Printable View
Доброго времени суток...
полечился от ПО File Downloader при помощи утилиты get2.
Заставка вируса исчезла, но напрягает, что в режиме простоя система жрет 50% CPU
Причем отжирает C:\WINDOWS\system32\svchost -k DcomLaunch
Раньше вроде бы такого небыло...
Просьба посмотреть логи после лечения.
Выполнить скрипт:
[CODE]begin
SetAVZPMStatus(True);
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile(C:\WINDOWS\system32\userinit.exe','');
QuarantineFile('C:\Documents and Settings\Wizekaa\Главное меню\Программы\Автозагрузка\siszyd32.exe','');
DeleteFile('C:\Documents and Settings\Wizekaa\Главное меню\Программы\Автозагрузка\siszyd32.exe');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]
Прислать карантин по Правилам.
Сделать заново логи.
Новые логи.
PS: в скрипте в строчке "QuarantineFile(C:\WINDOWS\system32\userinit.exe','');" пропушен апостроф... специально или опечатка?
Очепятка. Этот файл отдельно пришлите на проверку.
Я так и подумал, что опечатка, поэтому добавил апостроф и прогнал весь скрипт целиком.
Всеравно прислать этот файл отдельно? Через аплоад карантина?
профиксить:
[CODE]F2 - REG:system.ini: UserInit=\\.\globalroot\systemroot\system32\userinit.exe,
O4 - HKLM\..\Run: [sysgif32] C:\WINDOWS\TEMP\~TMC.tmp[/CODE]
Выполнить скрипт:
[CODE]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\TEMP\~TMC.tmp','');
DeleteFile('C:\WINDOWS\TEMP\~TMC.tmp');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]
Прислать карантин.
Повторить станд скрипт №2 + лог Хиджака.
userinit.exe попробу й просто руками через поиск в AVZ найти и добавить в карантин.
Сделал.
userinit.exe итак два раза представлен в первоначально высланном карантине.
Новые логи.
И еще... Windows просит заново активироваться... это нормально для нашего случая?
PS: Упс... не прогнал скрипт ((( подождите поправлю и заново логи сделаю...
В карантине только ini-файл на userinit.exe с указанием размера, а самого его нет.
Активацию системы данные скрипты не должны были вызвать.
Вот логи после прогона скрипта.
AVZ своим поиском файл userinit.exe не нашел...
Новый карантин загрузил.
Активация вроде стала требоваться после запуска get2.
А Вы только get2 запускали? Удаление файла swenum.sys сделали?
да. swenum.sys удалил.
восстановился он автоматически, только дата старая и размер другой
[size="1"][color="#666686"][B][I]Добавлено через 2 часа 57 минут[/I][/B][/color][/size]
Так что делать то?
Активировать или нет?
Осталось ли в логах еще что-то криминальное?
Backdoor.Win32.Bredolab.bnu - свежий в карантине был. В логах более ничего плохого не увидел.
т.е. можно активировать Windows заново?
вроде работает нормально, ресурсы не жрет...
Можно.
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]10[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\documents and settings\wizekaa\главное меню\программы\автозагрузка\siszyd32.exe - [B]Backdoor.Win32.Bredolab.bnu[/B] ( DrWEB: Trojan.Botnetlog.123, AVAST4: Win32:Malware-gen )[/LIST][/LIST]