Printable View
Блокируется доступ к некоторым сайтам, в частности ДрВеб, Касперский, ВИ и др. После перезагрузки вылез блокиратор-вымогатель смс. Деактивирован с помощью сервиса деактивации на ВИ.После проверки утилитой AVPTool, удалено около 40 файлов, содержащих вредоносный код (трояны, эксплоиты...)Блокировка сайтов продолжается, согласно правилам подготовил логиПомогите почистить машину.Спасибо!
[URL="http://virusinfo.info/showthread.php?t=4491"]Пофиксите[/URL] в HijackThis:
[code]
F2 - REG:system.ini: UserInit=c:\windows\system32\userinit.exe,C:\WINDOWS\system32\5be2848f.exe,C:\WINDOWS\system32\3996e890.exe,\\?\globalroot\systemroot\system32\jYaXL3V.exe,\\?\globalroot\systemroot\system32\7VaHurn.exe,
[/code]
Выполните скрипт в AVZ (AVZ, Меню Файл\Выполнить скрипт. [URL="http://virusinfo.info/showthread.php?t=7239"]Подробнее...[/URL]):
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
TerminateProcessByName('c:\documents and settings\sergey\application data\netprotocol.exe');
TerminateProcessByName('c:\windows\system32\netprotocol.exe');
SetServiceStart('Netprotocol', 4);
StopService('Netprotocol');
QuarantineFile('C:\WINDOWS\system32\servises.exe','');
QuarantineFile('C:\WINDOWS\system32\5be2848f.exe','');
QuarantineFile('C:\WINDOWS\system32\3996e890.exe','');
QuarantineFile('C:\WINDOWS\services.exe','');
QuarantineFile('C:\Documents and Settings\Sergey\msword98.exe','');
QuarantineFile('C:\WINDOWS\system32\drivers\ethwnkhu.sys','');
QuarantineFile('c:\documents and settings\sergey\application data\netprotocol.exe','');
QuarantineFile('c:\windows\system32\netprotocol.exe','');
QuarantineFile('%system32%\jYaXL3V.exe','');
QuarantineFile('%system32%\7VaHurn.exe','');
DeleteFileFile('%system32%\jYaXL3V.exe');
DeleteFileFile('%system32%\7VaHurn.exe');
DeleteFile('c:\windows\system32\netprotocol.exe');
DeleteFile('C:\Documents and Settings\Sergey\Application Data\netprotocol.exe');
DeleteFile('C:\WINDOWS\system32\drivers\ethwnkhu.sys');
DeleteFile('C:\Documents and Settings\Sergey\msword98.exe');
DeleteFile('C:\WINDOWS\services.exe');
DeleteFile('C:\WINDOWS\system32\3996e890.exe');
DeleteFile('C:\WINDOWS\system32\5be2848f.exe');
DeleteFile('C:\WINDOWS\system32\servises.exe');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','msword98');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Netprotocol');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','services');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','servises');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','servises');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','servises');
DeleteService('ethwnkhu');
DeleteService('Netprotocol');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
Executerepair(20);
RebootWindows(true);
end.
[/code]
После выполнения скрипта компьютер перезагрузится.
закачайте карантин по ссылке [B][COLOR=Red]Прислать запрошенный карантин[/COLOR][/B] в шапке Вашей темы (Приложение 3 правил).
Повторите действия, описанные в п. 1 - 3 Диагностики и новые логи прикрепите к новому сообщению.
Карантин загрузил.
Новые логи:
Выполните скрипт в AVZ (AVZ, Меню Файл\Выполнить скрипт. [URL="http://virusinfo.info/showthread.php?t=7239"]Подробнее...[/URL]):
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\WINDOWS\system32\netprotocol.dll');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
После выполнения скрипта компьютер перезагрузится.
Сделайте новый лог virusinfo_syscheck.zip
новый лог virusinfo_syscheck
В логах чисто, что с проблемой?
Рекомендую обновить:
- SP2 обновите до [URL="http://www.microsoft.com/Downloads/details.aspx?displaylang=ru&FamilyID=5b33b5a8-5e76-401f-be08-1e1555d4f3d4"]Service Pack[/URL] 3(может потребоваться активация)
!!! перед установкой Сервис Пака необходимо выгрузить антивирус, файрвол, а так же резидентные приложения типа TeaTimer (Spybot Search and Destroy) и др.);
- установите [URL="http://www.microsoft.com/rus/windows/internet-explorer/default.aspx"]Internet-Explorer 8[/URL].(даже если Вы его не используете);
- установите последние обновления системы Windows - [URL="http://www.update.microsoft.com/windowsupdate/v6/thanks.aspx?ln=ru&&thankspage=5"]здесь[/URL];
- установите [URL="http://get.adobe.com/reader/?promoid=DAFYK"]Adobe Reader 9.3[/URL] или удалите старый.
Рекомендую это отключить, если Вам не нужно для работы.
[QUOTE]>> Службы: разрешена потенциально опасная служба RemoteRegistry (Удаленный реестр)
>> Службы: разрешена потенциально опасная служба TermService (Службы терминалов)
>> Службы: разрешена потенциально опасная служба SSDPSRV (Служба обнаружения SSDP)
>> Службы: разрешена потенциально опасная служба Schedule (Планировщик заданий)
>> Службы: разрешена потенциально опасная служба mnmsrvc (NetMeeting Remote Desktop Sharing)
>> Службы: разрешена потенциально опасная служба RDSessMgr (Диспетчер сеанса справки для удаленного рабочего стола)
> Службы: обратите внимание - набор применяемых на ПК служб зависит от области применения ПК (домашний, ПК в ЛВС компании ...)!
>> Безопасность: к ПК разрешен доступ анонимного пользователя[/QUOTE]
Проблема исчезла после выполнения первого скрипта.
Спасибо большое!
Спасибо и за рекомендации, обязательно выполню. :)
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]23[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\documents and settings\sergey\application data\netprotocol.exe - [B]Backdoor.Win32.Buterat.jb[/B] ( DrWEB: Trojan.Click1.3196, AVAST4: Win32:Rootkit-gen [Rtk] )[*] c:\windows\system32\netprotocol.exe - [B]Backdoor.Win32.Buterat.jd[/B][/LIST][/LIST]