Printable View
Здравствуйте.
Не открываются сайты антивирусов, virusinfo.info в томже числе(пишу из под никса), сканирование drweb, kav, avz ничего не находит, кроме -
[B]"[/B][B][B]Обнаружен статический маршрут к сайту производителя антивируса"
[/B][/B]Прошу совета.
Вот логи.
AVZ Файл - восст. системы -- п.20 отметить и выполнить
Выполнил. Сайты антивирусов стали доступны.
Только при перепроверке avz пишет
">> Опасно ! Обнаружена маскировка процессов"
Что-то может значить или это уже другой вопрос?
Установить AVZPM. Перезагрузиться и выполнить скрипт станд. №2
Лог прислать.
Вот лог
Придется логи по полной программе делать. И только без запущенного Куреита.
вот логи заново
В реестре из
HKEY_CURRENT_USER, Software\Microsoft\Windows NT\CurrentVersion\Winlogon, Shell
удалить упоминание об svchost.exe
Из файла: C:\WINDOWS\system.ini, boot, shell удалить упоминание об svchost.exe
Выполнить скрипт:
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\DOCUME~1\Admin\LOCALS~1\Temp\RarSFX0\3vn5xxp.exe','');
DeleteFile('C:\DOCUME~1\Admin\LOCALS~1\Temp\RarSFX0\3vn5xxp.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]
Прислать карантин по Правилам.
Повторить логи.
Из реестра удалил.
В system.ini упоминание об svchost.exe нет, только
[CODE]; for 16-bit app support
[drivers]
wave=mmdrv.dll
timer=timer.drv
[mci]
[driver32]
[386enh]
woafont=app866.FON
EGA80WOA.FON=EGA80866.FON
EGA40WOA.FON=EGA40866.FON
CGA80WOA.FON=CGA80866.FON
CGA40WOA.FON=CGA40866.FON
[/CODE]Скрипт выполнил, карантин прислан. Вот логи
В реестре из
HKEY_CURRENT_USER, Software\Microsoft\Windows NT\CurrentVersion\Winlogon, Shell
удалить упоминание об svchost.exe
Из файла: C:\WINDOWS\system.ini, boot, shell удалить упоминание об svchost.exe
Все осталось по мнению AVZ.
ключ из реестра:
HKEY_CURRENT_USER, Software\Microsoft\Windows NT\CurrentVersion\Winlogon, Shell
пришли.
Перепроверил вот что есть
[CODE]Windows Registry Editor Version 5.00
[HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Winlogon]
"ParseAutoexec"="1"
"ExcludeProfileDirs"="Local Settings;Temporary Internet Files;History;Temp"
"BuildNumber"=dword:00000a28
"shell"="C:\\Aston\\ShellSwp.exe"
[/CODE]после перезагрузки снова дописывается ", svchost.exe"
[CODE]Windows Registry Editor Version 5.00
[HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Winlogon]
"ParseAutoexec"="1"
"ExcludeProfileDirs"="Local Settings;Temporary Internet Files;History;Temp"
"BuildNumber"=dword:00000a28
"shell"="C:\\Aston\\ShellSwp.exe ,svchost.exe"
[/CODE]
В общем я думаю изначальная проблема доступа к сайтам антивируса решена, а это уже остатки умершего explorer.exe, который не стартует и поэтому стоит Aston. Винда всёравно под снос в ближайшее время.
'C:\WINDOWS\system32\DRIVERS\tcpip.sys' - я бы вот этот файл проверил, если сами его не патчили.
Нет, его не трогал. Проверить чем? или в смысле прислать?
Да, прислать через карантин AVZ
прислал
Файл чистый. Более ничего плохого не вижу.
если есть желание бороться дальше, то позову коллег, чтобы
что-нибудь посоветовали.
Не стоит, винде дорога под формат, спасибо за помощь!
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]2[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]