Printable View
День добрый, после лечения ПК от вируса Palevo.rmm, появилась проблема с 2-м ПК который находится в этой же сети.
Просьба помочь.
Переодически AVG показывает сообщение о том что вирус лезет в Temp. Вообщем таже история, которая уже была вот здесь
[URL]http://virusinfo.info/showthread.php?t=75026[/URL]
Скрипты не хочу пробовать те которые приводились в этой теме, так как возможно повреждения реестра.
Логи привожу
Выполнить скрипт:
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\Documents and Settings\z\DoctorWeb\Quarantine\BitAccelerator.exe');
DeleteFile('C:\RECYCLER\S-1-5-21-6598992174-3080281485-958387091-8778\winncr.exe');
DeleteFile('C:\WINDOWS\system32\msvmcls64.exe');
DeleteFile('C:\WINDOWS\ndll.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]
Прислать новые логи после перезагрузки.
Загрузить карантин по Правилам.
Спасибо. [B]PavelA
[/B] Все Сделал, как написали.
[SIZE=2]Файл сохранён как[/SIZE][SIZE=2]100406_185640_virusinfo_cure_4bbb4ba8c9e70.zip[/SIZE][SIZE=2]
Размер файла[/SIZE][SIZE=2]104273[/SIZE][SIZE=2]
MD5[/SIZE][SIZE=2]0d42857494a5f9038b5267d6bc20ca05[/SIZE]
В логах следы двух антивирусов: DrWeb, AVG. Оставьте только один
Выполните скрипт в AVZ
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\umdmgr.exe','');
DeleteFile('C:\WINDOWS\system32\umdmgr.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','035');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Winlogon','Taskman');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end. [/code]Компьютер перезагрузится.
Пришлите карантин согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы
Сделайте новые логи
Сделал.
Антивирус удалил, решил поставить Nod32.
Файл сохранён как100407_131228_virus_4bbc4c7ccfc45.zip
Размер файла104797
MD55d0e59281a0adc0595862e0f77e5dde3
Выполните скрипт в AVZ
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('F:\SRECOMOJA\nemasmalo.exe','');
QuarantineFile('F:\autorun.inf','');
DeleteFile('F:\autorun.inf');
DeleteFile('F:\SRECOMOJA\nemasmalo.exe');
DeleteFileMask('F:\SRECOMOJA', '*.*', true);
DeleteDirectory('F:\SRECOMOJA');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end. [/code]Компьютер перезагрузится.
Пришлите карантин согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы
Сделайте новые логи
Дело в том что в предыдущий раз стояла флеха и она монтировалась на F просто сейчас рядом этой флехи нет.
На сколько я понимаю,[B] thyrex[/B] этот скрипт можно не выполнять?
Флешка заражена. Подключите ее и [B]выполните скрипт[/B]
Эотот же ПК, вот добрался до него.
Логи привожу.
Извините за задержку.
Сделайте лог [url]http://virusinfo.info/showpost.php?p=493610&postcount=1[/url]
[QUOTE=thyrex;626354]Сделайте лог [URL]http://virusinfo.info/showpost.php?p=493610&postcount=1[/URL][/QUOTE]
Лог привожу.
Флешку подключали или ее уже почистили?
[URL="http://virusinfo.info/showthread.php?t=10025"]Почистите мусор[/URL]
[URL="http://virusinfo.info/showpost.php?p=500136&postcount=2"]Удалите ComboFix[/URL]
[QUOTE=thyrex;626478]Флешку подключали или ее уже почистили?
[URL="http://virusinfo.info/showthread.php?t=10025"]Почистите мусор[/URL]
[URL="http://virusinfo.info/showpost.php?p=500136&postcount=2"]Удалите ComboFix[/URL][/QUOTE]
Флешку почистил.
Остальное сделаю. Спасибо за помощь. На сколько я понимаю все ОК по логам?
Логи в порядке
[QUOTE=thyrex;626508]Логи в порядке[/QUOTE]
[SIZE=2]
По деинсталяции [B] Combofix не чего не получилось. пишет что такой команды нет. Это не страшно?
Ещё вопрос, как лучше уберегти себя от таких вот вирусов?
Может быть есть совет с антивирусом (пока что поставил IKARUS ) + Брандмауер ?
Ещё раз спасибо за потраченное время!
[/B][/SIZE]
Нет команды [B]Combofix /Uninstall[/B] ???
[QUOTE=thyrex;626535]Нет команды [B]Combofix /Uninstall[/B] ???[/QUOTE]
Извиняйте. возможно не правильно ввел команду. так как на 2-м ПК где также ставил Combofix, все нормально деинсталировал.
Завтра попробую ещё раз удалить. Если что я отпишу.
Ещё раз спасибо!
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]4[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\windows\system32\umdmgr.exe - [B]P2P-Worm.Win32.Palevo.aaos[/B] ( DrWEB: Trojan.MulDrop1.11256, BitDefender: Trojan.Agent.APED, AVAST4: Win32:Malware-gen )[/LIST][/LIST]