Printable View
Здравствуйте, Уважаемые.
Возник повод для компетентного вмешательства.
Вдруг резко замедлился отклик системы на действия пользователя. Судя по логам, в реестре прописана куча левых dll. Следуя рекомендациям сайта, немного страшновато выполнять скрипты ранее предложенные другим пользователям по этому же поводу.
Будьте добры, взгляните, пожалуйста на логи. Очень расчитываю на помощь.
Прикрепите virusinfo_[B]sys[/B]cure.zip.
Странно, что он не прикрепился:?
[color=red]Moderated: читайте внимательно, что пишут. Карантин я удалил, прикрепите лог.[/color]
Прошу прощения:sorry:
Выполните скрипт в AVZ:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\039.tmp','');
QuarantineFile('C:\WINDOWS\system32\04D.tmp','');
QuarantineFile('C:\WINDOWS\system32\033.tmp','');
DeleteFile('C:\WINDOWS\system32\033.tmp');
DeleteFile('C:\WINDOWS\system32\04D.tmp');
DeleteFile('C:\WINDOWS\system32\039.tmp');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]
Компьютер перезагрузится.
Пришлите карантин согласно приложению 3 правил
(загружать тут: [url]http://virusinfo.info/upload_virus.php?tid=62343[/url]).
[b]Обновите базы AVZ[/b] и сделайте новые логи.
Дополнительно сделайте [URL="http://virusinfo.info/showthread.php?t=40118"]лог gmer[/URL].
Карантин отослан по ссылке. Получить логи не представляется возможным-машина перезагружается при запуске стандартного скрипта AVZ. GMER обнаруживает руткиты. Дело пахнет переустановуой, как я понимаю.
[QUOTE='VMD;525058']GMER обнаруживает руткиты[/QUOTE]
Лог Gmer можете сделать?
С третьей попытки удалось сделать лог gmer
Сохраните текст ниже как cleanup.bat в ту же папку, где находится knzppdbs.exe (gmer)
[CODE]knzppdbs.exe -del service pjczlvt
knzppdbs.exe -del service tgghzduv
knzppdbs.exe -del service wuloxcp
knzppdbs.exe -del file "C:\WINDOWS\system32\gbdgpa.dll"
knzppdbs.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\pjczlvt"
knzppdbs.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\tgghzduv"
knzppdbs.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\wuloxcp"
knzppdbs.exe -del reg "HKLM\SYSTEM\ControlSet004\Services\pjczlvt"
knzppdbs.exe -del reg "HKLM\SYSTEM\ControlSet004\Services\tgghzduv"
knzppdbs.exe -del reg "HKLM\SYSTEM\ControlSet004\Services\wuloxcp"
knzppdbs.exe -reboot[/CODE]И запустите cleanup.bat
Компьютер перезагрузится
Сделать новый лог gmer
Скрипт выполнился с ошибками:
knzppdbs.exe -del file "C:\WINDOWS\system32\gbdgpa.dll" -не найден.
Для строк
knzppdbs.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\pjczlvt"
knzppdbs.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\tgghzduv"
knzppdbs.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\wuloxcp"
сообщение ПАРАМЕТР ЗАДАН НЕВЕРНО.
Новый лог прикрепляю.
Сделайте новый лог из пункта 2 Диагностики (virusinfo_syscheck.zip) и приложите к этой теме.
Лог прикрепляю
Выполните скрипт в avz
[code]begin
DeleteFileMask(GetAVZDirectory+'Quarantine', '*.*', true);
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\Documents and Settings\nadezhda\Application Data\gbdgpa.dll','');
QuarantineFile('C:\Documents and Settings\nadezhda\Главное меню\Программы\Автозагрузка\Talker.exe','');
DeleteFile('C:\Documents and Settings\nadezhda\Application Data\gbdgpa.dll');
RegKeyParamDel('HKEY_USERS','S-1-5-21-1409082233-1637723038-725345543-1004\Software\Microsoft\Windows\CurrentVersion\Run','likhhycj');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]
ПК перезагрузится.
Пришлите карантин согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы
Сделайте новый лог из пункта 2 Диагностики (virusinfo_syscheck.zip) и приложите к этой теме.
Высылаю лог из пункта 2.
Выполните скрипт в AVZ
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\Documents and Settings\nadezhda\Application Data\gbdgpa.dll','');
DeleteFile('C:\Documents and Settings\nadezhda\Application Data\gbdgpa.dll');
RegKeyParamDel('HKEY_USERS','S-1-5-21-1409082233-1637723038-725345543-1004\Software\Microsoft\Windows\CurrentVersion\Run','likhhycj');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end. [/code]Компьютер перезагрузится.
Пришлите карантин согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы
Сделайте новые логи
Прикрепляю последние логи. Хотя есть вопрос. Исходя из инструкции, сначала был сделан архив карантина, потом диагностика. Так вот, вопрос в том, что не следовало ли архивировать карантин [B]после[/B] диагностики? Имея ввиду, что во время диагностики кое-какие файлы помещались в карантин.
Плохого не видно. Что с проблемой?
[size="1"][color="#666686"][B][I]Добавлено через 21 минуту[/I][/B][/color][/size]
Выполните скрипт в AVZ
[code]begin
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1001', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
RebootWindows(true);
end. [/code]Компьютер перезагрузится.
Больше плохого не видно
Установите SP3 (может потребоваться активация) + все новые заплатки
Установите Internet Explorer 8
Спасибо огромное. Без вас было бы совсем трудно. Машина стала работать быстрее.
Есть теперь ещё пара вопросов. GMER использовался впервые и хотелось бы знать можно ли его использовать под Windows 2003?
Если нет, то имеется ли программное средство для тестирования серверных ОС? И есть ли лицензированное ПО для защиты рабочих станций и серверов. В реальном времени имеется ввиду. Уже на нескольких компах обнаружена эта пакость.>:(
А что, антивирусы до сих пор её не видят?
P.S. Гмер, если я правильно помню, не работает на терминальных серверах, поскольку не может найти ядро системы. Если терминальный сервер не поднят, то, по идее, должен запуститься.
По крайней мере NOD32 и DrWeb 5.0 молчат, как рыба об лёд. Потому и вопрос-что нужно поставить на рабочих станциях и серверах, чтобы хоть как-то жить. Дело -труба и чует моё сердце, что мне придётся неоднократно обратиться за помощью. Не всё получается.:(