Здравствуйте.
Прошу помочь с решением проблемы.
При отключении от сети процесс services.exe загружает процессор под 100%. В таком случае вроде бы удается убрать из системы ave.exe (ave.exe можно убрать из автозагрузки, перестают появляться всплывающие окна после перезагрузки)
При подключении к сети services.exe перестает сильно нагружать процессор, но вновь появляется ave.exe и постоянно выскакивают всплывающие окна.
Возможно заражен cdrom.sys и пр.
выполните скрипт
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\Documents and Settings\Андрей\wuaucldt.exe','');
QuarantineFile('C:\WINDOWS\system32\regedit.exe','');
QuarantineFile('C:\WINDOWS\system32\DRIVERS\cdrom.sys','');
QuarantineFile('c:\documents and settings\Андрей\local settings\application data\ave.exe','');
DeleteFile('c:\documents and settings\Андрей\local settings\application data\ave.exe');
ExecuteRepair(1);
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
пришлите карантин согласно приложения 3 правил
повторите логи
При выполнении скрипта при перезагрузке всплывающие окна отсутствуют. Прилагаю свежие отчеты.
Меня настораживают в отчете hijack строки
O4 - HKLM\..\Run: [Regedit32] C:\WINDOWS\system32\regedit.exe
O18 - Protocol: AutorunsDisabled - (no CLSID) - (no file)
Пришлите карантин по ссылке согласно правил [COLOR="DarkRed"][B]Прислать запрошенный карантин[/B][/COLOR] вверху темы.
Высылаю карантин
читаем приложение 3 правил
выслал повторно
Пофиксите в Hijack
[CODE]O18 - Protocol: AutorunsDisabled - (no CLSID) - (no file)[/CODE]
Выполните скрипт в AVZ
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\regedit.exe','');
DeleteFile('C:\WINDOWS\system32\regedit.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Regedit32');
DeleteFile('C:\Documents and Settings\Андрей\wuaucldt.exe');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end. [/code]Компьютер перезагрузится.
Пришлите карантин согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы
Сделайте новые логи
Скрипт выполнил. Карантин закачал. Отчеты прикладываю.
Пофиксить с помощью hijack строку
[FONT=monospace]O18 - Protocol: AutorunsDisabled - (no CLSID) - (no file)[/FONT]
не удается - строка никуда не пропадает.
Есть подозрительные файлы
C:\Documents and Settings\Андрей\Local Settings\Temp\RarSFX1\jpylwxp.exe
C:\Documents and Settings\Андрей\Local Settings\Temp\RarSFX2\jpylwxp.exe
..
Comodo на них ругался, удалить вручную не удается, т.к. чем-то используются.
[QUOTE='Andrew111;626917']Есть подозрительные файлы[/QUOTE]CureIt пользовались? Скорее всего его хвосты. Удалите ручками
Пофиксите в HiJack
[CODE]O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel present[/CODE]
[QUOTE='Andrew111;626917']Пофиксить с помощью hijack строку
O18 - Protocol: AutorunsDisabled - (no CLSID) - (no file)
не удается - строка никуда не пропадает.[/QUOTE]Проверьте ветку реестра [B]HKEY_LOCALE_MACHINE\SOFTWARE\Classes\PROTOCOLS[/B] на наличие AutorunsDisabled и удалите соответствующую запись
CureIT использовал - с ним возникли проблемы: доходя до файла [B]acpiec.sys[/B] компьютер постоянно зависал (с чем может быть связано?), и помогала только кнопка power.
К данному моменту указанные ранее файлы ..\Temp\RarSFX1\jpylwxp.exe удалось удалить вручную.
Пофиксил в HiJack
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel present
Вручную удалил из реестра AutorunsDisabled, больше в отчете hijack он не появляется.
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]6[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\documents and settings\андрей\local settings\application data\ave.exe - [B]Trojan.Win32.FraudPack.asxt[/B] ( DrWEB: Trojan.Fakealert.14907, BitDefender: Gen:Variant.TDss.18, AVAST4: Win32:Rootkit-gen [Rtk] )[*] c:\documents and settings\андрей\wuaucldt.exe - [B]Backdoor.Win32.HareBot.bdf[/B] ( DrWEB: Trojan.MulDrop1.15734, BitDefender: Trojan.Downloader.Bredolab.DZ, AVAST4: Win32:Rootkit-gen [Rtk] )[/LIST][/LIST]