как удалить заражённые файлы в папке sistem32

Printable View

09.03.2007, 11:07
sibirioff

Вложений: 3

как удалить заражённые файлы в папке sistem32

Nod 32 находит вирус. Сразу после начала проверки выдаёт такое сообщение:

[COLOR=darkgreen]вероятно модифицированный Win32/Adware.Virtumonde.O приложение найден в оперативной памяти. Файл может быть удален. Рекомендуется сделать копии любых критических данных перед продолжением. Никакое действие не может быть предпринято при проникновении в память. Нажмите Пропустить, чтобы продолжить и впоследствии запустить очистку всех локальных дисков. Инфeкция cиcтeмнoй пaмяти пpoиcxoдит из фaйлa C:\WINDOWS\System32\ssttt.dll.[/COLOR]

[COLOR=black]Далее обнаруживаются инфицированные файлы:[/COLOR]
[COLOR=darkgreen]C:\WINDOWS\system32\ssttt.dll - вероятно модифицированный Win32/Adware.Virtumonde.O приложение[/COLOR]
[COLOR=darkgreen]C:\WINDOWS\system32\vtuvtsq.dll - вероятно модифицированный Win32/Genetik троян[/COLOR]

Nod 32 не может их ни исправить ни удалить. Вручную тоже не удаляются. Пробовала в безопасном режиме - не получилось. Эти файлы заблокированны т.к. участвуют в системном процессе.

И еще вопросик (если не в том разделе, прошу прощения): при скинировании много файлов, которые Nod не может поверить и пишет такую информацию об этом:
[COLOR=darkgreen]Settings\Temporary Internet Files\Content.IE5\91OR1BRG\loadadv431[1].exe »FSG v2.0 - ошибка распаковки[/COLOR]
или такую:
[COLOR=darkgreen]C:\pagefile.sys - Ошибка открытия (файл заблокирован) [4][/COLOR]
Как к этому относиться? это недостаток работы антивируса или это нормально?
09.03.2007, 11:33
Geser

Выполнитр скрипт и пришлите содержимое карантина в соответствием с приложением 3 правил

[CODE]begin
QuarantineFile('vtuvtsq.dll','');
BC_QrFile('C:\WINDOWS\system32\blf.exe');
BC_QrFile('C:\WINDOWS\system32\drivers\ikhlayer.sys');
BC_QrFile('C:\WINDOWS\system32\drivers\ikhfile.sys');
BC_QrFile('C:\WINDOWS\TEMP\mc21.tmp');
BC_QrFile('C:\WINDOWS\system32\winhelp32.exe');
BC_QrFile('C:\WINDOWS\system32\wdglsxry.dll');
BC_QrFile('C:\WINDOWS\System32\vtuvtsq.dll');
BC_QrFile('C:\WINDOWS\System32\ssttt.dll');
BC_QrFile('c:\windows\system32\winhelp32.exe');
BC_QrFile('c:\windows\system32\blf.exe');
DeleteFile('c:\windows\system32\blf.exe');
DeleteFile('c:\windows\system32\winhelp32.exe');
DeleteFile('C:\WINDOWS\System32\ssttt.dll');
DeleteFile('C:\WINDOWS\System32\vtuvtsq.dll');
DeleteFile('C:\WINDOWS\system32\wdglsxry.dll');
DeleteFile('C:\WINDOWS\system32\winhelp32.exe');
DeleteFile('\??\C:\WINDOWS\TEMP\mc21.tmp');
DeleteFile('C:\WINDOWS\system32\blf.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.[/CODE]
09.03.2007, 11:59
sibirioff

Скрипт не выполняется.
Ошибка скрипта: Not enough actual parameters, позиция [2.16]
09.03.2007, 12:06
Shu_b

[QUOTE=sibirioff;98787]Скрипт не выполняется.
Ошибка скрипта: Not enough actual parameters, позиция [2.16][/QUOTE]

исправлено, пробуйте ещё раз.
09.03.2007, 13:36
sibirioff

скрипт выполнен, файлы отправлены в соответствии с приложением 3, п.4
09.03.2007, 22:51
AndreyKa

Ответ по присланным файлам:
C:\WINDOWS\system32\drivers\ikhfile.sys
C:\WINDOWS\system32\drivers\ikhlayer.sys - чистые

C:\WINDOWS\System32\vtuvtsq.dll - not-a-virus:AdWare.Win32.Virtumonde.ha
C:\WINDOWS\System32\ssttt.dll - not-a-virus:AdWare.Win32.Virtumonde.fp

Сделайте новые логи начиная с 10-го пункта Правил и приложите их к своей теме.
09.03.2007, 22:57
AndreyKa

[quote]loadadv431[1].exe »FSG v2.0 - ошибка распаковки
или такую:
C:\pagefile.sys - Ошибка открытия (файл заблокирован) [4]
[/quote]
Ошибка распаковки может быть из-за того, что файл был скачен не до конца (троян был заблокирован при записи на диск).
C:\pagefile.sys это файл подкачки виртуальной памяти.
10.03.2007, 10:50
sibirioff

Вложений: 3

новые логи:
10.03.2007, 11:12
Geser

Выполните скрипт.
После его выполнения сразу парегрузите компютер ресетом или выключением питания(нажать на кнопку включения и держать более 3 секунд). Важно что бы не выполнилась стандартная процедура завершения работы.

[CODE]begin
ClearQuarantine;
SetAVZGuardStatus(True);
BC_QrFile('C:\WINDOWS\System32\ovxcqlpe.dll');
BC_QrFile('C:\WINDOWS\system32\winhelp32.exe');
BC_QrFile('C:\WINDOWS\system32\blf.exe');
BC_QrFile('C:\WINDOWS\System32\crsss.exe');
BC_QrFile('C:\WINDOWS\TEMP\mc21.tmp');
BC_QrFile('C:\WINDOWS\System32\vtuvtsq.dll');
BC_QrFile('C:\WINDOWS\System32\ssttt.dll');
BC_QrFile('C:\WINDOWS\system32\cwuvydbn.dll');
DeleteFile('C:\WINDOWS\system32\cwuvydbn.dll');
DeleteFile('C:\WINDOWS\System32\ssttt.dll');
DeleteFile('C:\WINDOWS\System32\vtuvtsq.dll');
DeleteFile('C:\WINDOWS\TEMP\mc21.tmp');
DeleteFile('C:\WINDOWS\System32\crsss.exe');
DeleteFile('C:\WINDOWS\system32\blf.exe');
DeleteFile('C:\WINDOWS\system32\winhelp32.exe');
DeleteFile('C:\WINDOWS\System32\ovxcqlpe.dll');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
end.[/CODE]
11.03.2007, 09:36
sibirioff

Спасибо за помощь. Nod 32 больше ничего не находит.
11.03.2007, 11:27
Geser

Не плохо повторить логи, проверить что действительно ничего не осталось. И если что-то попало г карантин, то пришлите кка в прошлыи раз.
22.02.2009, 01:39
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]10[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\windows\\system32\\ssttt.dll - [B]not-a-virus:AdWare.Win32.Virtumonde.fp[/B] (DrWEB: Trojan.Virtumod)[*] c:\\windows\\system32\\vtuvtsq.dll - [B]not-a-virus:AdWare.Win32.Virtumonde.ha[/B] (DrWEB: Trojan.Virtumod)[/LIST][/LIST]