Printable View
Здравствуйте! Такая проблема: после запуска кипера он сам отключается примерно через 5 сек. На форуме вебмени сказали, что скорее всего у меня вирус. Но я ничего найти не могу. Логи прикрепляю.
И еще, спайбот и MBAM файл webmoney.exe определяет как вирус.
В AVZ выполните скрипт:
[code]
begin
SetAVZGuardStatus(True);
SetAVZPMStatus(True);
QuarantineFile('C:\Program Files\WebMoney Advisor\tbhelper.dll','');
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1001', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 1);
BC_ImportQuarantineList;
BC_Activate;
RebootWindows(true);
end.
[/code]
После перезагрузки
[code]
begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.
[/code]
Пришлите карантин quarantine.zip по красной ссылке Прислать запрошенный карантин вверху темы
172.22.1.5 172.22.1.1 - это знакомые вам ай пи адреса?
Скрипты выполнены. Карантин отправлен.
Про ай пи адреса не могу ничего сказать. У меня другой совсем ай пи.
P.S. Еще меня смущает процесс wuauclt.exe, который появляется в диспетчере сразу после запуска компьютера (и всегда вместе с процессом wmiprvse.exe). Может это нормально?
Пофиксите в HiJackThis строчку:
[CODE]O17 - HKLM\System\CCS\Services\Tcpip\..\{526CBF02-6188-480C-8849-C60AAD2CFD84}: NameServer = 172.22.1.5 172.22.1.1[/CODE]
насчет файла в карантине немного подождите.
[QUOTE=миднайт;606826]Пофиксите в HiJackThis строчку:
[CODE]O17 - HKLM\System\CCS\Services\Tcpip\..\{526CBF02-6188-480C-8849-C60AAD2CFD84}: NameServer = 172.22.1.5 172.22.1.1[/CODE]
[/QUOTE]
Готово. (Правда, при отключенном соединении с интерентом не нашлась такая строчка, а когдаснова был подключен, то все появилось и пофиксилось:))
На всякий случай базу откатов hijackthis (backups) не удаляйте.
[QUOTE=миднайт;606839]На всякий случай базу откатов hijackthis (backups) не удаляйте.[/QUOTE]
Хорошо.
Теперь будем ждать анализ карантина...
[size="1"][color="#666686"][B][I]Добавлено через 7 часов 13 минут[/I][/B][/color][/size]
Пришлось сделать откат, так как после перезагрузки пропало подключение по локальной сети (((
Ок. Видимо это ваши ip. Извиняюсь просмотрел момент, файл C:\Program Files\WebMoney Advisor\tbhelper.dll в карантин не попал. Заархивируйте его вручную в zip архив с паролем virus и пришлите по красной ссылке. Сможите?
Готово. архив отправлен.
Спасибо :)
Сейчас ситуация с webmoney такая же?
С webmoney все то же самое (((
Повторите лог virusinfo_syscheck.zip
Сделайте лог [url=http://virusinfo.info/showthread.php?t=53070]MBAM[/url]
Логи сделаны:
Ничего явного не видно. Отключите защитное ПО. Выполните скрипт:
[CODE]begin
SetAVZGuardStatus(True);
DeleteFileMask(GetAVZDirectory+'Quarantine', '*.*', true);
QuarantineFile('C:\WINDOWS\system32\sfcfiles.dll','');
QuarantineFile('C:\Program Files\WebMoney\WebMoney.exe','');
BC_ImportAll;
BC_Activate;
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 1);
RebootWindows(true);
end.[/CODE]
После перезагрузки
[code]
begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.
[/code]
Пришлите карантин quarantine.zip по красной ссылке Прислать запрошенный карантин вверху темы
Скрипт выполнен. Карантин отправлен.
Файлы чистые. Попробуйте переустановить webmoney
Спасибо.
Webmoney и после переустановки работает так же, точнее не работает (((
Можете вспомнить момент после которого это началось? Возможно был установлен какой то софт? Сделаем еще дополнительно логи.
сделайте лог [url=http://virusinfo.info/showthread.php?t=40118]Gmer[/url]
Сделайте лог [url=http://virusinfo.info/showthread.php?t=59446]GSI[/url]
Это началось после того как я переустановила Windows. Логи сделаю.
Спасибо за то, что столько возитесь со мной )))
Логи сделаны.
Ссылка на отчет - [url]http://www.getsysteminfo.com/read.php?file=e7a65124797df00159c4f858dec20ae6[/url]