Помогите!!! i-Dialer и прочие...

Привет всем!

Windows XP Prof

Предистория: запустил keyreg.exe с диска с Nero 7... ((

Ноут корпоративный. Стоит антивирус TREND MICRO Officescan. Не отключить, т.к. запаролен. Ругнулся на keyreg, но пропустил :(((

Последствия:

1. в трее появился красный кружок с восклицательным знаком на нем и сообщением, если подводишь курсор - "Ваш компьютер может быть заражен... и т.п.". Если кликаешь - переходит на какой-то сайт с предложением установить какой-то антивирус.
Исчез после Dr.Web.

2. secure32.html - стала стартовой в IE.
Исчезла после AVG и Hijack.

3. i-Dialer. В Nework Connections появился i-Dialer. В трее временами - земной шар... хочет звонить куда-то. Убирается мышкой по "Exit", но потом появляется снова. плодятся файлы idd... . exe
Достает до сих пор ((

4. Нестабильность системы при подключении к и-нету... Винда пишет, что система рухнет через минуту и выводитя обратный отсчет... До сих пор система падает временами ((

5. система стала заметно тормозить.. ((

6. IE стал лазить на ru.errorsafe.com ((

Заранее спасибо Вам за помощь!

С уважением,
Тимофей.
/Питер.

Вопрос : если корпоративный , не лучше ли если админ будет заниматься у которого все пароли есть ? По головке то не погладят , если сами будете лечить ;) Чего там у вас только нет , аж дух захватывает ;D
P.S. Правильно Gеser говорит , офисскан фигня полная , как и нортон :)

Sys Admin в моем случае мера крайняя (он в Гамбурге сидит) и тупая весьма к тому же... они просто винт форматят и все :) + недели 2 на пересылку винта уйдет...

Если есть идеи - выслушаю с удовольствием. Попытка не пытка...
Всю важную инфу я забэкапил на всякий...

Жду помощи...
/Тим

AVZ - Файл - Выполнить скрипт:
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\raiepmxh.dll','');
QuarantineFile('C:\WINDOWS\system32\ipv6monl.dll','');
QuarantineFile('C:\WINDOWS\system32\winzgn32.dll','');
QuarantineFile('C:\WINDOWS\system32\gebba.dll','');
QuarantineFile('c:\windows\temp\or907.exe','');
DeleteFile('c:\windows\temp\or907.exe');
ExecuteSysClean;
RebootWindows(true);
end.[/code]
После перезагрузки пришлите карантин AVZ в соответствии с Приложением 2, начиная с пункта 5. Ссылка на тему: [url]http://virusinfo.info/showthread.php?t=7487[/url]

P.S. И заплатки на систему надо ставить невзирая на удалённость от админа. Скорее даже напротив - в связи с оной.

Привет!

Скрипт выполнил успешно. После перезагрузки выслал архив карантина сегодняшнего дня с указанием темы как Вы просили...

Жду дальнейших указаний.

С уважением,
Тимофей.

Присланное:
C:\WINDOWS\system32\winzgn32.dll - Trojan-Proxy.Win32.Agent (KAV)
C:\WINDOWS\system32\gebba.dll - Trojan.Virtumod (DrWeb)

Правильно ли я понял, что это два вируса, которые лечятся: первый - Касперским, второй - Dr.Web'ом?

Если да, то Dr.Web я запущу, а с Касперсим сложнее - он не установится, пока я Trend Micro не деинсталлирую.. а он запаролен у меня :(

[quote=tnepo;91050]Правильно ли я понял, что это два вируса, которые лечятся: первый - Касперским, второй - Dr.Web'ом?


Если да, то Dr.Web я запущу, а с Касперсим сложнее - он не установится, пока я Trend Micro не деинсталлирую.. а он запаролен у меня :([/quote]

не правильно :)
Это значит , они их знают . Лечить там нечего , только удалить . Это троянцы . Не рекомендуется устанавливать любой антивирус, когда у вас есть уже один в памяти . Рекомендую скачивать для контроля Cure-It и в безопасном режим загрузившись ( F8 нажимать при рестарте ) запускать его . Тогда ваш родной office scan не запуститься.

Закройте не нужные приложения ( которые можете ), интернет. Bыполните скрипт в авз . Компьютер перегрузиться .Пройдитесь для надёжности в безопасном режиме c Cure-It.
Потом сделайте ещё разок логи , для удаления остатков .
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\WINDOWS\system32\winzgn32.dll');
DeleteFile('C:\WINDOWS\system32\gebba.dll');
ExecuteSysClean;
RebootWindows(true);
end.
[/code]

[QUOTE=drongo;91053]не правильно :)
Это значит , они их знают. [/QUOTE]

... или будут знать ;-)

- выполнил скрипт в AVZ
- запустил в безопасном режиме c Cure-It. Он ничего подозрительного не нашел..

Быстродействие системы увеличилось заметно, i-Dialer и прочие нечести ПОКА не вылезают...

- сделал ещё раз логи (см. вложение)


Что делать дальше? Это конец, либо еще нужно ставить заплатки на систему?

Спасибо огромное заранее!
/Тим

Пофиксите:
[code]O2 - BHO: (no name) - {23314D99-1240-4d4f-A25C-17E44823D048} - C:\WINDOWS\system32\ipv6monl.dll (file missing)
O2 - BHO: (no name) - {7DA39570-5FD2-4f18-94B4-20730CB3F727} - C:\WINDOWS\system32\raiepmxh.dll (file missing)
O2 - BHO: (no name) - {8C51B31C-1687-40B7-989D-693878E23B05} - C:\WINDOWS\system32\gebba.dll (file missing)
O20 - Winlogon Notify: gebba - C:\WINDOWS\
O20 - Winlogon Notify: winzgn32 - winzgn32.dll (file missing)
O23 - Service: Microsoft authenticate service (MsaSvc) - Unknown owner - C:\WINDOWS\system32\msasvc.exe (file missing)
[/code]
Я ничего лишнего там не зацепил?

P.S. Заплатки, конечно же, ставить. Зачем вам дырявая система?

все написанное пофиксил HiJack'ом, как Вы сказали...
спасибо!

сложно сказать зацепили лишнего или нет...
вот поднял крышку ноута (комп вышел из Stand By), и тут же - синий экран с моментальной перезагрузкой.. к чему это?
других нареканий пока нет (тьфу x 3)..

теперь следующий вопрос назрел:
как ставить заплатки? :)

С уважением,
/Тим.

Start-> microsoft update :)

админские права есть ? Поставить обновление автоматом , самый лёгкий путь .

проделал процедуру update'а... полет нормальный...
буду смотреть на поведение системы и держать в курсе :)

Большое спасибо!
/Тим

наблюдаю за трафиком...
идет непрерывная отправка... уже 80Mb чего-то куда-то отправилось...

что это??? :O

Делайте новые логи.

Привет!

сделал новые логи. посмотрите, пожалуйста...
продолжается офигенный непрерывный траффик...

Спасибо!
/Тимофей

Подозрение на RootKit pe386 C:\WINDOWS\system32:lzx32.sys
У вас троян опять с руткитом.
С таким антивирусом не советую подключаться к интернету :)

и что же делать теперь? :embarasse

[QUOTE=tnepo;91210]и что же делать теперь? :embarasse[/QUOTE]
Ну удалить его можно, но завтра будет новый. А что делать известно.
[url]http://virusinfo.info/showthread.php?t=1431[/url] читать так же то что по ссылкам внизу статьи.