Printable View
В общем, он меня пустил в систему каким-то образом, я воспользовался моментом, быстро прошёлся CureIT, он нашёл гадов. Но хочется удостовериться, что всё нормально.
Загружаю логи
Буду очень благодарен за проверку и указания, что делать дальше. :)
[ATTACH]191433[/ATTACH]
[ATTACH]191434[/ATTACH]
[ATTACH]191435[/ATTACH]
Пофиксите в HiJack
[CODE]F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe[/CODE]
Логи AVZ переделать без работающего CureIt
+ [B]thyrex[/B]
1) Выполните скрипт в AVZ:
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFileMask(GetAVZDirectory+'Quarantine', '*.*', true);
QuarantineFile('C:\Documents and Settings\Любовь\Application Data\ntos.exe','');
QuarantineFile('C:\WINDOWS\System32\aekgoprn.dll','');
QuarantineFile('C:\music\Opera4','');
QuarantineFile('C:\hfs.exe','');
QuarantineFile('C:\WINDOWS\System32\Drivers\a3nkt2th.SYS','');
DeleteService('navigator');
QuarantineFile('C:\WINDOWS\fd.dll','');
DeleteFile('C:\WINDOWS\fd.dll');
DeleteFile('C:\WINDOWS\System32\Drivers\a3nkt2th.SYS');
DeleteFile('C:\Documents and Settings\Любовь\Application Data\ntos.exe');
DeleteFile('C:\WINDOWS\System32\aekgoprn.dll');
RegKeyParamDel('HKEY_USERS','S-1-5-21-3701978502-2384342995-2359858991-1007\Software\Microsoft\Windows\CurrentVersion\Run','userinit');
BC_ImportALL;
ExecuteSysClean;
ExecuteWizard('TSW', 2, 2, true);
ExecuteWizard('SCU', 2, 2, true);
BC_Activate;
RebootWindows(true);
end.[/CODE]
Компьютер перезагрузится.
2) Затем выполните второй скрипт в AVZ:
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
Файл quarantine.zip из папки с AVZ закачайте по ссылке "[COLOR="Red"]прислать запрошенный карантин[/COLOR]" вверху темы.
3) Обновите базы AVZ.
4) Сделайте новые логи AVZ + такой лог: [url]http://virusinfo.info/showthread.php?t=53070[/url]
В hijack выполнил означенную операцию, выполнил скрипты, залил карантин на сайт, обновил базы, сделал новые логи + запрашиваемый.
Вот результаты:
[ATTACH]191472[/ATTACH]
[ATTACH]191473[/ATTACH]
[ATTACH]191474[/ATTACH]
[ATTACH]191475[/ATTACH]
Удалите в [url=http://virusinfo.info/showpost.php?p=493584&postcount=2]mbam [/url]
[code]
Заражено значений реестра:
HKEY_USERS\.DEFAULT\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\{02ffac45-0b10-5633-4296-1801f1a36678} (Trojan.Agent) -> No action taken.
HKEY_USERS\S-1-5-18\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\{02ffac45-0b10-5633-4296-1801f1a36678} (Trojan.Agent) -> No action taken.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\windows sarby (Malware.Trace) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Network\uid (Malware.Trace) -> No action taken.
Заражено папок:
C:\Documents and Settings\Любовь\Application Data\wsnpoem (Trojan.Agent) -> No action taken.
C:\WINDOWS\system32\wsnpoem (Trojan.Agent) -> No action taken.
Заражено файлов:
C:\Program Files\Green-D\GreenChess\_GreenChess.exe (Malware.Packer) -> No action taken.
C:\Documents and Settings\Любовь\Application Data\wsnpoem\audio.dll (Trojan.Agent) -> No action taken.
C:\Documents and Settings\Любовь\Application Data\wsnpoem\video.dll (Trojan.Agent) -> No action taken.
C:\WINDOWS\system32\wsnpoem\audio.dll (Trojan.Agent) -> No action taken.
C:\WINDOWS\system32\wsnpoem\audio.dll.cla (Trojan.Agent) -> No action taken.
C:\WINDOWS\system32\wsnpoem\video.dll (Trojan.Agent) -> No action taken.
C:\Documents and Settings\Arrs\Application Data\wiaserva.log (Malware.Trace) -> No action taken.
[/code]
Сделаете новый лог mbam
Удалил, новый лог
[ATTACH]191620[/ATTACH]
Остались только те три файла, которые Вы не говорили удалять в прошлый раз.
Да, и у меня полетел звук. Это последствия mbam, после удаления которого всё встанет на свои места, или драйвер надо будет устанавливать заново?
Чисто.Переустановите драйвера на звук.
Переустановил. Звука нет.
В диспетчере стоит восклицательный знак рядом с "Перечислителем программных устройств plug and play". Звуки выдают "Аудиоустройства отсутствуют".
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]1[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\hfs.exe - [B]not-a-virus:Server-FTP.Win32.SFH.bc[/B][/LIST][/LIST]