Подчистить последствия вирусов

Printable View

18.01.2010, 16:39
Lqaz

Подчистить последствия вирусов

На ПК проверял на вирусы. Вновь установленный в систему AVPTool нашел несколько троянов, убил их. Нашел AutoRun какой то неубиваемый. Что-то долго чистил его. После перезагрузки опять стали появлятьс в корне С неубиваемые папки и ссылки. Прошелся в защищенном режиме CureIT. Убилась кучка троянов.
Загрузился с WinLiveCD. Прошелся AVPTool. Наконец то он все е убил AutoRun.

Загрузился в защищенном режиме. Сделал логи.
Нашел в msconfig строку автозапуска библиотеки NvCpl64.dll (при запуске Пк ругался, что такой файл отсутствует), убрал галочку, нашел строку автозапуска C:\windows\system32\A96014\454B34.exe убрал галку с него.

В папке system32 есть скрытые папки A96014, 7454B3 и DE1545. По размеру они не пустые.
Но на ПК не показываются системные файлы (скрытые показываются), AVZ в этот помочь не смог.
Выкладываю логи с защищенного режима.
18.01.2010, 16:41
Lqaz

Выкладываю также логи с нормального режима.
19.01.2010, 14:58
Lqaz

Прошу помощи. Неужели все заняты? ;)

[size="1"][color="#666686"][B][I]Добавлено через 4 часа 18 минут[/I][/B][/color][/size]

Гуру! Помогите плиз, почти сутки жду ответа, ПК выключен.

[size="1"][color="#666686"][B][I]Добавлено через 3 часа 18 минут[/I][/B][/color][/size]

Неужели так никто и не поможет?
19.01.2010, 15:18
DefesT

[URL="http://virusinfo.info/showthread.php?t=4491"]Пофиксите[/URL] в Hijackthis:[CODE]R3 - URLSearchHook: (no name) - - (no file)
O2 - BHO: Thunder5BHO - {00000231-1000-0010-8000-00AA006D2EA4} - C:\WINDOWS\system32\WinXP.bmp (file missing)
O2 - BHO: MS Media Module - {2AA3938C-7F43-43C6-B6A4-87572B678596} - %APPDATA%\msmedia.dll (file missing)
O2 - BHO: (no name) - {88888888-8888-8888-8888-888888888888} - (no file)
O20 - AppInit_DLLs: C:\WINDOWS\system32\IPv6.dll[/CODE]
Отключите компьютер от интернета, а также антивирус и/или файрвол.
Закройте все программы, выполните скрипт в AVZ:[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\Documents and Settings\Anna\Application Data\msmedia.dll','');
DelBHO('{2AA3938C-7F43-43C6-B6A4-87572B678596}');
QuarantineFile('C:\WINDOWS\system32\WinXP.bmp','');
QuarantineFile('C:\WINDOWS\system32\cryptnet21.dll','');
QuarantineFile('C:\WINDOWS\system32\IPv6.dll','');
QuarantineFile('C:\WINDOWS\system32\NvCpl64.dll','');
QuarantineFile('C:\WINDOWS\system32\A96014\454B34.EXE','');
DeleteFile('C:\WINDOWS\system32\A96014\454B34.EXE');
DeleteFile('C:\WINDOWS\system32\IPv6.dll');
DeleteFile('C:\WINDOWS\system32\WinXP.bmp');
DeleteFile('C:\Documents and Settings\Anna\Application Data\msmedia.dll');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]
После выполнения скрипта компьютер перезагрузится!!!
Пришлите карантин по ссылке согласно правил [COLOR="DarkRed"][B]Прислать запрошенный карантин [/B][/COLOR]вверху темы. Сделайте новые логи по правилам
19.01.2010, 15:36
Lqaz

Спасибо большое. Завтра на работе проверю....
21.01.2010, 17:24
Lqaz

Выполнил все.
Выкладываю логи и карантин.
Библиотеку C:\WINDOWS\system32\cryptnet21.dll я вроде убил.
22.01.2010, 05:43
Lqaz

Гуру! Посмотрите -есть там еще что-нибудь или нет?
22.01.2010, 19:09
Lqaz

Ребят! Ну за сутки то кто-нибудь, хоть посмотрите...
23.01.2010, 08:16
Lqaz

Неужели никто не поможет?
23.01.2010, 11:52
PavelA

C:\WINDOWS\system32\cryptnet21.dll -Backdoor.Win32.Agent.tpr
Выполнить скрипт:
[CODE]begin
SetAVZGuardStatus(True);
SearchRootkit(true, true);
BC_DeleteFile('C:\WINDOWS\system32\cryptnet21.dll');
BC_Activate;
RebootWindows(true);
end.[/CODE]
Логи повторить.
после лечения надо СП3 ставить.

З.Ы. Аврал у нас тут, да еще и выходные. Мы же здесь добровольно работает, а кроме этого д...ма есть еще работа,дом семья.
23.01.2010, 14:33
Lqaz

Ок. Спасибо! Понимаю.....
25.01.2010, 14:50
Lqaz

Выполнил.
Логи прикладываю.
26.01.2010, 20:02
Lqaz

Осталась там какая нить зараза?
27.01.2010, 13:41
DefesT

Ничего плохого.
[QUOTE]Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)[/QUOTE]
Рекомендуется установить [B]Service Pack 3[/B] с последними обновлениями (может потребоваться активация!), также обновите Internet Explorer до 8 версии.
27.01.2010, 19:51
Lqaz

ОК.
Спасибо....
Убедительная просьба-кто знает где можно гарантированно скачивать отдельно все выходящие обновления Microsoft? Т.к. не все организации богатые, чтобы каждую машину обновлять через Инет.
(если это оффтоп, то сорри!)
28.01.2010, 05:30
pig

Я беру здесь: [url]http://www.microsoft.com/technet/security/current.aspx[/url]
Для организаций лучше [url=http://technet.microsoft.com/ru-ru/wsus/default(en-us).aspx]WSUS[/url] поднять.
28.01.2010, 12:22
Lqaz

Спасибо.
А WSUS будет работать не в домене?
Есть ли где нибудь почитать о нем по русски нормально? На родном сайте только одна статья на русском и то убогая.
Нашел на Ру-боард обсудение. Ужаснуло то, что у WSUS делается база двухзыкова и обновления на ось могут достигать более десятки гиг. С нашими скоростями я такое не выкачаю. А если на платном тарифе, то оставлю организации банкротами.
28.01.2010, 16:30
pig

Можно выбрать по минимуму - только критические обновления и обновления безопасности. И не закачивать их все автоматом, а руками одобрять подходящее.

Вне домена - работает.
29.01.2010, 16:30
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]26[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\windows\system32\cryptnet21.dll - [B]Backdoor.Win32.Agent.tpr[/B] ( DrWEB: Trojan.DownLoad.38431, BitDefender: Trojan.Agent.7274, NOD32: Win32/AutoRun.IY worm, AVAST4: Win32:Trojan-gen )[/LIST][/LIST]