Printable View
Здраувствуйте!
Вчера появилось окошко с просьбой выслать смс. Заблокировался доступ в сеть, пишу с другого компьютера. И постоянно стал грузиться процессор на 50% процессом rapimgr.exe. Высылаю описанные в правилах логи.
Заранее спасибо.
С уважением, Александр.
Нда, сэр, букетик у вас интересный! ;)
1. Запустите утилиту из приложенного архива.
2. Проверьте систему этой утилитой:
[url]http://www.secureblog.info/files/TDSSKiller.rar[/url].
3. Пофиксите в HijackThis:
[code]
F2 - REG:system.ini: UserInit=\\.\globalroot\systemroot\system32\userinit.exe,
O9 - Extra button: (no name) - {CD67F990-D8E9-11d2-98FE-00C0F0318AFE} - (no file)
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)
[/code]
4. [B]Обновите базы AVZ![/B]
5. Выполните скрипт в AVZ:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\Drivers\zxkfp.sys','');
DeleteFile('C:\WINDOWS\system32\Drivers\zxkfp.sys');
ExecuteSysClean;
BC_QrFile('C:\WINDOWS\system32\Drivers\zxkfp.sys');
BC_DeleteFile('C:\WINDOWS\system32\Drivers\zxkfp.sys');
BC_DeleteSvc('zxkfp');
BC_Activate;
RegKeyResetSecurity( 'HKLM', 'SYSTEM\CurrentControlSet\Services\zxkfp');
SetServiceStart('zxkfp', 4);
RebootWindows(true);
end.[/code]
Компьютер перезагрузится.
6. Пришлите карантин согласно приложению 3 правил
(загружать тут: [url]http://virusinfo.info/upload_virus.php?tid=64388[/url]).
7. Сделайте новые логи.
Все зделал. Баннер пропал, никакие процессы процессор не грузят.
Остался еще один зловредный файл:
[B]C:\WINDOWS\system32\Drivers\zxkfp.sys[/B].
Удалить его с помощью AVZ или др. утилит пока затруднительно, сделать это можно с помощью LiveCD или любого загрузочного диска с поддержкой NTFS, например Hiren's Boot CD.
Фаил [B]C:\WINDOWS\system32\Drivers\zxkfp.sys [/B]удалил с помощью LiveCD. Сделал новые логи. Все, вроде, работает, только после этого вируса пропали некоторые иконки из правого нижнего угла экрана (Lingvo, Avira, ...). Можно ли их вернуть?
Спасибо Вам!
Чисто
[QUOTE='Alexander2007;540375']после этого вируса пропали некоторые иконки из правого нижнего угла экрана (Lingvo, Avira, ...). Можно ли их вернуть?[/QUOTE]
В настройках этих программ поищите опцию вроде "Запускать при старте Windows" и включите ее, а если он уже включена, то попробуйте ее выключить, а потом включить снова.
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]7[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\documents and settings\alexandr\главное меню\программы\автозагрузка\siszyd32.exe - [B]Backdoor.Win32.Bredolab.boj[/B] ( DrWEB: Trojan.Botnetlog.125, BitDefender: Trojan.Downloader.Bredolab.BX, NOD32: Win32/TrojanDownloader.Bredolab.BE trojan )[/LIST][/LIST]