Printable View
Поймал вот такого вируса:
[URL]http://virusinfo.info/showpost.php?p=531974&postcount=26[/URL]
Лог авиры вложил в архив.
Восстановил atapi.sys
Лечился по вашим рекомендациям с помощью get2, после первого лечения (видно из лога авиры) снова появился вирус. Повторно пролечил get2 и скриптами для AVZ по аналогии, как предлагалось в аналогичном мне случае, удалил все подозрительное, почистил реестр. Очень хотелось бы убедиться, что все чисто :?
Сделайте лог Gmer и MBAM
MBAM полностью прогнал ночью все диски. Gmer работает с утра, очень медленно сканирует (файлов и программ очень много), пока скидываю то что он нашел, но ему ещё очень долго сканировать, если это необходимо, я подожду.
Проверим некоторые файлы, выполните скрипт
[CODE]begin
DeleteFileMask(GetAVZDirectory+'Quarantine','*.*',true);
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\Documents and Settings\Admin\Application Data\AD ON Multimedia\eBay Shortcuts\eBayShortcuts.exel','');
QuarantineFile('C:\System Volume Information\_restore{D58AD07C-0745-4FB0-AFA5-FA58FE281C74}\RP731\A0426809.exe','');
QuarantineFile('D:\install\VCL\regexpr\Demos\SelfTest\TestRegExpr.exe','');
BC_ImportAll;
BC_Activate;
RebootWindows(true);
end.[/CODE]затем следующий
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]файл [B]quarantine.zip[/B] закачайте по ссылке [B][COLOR=Red]Прислать запрошенный карантин[/COLOR][/B]
Карантин закачал, скрипт вначале не запускался из-за нестандартной кавычки на пятой строке, я заменил ее на обычную, далее при выполнении были какие-то сообщения красным, но я не успел прочесть из-за перезагрузки.
Один в карантин не попал, остальные чистые. Попробуем еще раз.
Выполните скрипт
[CODE]begin
DeleteFileMask(GetAVZDirectory+'Quarantine','*.*',true);
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\Documents and Settings\Admin\Application Data\AD ON Multimedia\eBay Shortcuts\eBayShortcuts.exe','');
BC_ImportAll;
BC_Activate;
RebootWindows(true);
end.[/CODE]
затем следующий
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
файл [B]quarantine.zip[/B] закачайте по ссылке [B][COLOR=Red]Прислать запрошенный карантин[/COLOR][/B]
Не удалось, карантин пустой. Успел прочесть, что-то ошибка прямого чтения...
[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]
Давайте все подозрительное удалим :) Тем более я не знаю что это за "ad on ebay"
Сделайте так, как здесь написано [URL]http://virusinfo.info/showthread.php?t=4567[/URL]
Я нашел причину, расширение файла не exel, а exe, по этому его не находит, после поиска добавил в карантин.
[size="1"][color="#666686"][B][I]Добавлено через 2 минуты[/I][/B][/color][/size]
а безопасно ли будет для системы удалить тот подозрительный файл (на всякий случай) из _restore?
Закачайте карантин по ссылке [B][COLOR=Red]Прислать запрошенный карантин[/COLOR][/B] в шапке Вашей темы (Приложение 3 правил).
[size="1"][color="#666686"][B][I]Добавлено через 2 минуты[/I][/B][/color][/size]
[QUOTE='picasso;535405']а безопасно ли будет для системы удалить тот подозрительный файл (на всякий случай) из _restore? [/QUOTE]
Я уже писал, тот файл - чистый, поэтому удалять не надо. Сейчас проверим [B]eBayShortcuts.exe[/B]
я закачал - virus.zip
Файл чистый, но [QUOTE]Рейтинг подозрительности поведения = [B]70[/B] процентов (Интернет) [/QUOTE]Если Вам он не нужен, лучше удалить. Выполните скрипт
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\Documents and Settings\Admin\Application Data\AD ON Multimedia\eBay Shortcuts\eBayShortcuts.exe');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]
Вот что в логах есть:
Источник (sr):
Произошла неожиданная ошибка фильтра восстановления системы '0xC0000243' при обработке файла 'vdmymjk3.sys' на томе 'HarddiskVolume1'. Это привело к остановке наблюдения на томе.
Сделайте комплект логов (АВЗ, Hijack, Gmer)
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]9[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]