Printable View
Через 10 минут после включения компьютера F-Secure обнаруживает и удаляет эти вирусы (около 10 штук), после перезагрузки все повторяется. Outpost отмечает активность svchost, services и fsdfwd на smtp порт, блокировка действует до первой перезагрузки (потом эти программы оказываются в разделе доверенных). Помогите, пожалуйста.
Поищите и пришлите в соответствии с правилами файлы:
c:\windows\system32\atrconf.exe
c:\windows\system32\samsusrr.exe
c:\windows\serrv.exe
c:\program files\snoop\snoop2.exe
C:\WINDOWS\system32\samsusrr.dll
C:\WINDOWS\system32\atrconf.exe
C:\WINDOWS\serrv.exe
C:\Program Files\snoop\snoop2.exe
C:\WINDOWS\system32\e1.dll
C:\WINDOWS\System32\netfrtm.dll
C:\WINDOWS\system32\psapdani.dll
attmgr32.dll
conmgr32.dll
confcon.dll
constat.dll
confatt.dll
attstat.dll
Отправил все, кроме conmgr32.dll. Возможно он был удален антивирусом.
Всё присланное:
c:\windows\system32\atrconf.exe
c:\windows\system32\samsusrr.exe
c:\windows\serrv.exe
C:\WINDOWS\system32\samsusrr.dll
C:\WINDOWS\system32\e1.dll
C:\WINDOWS\System32\netfrtm.dll
C:\WINDOWS\system32\psapdani.dll
C:\WINDOWS\system32\attmgr32.dll
C:\WINDOWS\system32\confcon.dll
C:\WINDOWS\system32\constat.dll
C:\WINDOWS\system32\confatt.dll
C:\WINDOWS\system32\attstat.dll
Является Win32.HLLM.Limar aka Warezov aka Stration
кроме c:\program files\snoop\snoop2.exe
Соответственно для убиения зверя необходимо:
1. Закрыть все программы, запустить AVZ
2. Включить AVZ Guard
3. Отложенным удалением удалить перечисленные файлы
4. Перезагрузиться, не выходя из AVZ и не отключая AVZ Guard
и для контроля стоит сделать логи заново - для контроля, все ли убилось
Спасибо большое! Сделал все как вы сказали, пока все нормально, если не считать, что сразу осле перезагрузки 1 раз прокричал антивирус, тот файл о котором он кричал (увы, стормозил и не запомнил его имя) я также удалил через отложенное удаление. Теперь вроде все нормально. Высылаю логи для контроля.
:?
:'-( :help:
C:\WINDOWS\system32\psapdani.dll восстал из мертвых...
AVZ - AVZGuard - включить AVZGuard. AVZGuard - запустить приложение как доверенное, - запустите HijackThis и пофиксите строки
O4 - HKLM\..\Run: [serrv] C:\WINDOWS\serrv.exe s
O20 - AppInit_DLLs: psapdani.dll confcon.dll constat.dll confatt.dll attstat.dll e1.dll confaud.dll audstat.dll
O20 - Winlogon Notify: attmgr - attmgr32.dll (file missing)
O20 - Winlogon Notify: conmgr - conmgr32.dll (file missing)
O20 - Winlogon Notify: samsusrr - C:\WINDOWS\
O20 - Winlogon Notify: audmgr - C:\WINDOWS\SYSTEM32\audmgr32.dll
Перезагрузите компьютер, не выходя из AVZ и не отключая AVZGuard, и повторите лог HjT и лог из п. 10 правил
Сделал все как вы сказали, теперь жду.
А еще, можно вопрос немного не по адресу? При загрузке компьютера стала вылазить надпись "Runner Error. Invalid BackWeb application id "7681197" с чем это может быть связано?
В логах ничего подозрительного не видно. "Runner Error. Invalid BackWeb application id "7681197" - алерт f-secure. Возможно в реестре остались следы от удаленных зловредов, - их можно поискать и удалить через avz -поиск данных в рестре.
Спасибо огромное! Просто спасли! Пока все спокойно, даже как-то странно стало :). Супер сервис!