Printable View
Добрый день.
Поймал надоедливый банер сегодня.
Симптомы те же.Банер,выключение при обращении к AVZ Hijackthis.Антивирус молчит.Инет тоже.
Проверил Rescure Disk'ом все.Поймал трояна.Удалил.
Запустил заново.Банер исчез.Но все остальные симтомы остались.
Единственное что смог сделать лог Hijack.
Далее не знаю как быть.
Help!
Попробуй профиксить:
[CODE]F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,\\?\globalroot\systemroot\system32\X9IBkBd.exe,\\?\globalroot\systemroot\system32\d06dZY4.exe,
O20 - AppInit_DLLs: C:\WINDOWS\system32\nesnhmv.dll[/CODE]
Если не получится, то загрузившись с ЛайвСД вычисти ключ AppInit_DLLs
Вот эту троицу переместите в отдельную папочку, запакуйте в zip с паролем [I]virus[/I] и пришлите по красной ссылке вверху темы:
[B]C:\WINDOWS\system32\d06dZY4.exe
C:\WINDOWS\system32\X9IBkBd.exe
C:\WINDOWS\system32\nesnhmv.dll[/B]
После перемещения перезагрузитесь, если AVZ заработает - сделайте логи.
[B]PavelA[/B],
Пофиксил.Лог прилагаю. Симптомы те же остались.
[B]Bratez[/B],
Не получилось.При любом действии над файлом происходит попытка запуска.Окно с порнухой появляется на секунду и исчезает.
Значит путь один: лечиться через ЛайвСД.
Прошу прощения за самодеятельность.Попытался запустить combofix-теперь банер снова появился
Попробуйте так
Запустите [URL="http://virusinfo.info/showthread.php?t=40118"]Gmer[/URL] (в безопасном режиме), вкладка "[B]>>>[/B]" - появится расширенное меню, затем вкладка [B]Registry[/B], найдите в ветке
[CODE]HKEY_LOCALE_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows
[/CODE]
параметр
[CODE]AppInit_DLLs
[/CODE]Содержимое этого параметра (в логе HiJack сейчас такое C:\WINDOWS\Cursors\no_m.cur:exaSnrGYA9hVgWexphkf) напишите в своем сообщении и очистите его значение, сохраните изменения - кнопка [B]Save...[/B], попробуйте загрузиться в обычном режиме и сделать логи по правилам
ERD вычистил AppInit_DLLs
Параметр был следующим:
C:\WINDOWS\Cursors\no_m.cur:exaSnrGYA9hVgWexphkf
Avz запустился.Логи прилагаю.
Выполните скрипт в AVZ
[code]begin
ExecuteRepair(6);
ExecuteRepair(11);
ExecuteRepair(17);
ExecuteRepair(20);
RegKeyIntParamWrite('HKLM', 'SOFTWARE\Microsoft\Windows\CurrentVersion\policies\NonEnum', '{BDEADF00-C265-11D0-BCED-00A0C90AB50F}', 1);
RebootWindows(true);
end. [/code]Компьютер перезагрузится.
Сделайте новые логи + лог [url]http://virusinfo.info/showpost.php?p=493610&postcount=1[/url]
Пожалуйста.
- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/URL]
[CODE]
begin
QuarantineFile('C:\DOCUME~1\Admin\LOCALS~1\Temp\mbr.sys','');
QuarantineFile('c:\windows\ssndii.exe','');
ExecuteWizard('TSW', 2, 2, true);
ExecuteWizard('SCU', 2, 2, true);
RegKeyIntParamWrite('HKLM','SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer','NoDriveTypeAutoRun', 221);
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
RebootWindows(true);
end.[/CODE]
После перезагрузки:
- Файл [B][COLOR="Red"]quarantine.zip[/COLOR][/B] из папки AVZ загрузите по ссылке [B][COLOR="Red"]Прислать запрошенный карантин[/COLOR][/B] вверху темы
Скопируйте текст ниже в блокнот и сохраните как файл с названием CFScript.txt на рабочий стол.
[CODE]KillAll::
File::
c:\windows\system32\qldlp.dll
c:\windows\system32\vg.dll
c:\windows\system32\edwo.dll
c:\windows\system32\fjbxl.dll
Driver::
Folder::
Registry::
FileLook::
DirLook::[/CODE]
После сохранения переместите CFScript.txt на пиктограмму ComboFix.exe.
[IMG]http://i076.radikal.ru/1003/e5/554faea12baf.gif[/IMG]
- Когда сохранится новый отчет ComboFix.txt, прикрепите его к сообщению.
- Сделайте повторный лог virusinfo_syscheck.zip;
Логи
[URL="http://virusinfo.info/showpost.php?p=500136&postcount=2"]Удалите ComboFix[/URL]
1.Закройте все открытые приложения, кроме АVZ и Internet Explorer.
Отключите
- ПК от интернета/локалки
- [B][COLOR="Red"]Обязательно!!! Системное восстановление!!![/COLOR][/B][URL="http://virusinfo.info/pravila_old.html"] как- посмотреть можно тут[/URL]
- Выгрузите антивирус и/или Файрвол
- Закройте все программы
- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/URL]
[CODE]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFileMask(GetAVZDirectory + 'Quarantine', '*.*', true);
DeleteFile('C:\DOCUME~1\Admin\LOCALS~1\Temp\mbr.sys');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]
После перезагрузки:
- Сделайте повторный лог virusinfo_syscheck.zip; hijackthis.log)
Пожалуйста.
еще что-нибудь беспокоит?
Нет,кажется одолели супостата.
Большое вам человеческое спасибо ! :)
обновите систему
- Установите [URL="http://www.microsoft.com/rus/windows/internet-explorer/default.aspx"]Internet-Explorer 8[/URL].(даже если Вы его не используете)
- Поставте все последние обновления системы Windows - [URL="http://www.update.microsoft.com"]тут[/URL]
- Обновите [URL="http://www.java.com/ru/download/manual.jsp"]Java [/URL].
Done!
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]1[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]