Printable View
Приветствую.
Друг получил письмо с зип файлом и рапаковал его, в результате получил сообщение на рабочий стол, с предложением установить антивирусное обеспечение... Nod 32 вер. 4800, поймал Win32/TrojanDjwnloder.FakeAlert.AED - 2 шт, JS/TrojanCliker.Agent.FK - 5 шт.
до этого стояла вер. 4545 которая всю эту дрянь пропустила...
Помогите пожалуйста.
Обновите базы AVZ!
Отключите компьютер от интернета, а также антивирус и/или файрвол.
Закройте все программы, выполните скрипт в AVZ:[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
TerminateProcessByName('c:\windows\system32\smss32.exe');
QuarantineFile('D:\autorun.inf','');
QuarantineFile('C:\WINDOWS\system32\winlogon32.exe','');
QuarantineFile('C:\WINDOWS\System32\appmgmts.dll','');
QuarantineFile('c:\windows\system32\smss32.exe','');
DeleteFile('c:\windows\system32\smss32.exe');
DeleteFile('D:\autorun.inf');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','smss32.exe');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','smss32.exe');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
ExecuteRepair(11);
ExecuteRepair(16);
RebootWindows(true);
end.[/CODE]
После выполнения скрипта компьютер перезагрузится!!!
Пришлите карантин по ссылке согласно правил [COLOR="DarkRed"][B]Прислать запрошенный карантин [/B][/COLOR]вверху темы. Сделайте новые логи по правилам
[QUOTE]UserInit=C:\WINDOWS\system32\winlogon32.exe[/QUOTE] - userinit.exe походу подменен в реестре. Посмотрите, если ли он на диске
Спасибо, сечас все сделаю, модемное соединение здесь, увы быстро скачать обнову не получается...
[size="1"][color="#666686"][B][I]Добавлено через 50 минут[/I][/B][/color][/size]
Карантин отправил, winlogon32.exe и userinit.exe присутствуют
winlogon32.exe - дата создания 02.02.10
Жаль что сегодня нет решения проблемы...
Сейчас скриптик накидаю
[size="1"][color="#666686"][B][I]Добавлено через 10 минут[/I][/B][/color][/size]
[URL="http://www.virusinfo.info/showthread.php?t=4491"]"Пофиксите"[/URL] в HijackThis
[CODE]
F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\winlogon32.exe
[/CODE]
[URL="http://virusinfo.info/showthread.php?t=7239"]В AVZ -> файл-> Выполнить скрипт[/URL]
[CODE]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
TerminateProcessByName('c:\windows\system32\smss32.exe');
QuarantineFile('c:\windows\system32\smss32.exe','');
DeleteFile('C:\WINDOWS\system32\winlogon32.exe');
DeleteFile('c:\windows\system32\smss32.exe');
BC_ImportDeletedList;
ExecuteSysClean;
ExecuteRepair(11);
BC_Activate;
RebootWindows(true);
end.
[/CODE]
Компьютер перезагрузится.
Пришлите карантин согласно правил по ссылке [B][COLOR="Red"]Прислать запрошенный карантин[/COLOR][/B].
winlogon32.exe можете не выбирать в списке карантина.
Повторите логи.
[B]light59[/B],
Спасибо... жду, вот только опробовать его смогу только завтра, я уже дома, а друг совсем не может ни чего, кроме ловли вирей.
Тогда эта статья пригодится [URL="http://virusinfo.info/showthread.php?t=30339"]http://virusinfo.info/showthread.php?t=30339[/URL].
Спасибо, завтра выполню и отпишусь.
Вроде все заработало, спасибо большое.
Карантин выслал, логи добаляю.
Это сами делали?
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = http=127.0.0.1:2080
В остальном чисто :)
[B]light59[/B],
Огромное спасибо за лечение!!!
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Int ernet Settings,ProxyServer = http=127.0.0.1:2080
А что здесь не так?
Ну если IE у вас в интернет нормально выходит, то ничего плохого в этом нет :)
[B]light59[/B],
Вобще не выходит, только через Оперу.
Можно както исправить?
пофиксите ...
[code]
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = http=127.0.0.1:2080
[/code]
Профиксил, перезагрузил, проверил... его нет, запускаю IE, не работает, проверяю, опять находит R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Int ernet Settings,ProxyServer = http=127.0.0.1:2080
пуск- панель управления - свойства обозревателя.
Закладка "Подключения" -> Кнопка "Настройка сети"
В поле Прокси сервер удалите всё и снимите галочку.
Все сделал, но IE не работает, да и фиг с ним...
Огромное спасибо за помощь, тему можно закрывать.
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]4[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\windows\system32\smss32.exe - [B]Packed.Win32.Krap.an[/B] ( DrWEB: Trojan.Fakealert.11886, BitDefender: Trojan.FakeAV.ACX, NOD32: Win32/TrojanDownloader.FakeAlert.AED trojan, AVAST4: Win32:Malware-gen )[*] c:\windows\system32\winlogon32.exe - [B]Packed.Win32.Krap.an[/B] ( DrWEB: Trojan.Fakealert.11886, BitDefender: Trojan.FakeAV.ACX, NOD32: Win32/TrojanDownloader.FakeAlert.AED trojan, AVAST4: Win32:Malware-gen )[/LIST][/LIST]