Printable View
Выполнил следующие действия:
1. Загрузитесь в безопасном режиме с поддержкой командной строки
2. Подправил, удалив из ключа Shell имя файла "c:\programm files\Microsoft\Shared\mssoft.exe". Баннер ушел.
3. Запуск программ возможен только: "Запуск от имени..." и свой пользователь
4. Логи прилагаю
Читаем правила внимательнее, карантин - [B]virusinfo_cure.zip[/B] убираем отсюда и прикрепляем лог virusinfo_[B]sys[/B]cure.zip + [QUOTE]Внимание !!! База поcледний раз обновлялась 31.05.2010 необходимо обновить базы при помощи автоматического обновления (Файл/Обновление баз)[/QUOTE]
Обновляемся. Сообщите когда приложите логи с обновлёнными базами, в логах АВЗ с устаревшими базами.
Исправил
Что-то не то делаете, смотрю логи, а там - [QUOTE]Внимание !!! База поcледний раз обновлялась 31.05.2010 необходимо обновить базы при помощи автоматического обновления (Файл/Обновление баз)[/QUOTE]. Давайте так - Программа АВЗ - Файл - Обновление баз. Дальше думаю поймёте.
ПК на работе, завтра сделаю новые логи
Обновил базу AVZ (сделал новые логи) и выполнил скрипт ScanVuln, исправил пять уязвимостей.
[QUOTE]1.Уязвимость службы сервера делает возможным удаленное выполнение кода
[url]http://www.microsoft.com/downloads/details.aspx?displaylang=ru&FamilyID=0D5F9B6E-9265-44B9-A376-2067B73D6A03[/url]
2.Уязвимости в протоколе SMB делают возможным удаленное выполнение кода
[url]http://www.microsoft.com/downloads/details.aspx?displaylang=ru&FamilyID=8f7adee3-e68e-41b3-b835-d84691774f31[/url]
3.Уязвимости в Microsoft DirectShow делают возможным удаленное выполнение кода
[url]http://www.microsoft.com/downloads/details.aspx?displaylang=ru&FamilyID=7ab53be3-3f42-4e61-a2bc-3ed41d8736ff[/url]
4.Уязвимости в Adobe Flash Player для Internet Explorer
[url]http://fpdownload.adobe.com/get/flashplayer/current/install_flash_player_ax.exe[/url]
5.Множественные уязвимости в Sun Java JDK и JRE
Деинсталлируйте старую версию и установите новую:
[url]http://javadl.sun.com/webapps/download/AutoDL?BundleId=37981[/url][/QUOTE]
[B][COLOR="Red"]Одна не хочет исправлятся:[/COLOR][/B]
[QUOTE]Поиск критических уязвимостей
Уязвимости в Adobe Flash Player для Internet Explorer
[url]http://fpdownload.adobe.com/get/flashplayer/current/install_flash_player_ax.exe[/url]
Обнаружено уязвимостей: 1
Протокол сохранён в под-папке log[/QUOTE]
Устанавливаю заплату Adobe Flash Player, перезагружаюсь, выполняю скрипт ScanVuln, а она висит.
Ох и проблемы у нас с обновлением;) [QUOTE]Внимание !!! База поcледний раз обновлялась 02.07.2010 необходимо обновить базы при помощи автоматического обновления (Файл/Обновление баз)[/QUOTE]
Кстати, вышла сегодня новая версия АВЗ, загрузите тут - [URL="http://www.z-oleg.com/secur/avz/download.php"]z-oleg.com[/URL]
А пока так -
[COLOR="Black"][URL="http://virusinfo.info/showthread.php?t=4491"]Пофиксите в hijackthis[/URL][/COLOR] -
[CODE]F2 - REG:system.ini: Shell=Explorer.exe,
O1 - Hosts: 85.12.46.140 odnoklassniki.ru
O1 - Hosts: 85.12.46.140 www.odnoklassniki.ru
O1 - Hosts: 85.12.46.140 vkontakte.ru
O1 - Hosts: 85.12.46.140 www.vkontakte.ru
O1 - Hosts: 85.12.46.140 vk.com
O1 - Hosts: 85.12.46.140 www.vk.com[/CODE]
[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в АВЗ[/URL] -
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
RegKeyResetSecurity('HKLM', 'SYSTEM\CurrentControlSet\Services\TlntSvr');
RegKeyResetSecurity('HKLM', 'SYSTEM\CurrentControlSet\Services\TlntSvr\Parameters');
RegKeyResetSecurity('HKLM', 'SYSTEM\CurrentControlSet\Services\WmiApRpl');
RegKeyResetSecurity('HKLM', 'SYSTEM\CurrentControlSet\Services\WmiApRpl\Parameters');
ExecuteWizard('TSW',2,2,true);
RebootWindows(true);
end.[/CODE]
После выполнения скрипта компьютер перезагрузится.
После проделанного скачайте [B]новую версию АВЗ[/B] и сделайте логи ей + лог HiJackThis
[QUOTE]Ох и проблемы у нас с обновлением[/QUOTE]
AVZ -> Файл/Обновление баз -> вчера обновил, сегодня снимал логи
[QUOTE]Кстати, вышла сегодня новая версия АВЗ, загрузите тут - z-oleg.com[/QUOTE]
А вот за это огромное спасибо!
Проверил ПК [B]KasperskyRescueDisk10[/B], потом профиксил [B]hijackthis[/B] и выполнил скрипт в [B]AVZ[/B].
[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в АВЗ[/URL] -
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
QuarantineFile('C:\DOCUME~1\USER~1.MIC\LOCALS~1\Temp\wjhhcc.dat','');
BC_ImportAll;
ExecuteWizard('TSW',2,2,true);
BC_Activate;
RebootWindows(true);
end.[/CODE]
После выполнения скрипта компьютер перезагрузится.
После перезагрузки:
- выполните такой скрипт
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
Пришлите файл [B][COLOR="Red"]quarantine.zip[/COLOR][/B] из папки AVZ по ссылке [COLOR="Red"][B][U]Прислать запрошенный карантин[/U][/B][/COLOR] над первым сообщением этой темы.
Установите верную системную дату
Пофиксите в HiJack
[CODE]O20 - AppInit_DLLs: winmm.dll[/CODE]
Выполните скрипт в AVZ
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\DOCUME~1\USER~1.MIC\LOCALS~1\Temp\wjhhcc.dat','');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Drivers32','midi9');
DeleteFile('C:\DOCUME~1\USER~1.MIC\LOCALS~1\Temp\wjhhcc.dat');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end. [/code]Компьютер перезагрузится.
Пришлите карантин (если не будет пустым) согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы
[B]Смените все пароли[/B]
Сделайте новые логи
Выполнил всё вышеперечисленное.
Файл сохранён как 100710_163425_quarantine_4c3868d137af5.zip
Размер файла 624
MD5 946abb1480f2fe066b741e725e1c3a63
Зловреды были успешно убиты, не забудьте рекомендацию thyrex - сменить пароли, а также обновите Internet Explorer [B]v7.00[/B] до восьмого. Жалоб никаких нет?
Всё работает стабильно. Спасибо большое! :)
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]2[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]