Settings\All Users\Документы\Settings\arm32.dll[/code]
Запустите AVZ, включите AVZGuard, выберите пункт "Файл\Отложенное удаление файла", скопируйте в поле "Имя файла" эту строчку:
C:\Documents and Settings\All Users\Документы\Settings\arm32.dll
Нажмите кнопку Открыть.
После этого не выключая AVZGuard уйдите на перезагрузку.
PS. HijackThis не справляется с этой гадостью. Пофиксить в нем получится только после удаления файла.
Похоже на то, что получилось удалить :-))
Огромное спасибо!!!! Благодарен всем за оказанную помощь
Может быть сделать контрольную проверку?
Outpost показывает,что все чисто
В профиль аналогично :)
В смысле чисто.