Printable View
Именно этот вирус, и еще парочку я обнаружил с помощью drweb после отпуска :). Пришел в письме, которое открывали. Что обнаружил, то и удалил, но судя по всему червяк въелся. В частности это проявляется в том, что отключился spiderml от drweb. Переустановка антивирусника ничего не дала. Боюсь, что и другие службы повреждены. Help!
Пришлите, как написано в правилах -
C:\WINDOWS\System32\e1.dll
C:\WINDOWS\System32\mqtrlapr.dll
C:\WINDOWS\System32\ctrldll.dll
C:\WINDOWS\System32\idjliidh.dll
C:\WINDOWS\System32\rmctrl.exe
C:\WINDOWS\System32\vbsys2.dll
C:\WINDOWS\inet20088\services.exe
c:\program files\messenger\msmsgs.exe
c:\windows\system32\sotservice.exe
CTHELPER.EXE
C:\WINDOWS\UpdReg.EXE
SOUNDMAN.EXE
===========================
Файлы -
C:\WINDOWS\System32\vbsys2.dll
C:\WINDOWS\inet20088\services.exe
C:\WINDOWS\System32\idjliidh.dll
C:\WINDOWS\System32\e1.dll
C:\WINDOWS\System32\mqtrlapr.dll
C:\WINDOWS\inet20088\services.exe
можно сразу удалить через Файл->Отложенное удаление в AVZ.
Каталог C:\WINDOWS\inet20088\ тоже удалите со всем содержимым.
Так-же в Hijack [url=http://virusinfo.info/showthread.php?goto=newpost&t=4491]пофиксите[/url] строки -
[code]
R1 - HKCU\Software\Microsoft\Internet Explorer,SearchURL = http://top-find4u.com/sp.htm
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://top-find4u.com/sp.htm
R1 - HKCU\Software\Microsoft\Internet Explorer\SearchURL,SearchURL = http://top-find4u.com/sp.htm
O4 - HKLM\..\Run: [WINDVDPatch] CTHELPER.EXE
O4 - HKLM\..\Run: [UpdReg] C:\WINDOWS\UpdReg.EXE
O20 - AppInit_DLLs: mqtrlapr.dll e1.dll
O21 - SSODL: SysTray.Excn - {1722ECFF-4356-4f5b-B534-E67294FE75E9} - C:\WINDOWS\System32\idjliidh.dll (file missing)
O21 - SSODL: SystemCheck2 - {54645654-2225-4455-44A1-9F4543D34546} - C:\WINDOWS\System32\vbsys2.dll (file missing)
[/code]
И повторите после этого 2 последних лога из правил.
- В файле C:\WINDOWS\system.ini удалить оставшуюся от трояна запись, если она там еще есть:
[windows]
load=C:\WINDOWS\inet20088\services.exe
В файле C:\WINDOWS\system32\drivers\etc\hosts удалить лишние записи:
127.0.0.1 downloads1.kaspersky-labs.com
127.0.0.1 downloads2.kaspersky-labs.com
127.0.0.1 downloads3.kaspersky-labs.com
127.0.0.1 downloads4.kaspersky-labs.com
127.0.0.1 download.mcafee.com
127.0.0.1 liveupdate.symantecliveupdate.com
127.0.0.1 liveupdate.symantec.com
127.0.0.1 update.symantec.com
RiC: файлы отправил, все сделал, как вы сказали, не понял только фразу: "И повторите после этого 2 последних лога из правил", поясните пожалуйста.
Alexey P.: записи от трояна в system.ini не было, в файле hosts удалил все лишние строки.
Всем огромное спасибо за быстрый отклик и помощь!
см. п.10-13 в Правилах.
И прикрепите сюда заново сделанные логи:
virusinfo_syscheck.zip
hijackthis.log
только что запустил spiderml - появился в панели задач! Отличная работа!
вот логи после чистки...
[QUOTE=catmax]вот логи после чистки...[/QUOTE]
пофиксите в HijackThis:
O16 - DPF: {E cellSpacing=5 cellPadding=3 width=400} -
пришлите файл:
C:\WINDOWS\System32\SOUNDMAN.EXE - он не добавился в прошлый раз
фиксанул 016 строку, выслал оставшиеся файлы, почему-то они добавлялись в карантин по одному, поэтому 6 zip-файлов (virus2 - virus7).
[QUOTE=catmax]фиксанул 016 строку, выслал оставшиеся файлы, почему-то они добавлялись в карантин по одному, поэтому 6 zip-файлов (virus2 - virus7).[/QUOTE]
вы прислали только ini-файлы, а к каждому из них должен прилагаться одноименный .dta файл
я обратил внимание, что ваша программа показывает объем этих файлов 0. Может поэтому dta-файл не образовался? Я архивировал все, что выдала программа. Может она не нашла нужный файл? Например, C:\WINDOWS\System32\SOUNDMAN.EXE - такого файла в папке system32 нет. Зато есть: C:\WINDOWS\SOUNDMAN.EXE - но этот файл программа не добавила в карантин... Я нашел его и посмотрел его свойства - это приложение Realtek Sound Manager, скорей всего стандартная прога для встроенной в материнку звуковой карты (я ей не пользуюсь)...
[QUOTE=catmax]Я нашел его и посмотрел его свойства - это приложение Realtek Sound Manager, скорей всего стандартная прога для встроенной в материнку звуковой карты (я ей не пользуюсь)...[/QUOTE]
Пришлите его если не сложно, для базы безопасных файлов, я его собственно для этого и просил.
отправил весь файл целиком, заархивировав с паролем virus