Printable View
АВ Avira AntiVir был обнаружен TR/Agent.atk.11 [trojan], излечить не смог, остались действия тройна.
Пострадавший утверждает, что теперь проблематично зайти в социальные сети.
На компьютере был случайно запущен файл 466892.scr (имеет иконку картинки)
В списке процессов подозрительный svcgoost.exe
C:\WINDOWS\system32\drivers\etc\hosts стал скрытым и появился hosts.bak
При попытки отобразить скрытые файлы, они снова становились скрытыми.
После остановки svcgoost.exe скрытые файл теперь видны.
[b]Отключите службу восстановления системы[/b] (см. Приложение 1 Правил).
Закройте все программы. Запустите AVZ.
Выполните скрипт через меню Файл:
[code]begin
SetAVZGuardStatus(True);
ExecuteRepair(13);
ExecuteWizard('TSW', 2, 2, true);
QuarantineFile('fefs.ojo','');
DeleteFile('fefs.ojo');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run-','ATI Helper');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]
Компьютер перезагрузится.
Пришлите карантин через ссылку [b][color=red]Прислать запрошенный карантин [/color][/b] вверху темы, как написано в приложении 3 Правил.
Обновите базы AVZ.
Сделайте новый лог по пункту 2 Диагностики (virusinfo_syscheck.zip) и приложите к этой теме.
Логи прикрепил, а карантин не получилось прислать(какие-то проблемы с отправкой).
в логе чисто. Еще что-нибудь беспокоит?
В каталоге C:\WINDOWS\system32\drivers\etc два файла hosts и hosts.bak. Раньше был только один. В hosts удалил все лишнее, осталось 127.0.0.1 localhost
а файл hosts.bak должен там быть?
[QUOTE='Steve;644942']а файл hosts.bak должен там быть?[/QUOTE]Удалите
Отправил карантин
Файл сохранён как 100527_214200_virus_4bfeaee862e29.zip
Размер файла 6199998
MD5 fa4e5da9791928f30955c1eb62d7755b
Если можно, объясните пожалуйста что это за троян был и что он делал?
А в карантине есть что-нибудь?
Есть. Файл C:\WINDOWS\system32\fefs.ojo AntiVir должен детектировать как TR/Oficla.R
Да. АВ выдал TR/Oficla.R и поместил в карантин. Файл проверил отдельно. Странно, а полная проверка пропустила файл.
[size="1"][color="#666686"][B][I]Добавлено через 7 минут[/I][/B][/color][/size]
Вроде бы все. Если больше ничего подозрительного нет, то вопрос решен.
Спасибо всем большое за помощь.
Осталось обновить систему
- SP2 обновите до [URL="http://www.microsoft.com/Downloads/details.aspx?displaylang=ru&FamilyID=5b33b5a8-5e76-401f-be08-1e1555d4f3d4"]Service Pack 3[/URL](может потребоваться активация)
[B]*[/B] Перед установкой Сервис Пака необходимо выгрузить антивирус, файрвол, а так же резидентные приложения типа TeaTimer (Spybot Search and Destroy) и др.)
- Установите [URL="http://www.microsoft.com/rus/windows/internet-explorer/default.aspx"]Internet-Explorer 8[/URL].(даже если Вы его не используете)
- Поставте все последние обновления системы Windows - [URL="http://www.update.microsoft.com"]тут[/URL]
- Обновите [URL="http://www.java.com/ru/download/manual.jsp"]Java [/URL].
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]2[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\windows\system32\fefs.ojo - [B]Trojan.Win32.Agent.edrm[/B] ( BitDefender: Gen:Variant.Oficla.2, NOD32: Win32/Oficla.HH trojan, AVAST4: Win32:Malware-gen )[/LIST][/LIST]