Printable View
Заблокирован диспечер задач, реестр, безопасный режим. Сетевая активность... При форматировании флешки появляються файлы... (fctf в отчете)?
Drweb? Kav? не определяют ничего...
AVZ разблокирует диспечер задач на 1-2 секунды... Потом все повторяется! Помогите.
:clapping:
выполните скрипт
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\virus\fctf.exe','');
DeleteFile('C:\virus\fctf.exe');
ExecuteRepair(17);
ExecuteRepair(11);
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
пришлите карантин согласно приложения 3 правил
повторите логи
карантин выслан
[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]
Файл 'C:\virus\fctf.exe' был записан специально с флешки для определения вируса. DrWeb и KAV его не определяют.
[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]
взят из [URL]http://virusinfo.info/showthread.php?t=74852[/URL]
[size="1"][color="#666686"][B][I]Добавлено через 4 минуты[/I][/B][/color][/size]
Очень интересное поведение вируса.
AVZ.exe не запускается. Запускается если переменовать avz.exe в копию.exe . Любое упоминание AVZ или не запускатся или полностью подвешивает систему (ждали 10 минут и больше). Видно вирус очень любит AVZ.
Копирование файла карантина также приводит к завешиванию.
Удалось только сделать архив с другим именем всего каталога и потом уже переписать...
файл fctf конечно же удален с помощью скрипта.
[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]
логи к сожаленью очень долго делаются....
обновление не скачать - интернет на машине заблокирован...
Замените файл C:\WINDOWS\system32\ctfmon.exe на чистый из дистрибутива. Как заменить [можно посмотретьURL="http://virusinfo.info/showthread.php?t=51654"]тут[/URL]
[QUOTE=PlotnikovVN;612889]
логи к сожаленью очень долго делаются....
[/QUOTE]
Их все же надо сделать!!!
+ к [B]polword[/B]
Поймали новую модификацию Sality
файл заменяю...
логи делаются
а как лечить?
кстати такая ситуация уже больше чем 20 ком...
хотя мой компьютер изначально был отключен от сети
на всех 20-30 делать логи?
[size="1"][color="#666686"][B][I]Добавлено через 6 минут[/I][/B][/color][/size]
размер файла отличался в 6 раз
[QUOTE='PlotnikovVN;612974']файл заменяю...[/QUOTE]Скорее всего это ненадолго, потому что
[QUOTE='thyrex;612936']Поймали новую модификацию Sality[/QUOTE]Это типичный представитель файловых вирусов. И лечить нужно [B]всю систему[/B] после того как будет добавлен детект основными вендорами
Dr.Web добавил лечение этого вируса: Win32.Sector.21
Да. Drweb добавил эту сигнатуру после нашего официального обращения в службу техподдержки...
Дата / время 30.03 17:21:15
Кто Дмитрий Цхяев
Действие, Статус запроса Доп. информация, Ожидание ответа пользователя
Информация
Добавлен в базы с сигнатурой Win32.Sector.21
В течении ближайших нескольких часов обновленные базы с этой сигнатурой станут доступны.
--
С уважением,
Дмитрий Цхяев.
Cлужба технической поддержки компании "Доктор Веб".
Но к сожленью, до сих пор они не могут найти лекарство от этого.
Пораженные машины не лечатся, но хорошо то что на чистых машинах данный вирус убивается. Распространение остановлено.
Пораженные машины - только полная переустановка!!!
[QUOTE='PlotnikovVN;615239']Пораженные машины не лечатся[/QUOTE]Сами по себе они не вылечатся. Надо запускать полное сканирование. Как лечить файловый вируc: [url]http://virusinfo.info/showthread.php?t=15927[/url]
Симптомы пораженных машин: заблокированы Диспечер задач, реестр, безопасный режим. Сетевая активность (ПО Трафик инспектор блокирует выход в интернет с этих машин). После лечения с новыми сигнатурами от Drweb больше половины exe-ков не работает (полностью поражен офис...). При восстановлении блокировок с помощью AVZ все работает относительно нормально. Но при попытке запустить "вылеченный" exe - DrWeb cрабатывает, но тут же поражается сам.
И опять "сетевая активность" и логи в консоле управления.
Пытались посылать данные файла на анализ - ответ, что это уже "вылеченные" и опасности не представляют.
При перезагрузке активности вируса не наблюдается. Но нормальной работы нет. При запуске "пораженного" ехе - все повторяется. При попытке переустановить ПО - также... Часть дистрибутивов в сети поражено - тупо не запускаются (и имеют дату от 30.03 до 01-02.04. - попытки лечения. Похоже Drweb лечит Sector.21 как проявление другого вируса.
Часть машин уже переустановили, но пару оставили на эксперементы (сами ищем проявление и общение с тех. поддержкой DrWeb). Надо все-таки найти заразу.
[size="1"][color="#666686"][B][I]Добавлено через 4 минуты[/I][/B][/color][/size]
[QUOTE=AndreyKa;615242]Сами по себе они не вылечатся. Надо запускать полное сканирование. Как лечить файловый вируc: [URL]http://virusinfo.info/showthread.php?t=15927[/URL][/QUOTE]
Лечились и запуском с чистого CD (nht-team LiveCD и и LiveCD Drweb).
Специально для нас формировали CureNet, но к сожаленью без успешно.
Последнн сообщение Drweb:
[B]Дата / время[/B]10:05:33[B]Кто[/B]Дмитрий Цхяев[B]Действие, Статус запроса[/B]Изменение статуса, Ожидание ответа разработчиков[B]Информация[/B]Да. runxmlpl.exe - явно вредоносный. Файлы переданы в службу вирусного мониторинга. Ожидаем резюме.
--
С уважением,
Дмитрий Цхяев.
Cлужба технической поддержки компании "Доктор Веб".
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]2[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\virus\fctf.exe - [B]Virus.Win32.Sality.ag[/B] ( DrWEB: Win32.Sector.21, BitDefender: Win32.Sality.3, NOD32: Win32/Sality.NBA virus, AVAST4: Win32:Sality )[*] c:\windows\system32\ctfmon.exe - [B]Trojan.Win32.Vilsel.aael[/B] ( DrWEB: Win32.Sector.21, BitDefender: Win32.Sality.3, NOD32: Win32/Sality.NBA virus, AVAST4: Win32:Sality )[/LIST][/LIST]