Printable View
Вчера на ноутбук поймал вирус - баннер просит отправить смс для разблокировки. Были установлены перед заражением последние базы Касперского. При проверке AVPTool и CureIt! были найдены вирусы, но баннер не исчез. Доступ в сеть также заблокирован. Помогите, пожалуйста. Логи приклепляю.
1. запустить программку, что в аттаче. ПК будет перезагружен.
2. удалить в %systemroot%\system32\drivers\swenum.sys и убедиться, что WFP восстановила файл. Если файл не восстановился по какой-либо причине - скопировать его с другого ПК на место удаленного.
3.Сделаете новые логи.
Программку запустил - баннер удалился.:D
Файл swenum.sys удалил и проверил,что он восстановился.
Но при запуске Windows KIS 2009 выдает сообщение: "В приложении Generic Host Process for Win32 Services обнаружена ссылка на веб-страницу ..., используемую для кражи паролей, номеров кредитных карт или другой конфиденциальной информации. Запрещено."
Новые логи прикладываю.
Выполнить скрипт:
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('D:\WINDOWS\system32\winsrv.exe','');
BC_ImportAll;
BC_Activate;
RebootWindows(true);
end.[/CODE]
прислать карантин по Правилам.
Карантин отправлен.
В карантине файл нет. Его что а/вирус съел?
Скорее всего нужный файл съел антивирус. Я выслал новый карантин, кот. делал при выключенном антивирусе - вроде он весит больше и внутри файл еще добавился.
Trojan-Spy.Win32.BZub.hqx - вот так он зовется по классификации ЛК.
Логи повторите. Будем смотреть восстановился он или нет.
При проверке Касперским зараженного файла а/вирус удалил этот файл и перезагрузил комп. :D Новые логи прикрепляю. Больше вроде никаких подозрительных сообщений не возникает.
Выполните скрипт в avz
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('D:\WINDOWS\system32\winsrv.exe','');
DeleteFile('D:\WINDOWS\system32\winsrv.exe');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','Java Plug-in');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]
ПК перезагрузится.
Пришлите карантин согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы
Сделайте новые логи.
Выполните скрипт в AVZ:
[code]
begin
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','ARPDefender');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SYSTEM\CurrentControlSet\Services\Eventlog\Application\Bonjour Service','EventMessageFile');
RegKeyParamDel('HKEY_USERS','.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run','Punto Switcher');
RegKeyParamDel('HKEY_USERS','S-1-5-19\Software\Microsoft\Windows\CurrentVersion\Run','Punto Switcher');
RegKeyParamDel('HKEY_USERS','S-1-5-20\Software\Microsoft\Windows\CurrentVersion\Run','Punto Switcher');
RegKeyParamDel('HKEY_USERS','S-1-5-18\Software\Microsoft\Windows\CurrentVersion\Run','Punto Switcher');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','Java Plug-in');
RebootWindows(true);
end.[/code]
Компьютер перезагрузится.
Больше ничего плохого не видно.
Что с проблемами?
Скрипты выполнил. Новый карантин выслал.
Проблем больше не замечаю.
Всем большое спасибо за помощь!:D
Выкладываю новые логи.
Плохого в логах не видно.
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]3[/B][*]Обработано файлов: [B]9[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] d:\windows\system32\winsrv.exe - [B]Trojan-Spy.Win32.BZub.hqx[/B] ( DrWEB: Trojan.PWS.Banker.37238 )[/LIST][/LIST]
Рекомендации:
[LIST=1][*]Обнаружены троянские программы класса Trojan-PSW/Trojan-Spy - настоятельно рекомендуется поменять все пароли ![/LIST]