Printable View
Принесли ноут с порнобанером смс на номер 9800, порнобанер снял ,введя два разных кода, код взял из поста отсюда [URL="http://virusinfo.info/showpost.php?p=542718&postcount=4"]http://virusinfo.info/showpost.php?p=542718&postcount=4 [/URL]
[LEFT]После чего с помощью Spybot, Dr. Web CureIt! и AVPTool вычистил ноут от множества троянов червей и бэкдоров. Посмотрите пожалуйста, может еще что осталось? Radmin ставил сам
[/LEFT]
Закройте/выгрузите все программы кроме AVZ и Internet Explorer.
- Отключите ПК от интернета/локалки
- Отключите Антивирус и Файрвол.
- Отключите Системное восстановление.
c:\winner5\cup5 - известно что это за папка?
В HiJackThis пофиксите:
[code]
O4 - HKLM\..\Run: [plugin] "C:\Program Files\plugin.exe"
O23 - Service: Оповещатель Alerterupnphost (Alerterupnphost) - Unknown owner - C:\WINDOWS\TEMP\rdl3D.tmp.exe (file missing)
O23 - Service: Журналы и оповещения производительности SysmonLogSharedAccess (SysmonLogSharedAccess) - Unknown owner - C:\WINDOWS\TEMP\rdl33.tmp.exe (file missing)
[/code]
В AVZ выполните скрипт:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
TerminateProcessByName('c:\winner5\cup5\cup.bin');
QuarantineFile('C:\WINDOWS\system32\ZBSCRE~2.SCR','');
QuarantineFile('C:\WINDOWS\System32\netprotocol.dll','');
QuarantineFile('C:\Program Files\plugin.exe','');
DeleteService('SysmonLogSharedAccess');
QuarantineFile('C:\WINDOWS\TEMP\rdl33.tmp.exe','');
DeleteService('Alerterupnphost');
QuarantineFile('C:\WINDOWS\TEMP\rdl3D.tmp.exe','');
QuarantineFile('C:\winner5\cup5\EasyComLib.dll','');
QuarantineFile('C:\winner5\cup5\libAAA.dll','');
QuarantineFile('C:\winner5\cup5\CupLib.dll','');
QuarantineFile('c:\winner5\cup5\cup.bin','');
DeleteFile('C:\WINDOWS\TEMP\rdl3D.tmp.exe');
DeleteFile('C:\WINDOWS\TEMP\rdl33.tmp.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run-','Generic Host for Win32 Services');
DeleteFile('C:\Program Files\plugin.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','plugin');
DeleteFile('C:\WINDOWS\System32\netprotocol.dll');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SYSTEM\CurrentControlSet\Services\Netprotocol\Parameters','ServiceDll');
BC_ImportAll;
ExecuteSysClean;
BC_DeleteSvc('Alerterupnphost');
BC_DeleteSvc('SysmonLogSharedAccess');
BC_Activate;
RebootWindows(true);
end.
[/code]
После перезагрузки
Пришлите карантин согласно Приложения 3 правил по красной ссылке Прислать запрошенный карантин вверху темы
Сделайте новые логи.
[QUOTE]c:\winner5\cup5 - известно что это за папка?[/QUOTE]
это папка программы Winner [url]http://www.baza-winner.ru/[/url], хотя хозяин ноута больше бухгалтер, чем реэлтор, завтра уточню, ставили они это или нет.
[QUOTE]- Отключите ПК от интернета/локалки [/QUOTE]
От локалки не могу, по крайней мере сейчас, я на нем сейчас удаленно работаю через радмин. Инета у него сейчас нет, выход в инет из локалки через прокси, ноут о об этой прокси ничего "не знает".
выполнить сейчас скрипты?
[QUOTE]QuarantineFile('C:\WINDOWS\TEMP\rdl3D.tmp.exe','');
[/QUOTE]
я от него до этого еле избавился и сейчас в этой папке такого файла нет, смотрю Far-ом...
[size="1"][color="#666686"][B][I]Добавлено через 37 минут[/I][/B][/color][/size]
карантин отправил
Файл сохранён как 091228_054833_virus_4b381c8117a2d.zip
Размер файла 1067368
MD5 d71ada3f8d5b99008a81cb44925a587f
Повторите логи
повторные логи
Winner ставили только посмотреть и как говорит хозяин ноута не смогли его удалить
я его уже грохнул...
Плохого не увидел
Спасибо!
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]7[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\windows\system32\netprotocol.dll - [B]Backdoor.Win32.Buterat.bu[/B][/LIST][/LIST]