постоянная подмена диспетчера задачи

Printable View

08.09.2010, 16:36
white_ghost

постоянная подмена диспетчера задачи

Что тут собственно объяснять? постоянно пишет при сканирование, что диспетчер задач подменен, по удалял все подозрительные файлы которые нашел AVZ, но все равно продолжает находить левый диспетчер задач.
логи прилагаются!
ipfw.sys это ipfirewall
drvmail.dll - это процесс для видео наблюдения
cmdow.exe - это процесс скрывающий видимое окно bat/cmd файлов
Помогите пожалуйста!
08.09.2010, 17:22
olejah

Закройте все программы
Отключите
- ПК от интернета/локалки.
- Антивирус и Файрвол
[URL="http://virusinfo.info/showthread.php?t=4905"]- Системное восстановление[/URL]

[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в АВЗ[/URL] -

[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
QuarantineFile('D:\Base\ftp_get.cmd','');
QuarantineFile('D:\Base\ObOd\ExtForms\Otch_smen.cmd','');
QuarantineFile('C:\WINDOWS\system32\linkdel.cmd','');
QuarantineFile('C:\Documents and Settings\User\Главное меню\Программы\Автозагрузка\arh1.bat','');
QuarantineFile('C:\Documents and Settings\User\Application Data\ltzqai.exe','');
DeleteFile('C:\Documents and Settings\User\Application Data\ltzqai.exe');
QuarantineFile('C:\RECYCLER\S-1-5-21-4014497647-5353757071-242629698-6671\syscr.exe','');
DeleteFile('C:\RECYCLER\S-1-5-21-4014497647-5353757071-242629698-6671\syscr.exe');
BC_ImportAll;
ExecuteSysClean;
ExecuteWizard('TSW',2,2,true);
ExecuteRepair(11);
BC_Activate;
RebootWindows(true);
end.[/CODE]

После выполнения скрипта компьютер перезагрузится.

После перезагрузки:
- выполните такой скрипт

[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]

Пришлите файл [B][COLOR="Red"]quarantine.zip[/COLOR][/B] из папки AVZ по ссылке [COLOR="Red"][B][U]Прислать запрошенный карантин[/U][/B][/COLOR] над первым сообщением этой темы.

- [B]C:\Documents and Settings\User\Главное меню\Программы\Автозагрузка\arh1.bat[/B] - файл знаком Вам?
08.09.2010, 18:07
white_ghost

[QUOTE=Olejah;703456]
- ПК от интернета/локалки.[/QUOTE]
отключить от инета не могу, потому что этот комп я лечу удаленно
[QUOTE=Olejah;703456]
ftp_get.cmd
Otch_smen.cmd
arh1.bat
[/QUOTE]
эти файлы все знакомы
08.09.2010, 18:12
olejah

Скрипт выполнен? Карантин отослан?
08.09.2010, 18:13
white_ghost

[QUOTE=Olejah;703478]Скрипт выполнен? Карантин отослан?[/QUOTE]
все скрипты выполнен, карантин прикрепил к первому моему сообщению
08.09.2010, 18:16
olejah

А кто говорил карантин прикреплять к сообщению? было написано так -
[QUOTE='Olejah;703456']Пришлите файл [B][COLOR="Red"]quarantine.zip[/COLOR][/B] из папки AVZ по ссылке [B][COLOR="Red"]Прислать запрошенный карантин[/COLOR][/B] над первым сообщением этой темы.[/QUOTE]
08.09.2010, 18:32
white_ghost

[QUOTE=Olejah;703483]А кто говорил карантин прикреплять к сообщению? [/QUOTE]
извиняюсь. Сделал как надо

Файл сохранён как: 100908_182430_quarantine_4c879c9e92bd9.zip
Размер файла: 84939
MD5: 3ea5012916963c1388fed6f8ecf8aeed
08.09.2010, 18:39
olejah

[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в АВЗ[/URL] -

[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
DeleteFile('C:\WINDOWS\system32\linkdel.cmd');
RegKeyParamDel('HKEY_USERS','.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run','LinkDel');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]

После выполнения скрипта компьютер перезагрузится.

- Повторите логи
08.09.2010, 19:05
white_ghost

[QUOTE=Olejah;703496][URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в АВЗ[/URL] -

[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
DeleteFile('C:\WINDOWS\system32\linkdel.cmd');
RegKeyParamDel('HKEY_USERS','.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run','LinkDel');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE] После выполнения скрипта компьютер перезагрузится.

- Повторите логи[/QUOTE]
Тему можно закрывать
После выполнения скрипта, сеть увы не поднялась и повторные логи не смогу сделать. Прийдеться ехать в командировку.
08.09.2010, 19:30
olejah

Прошу прощения, была моя ошибка. Сделайте так - программа АВЗ - Файл - Просмотр карантина, Отметьте галкой файл [B]C:\WINDOWS\system32\linkdel.cmd[/B] и нажмите восстановить + выпоните скрипт в АВЗ -

[CODE]begin
RegKeyStrParamWrite('HKEY_USERS','.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run','LinkDel','');
RebootWindows(true);
end.[/CODE]

- Компьютер перезагрузится, отпишитесь.
08.09.2010, 19:39
white_ghost

[QUOTE=Olejah;703523]Прошу прощения, была моя ошибка. Сделайте так - программа АВЗ - Файл - Просмотр карантина, Отметьте галкой файл [B]C:\WINDOWS\system32\linkdel.cmd[/B] и нажмите восстановить + выпоните скрипт в АВЗ -

[CODE]begin
RegKeyStrParamWrite('HKEY_USERS','.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run','LinkDel');
RebootWindows(true);
end.[/CODE] - Компьютер перезагрузится, отпишитесь.[/QUOTE]

легко сказать/написать, я писал, что лечу тачку удаленно и это все мне теперь как то надо продиктовать блондинкам. Первый пункт еще как то можно сделать в телефоном режиме, а вот второй пункт......извините уже никак...............
08.09.2010, 19:44
olejah

Этот файл на сеть не должен влиять. Пусть пробуют поднять.
08.09.2010, 20:02
white_ghost

[QUOTE=Olejah;703536]Этот файл на сеть не должен влиять. Пусть пробуют поднять.[/QUOTE]
щас попытаюсь как то смс-ками их заспамить, пусть пишут :)
надеюсь оно поднимется после ребута, очень надеюсь :))))))))))

[size="1"][color="#666686"][B][I]Добавлено через 15 минут[/I][/B][/color][/size]

[QUOTE=Olejah;703536]Этот файл на сеть не должен влиять. Пусть пробуют поднять.[/QUOTE]
вообщем они все написали, при запуска скрипта, выдает какую то ошибку, 2.20, я так понимаю это 2-я строка, 20 символ или как?
08.09.2010, 20:14
olejah

Поправлено, а что с сетью?
08.09.2010, 21:33
white_ghost

[QUOTE=Olejah;703558]Поправлено, а что с сетью?[/QUOTE]
так 20-й символ это "("
по поводу сети, схема там такая, провайдер дает риал-айпи, маску, шлуз и днс и этоти айпишники вручную прописываются на сетевой карте. Проверял по телефону, все айпишники на месте, но не работает инет

[size="1"][color="#666686"][B][I]Добавлено через 1 час 16 минут[/I][/B][/color][/size]

вообщем, так у меня не вышло ничего объяснить блондинкам, завтра буду на месте, выполню сам этот скрипт, если поможет - отпишусь и сделаю логи, если надо, если не поможет, переставлю систему. В любом случаи я отпишусь.
09.09.2010, 12:31
white_ghost

Можно продолжать дискуссию, таки после запуска этого скрипта и после ребута сетка поднялась. что мне дальше делать? делать новые логи или ждать новый скрипт для исполнения?;)
09.09.2010, 13:31
white_ghost

Вообщем сделал новые логи, появилась проблема следующая, запустил TCPVIEW и там постоянно system procces отрывает ТСР сессии на 25 порт(smtp)... и закрылся антивирус.
09.09.2010, 21:23
thyrex

Выполните скрипт в AVZ
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\Documents and Settings\User\Главное меню\Программы\Автозагрузка\arh1.bat','');
QuarantineFile('C:\Documents and Settings\User\Application Data\ltzqai.exe','');
DeleteFile('C:\Documents and Settings\User\Application Data\ltzqai.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Winlogon','Taskman');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end. [/code]Компьютер перезагрузится.

Пришлите карантин согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

Сделайте новые логи
16.09.2010, 13:56
white_ghost

[QUOTE=thyrex;704114]Выполните скрипт в AVZ
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\Documents and Settings\User\Главное меню\Программы\Автозагрузка\arh1.bat','');
QuarantineFile('C:\Documents and Settings\User\Application Data\ltzqai.exe','');
DeleteFile('C:\Documents and Settings\User\Application Data\ltzqai.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Winlogon','Taskman');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end. [/code]Компьютер перезагрузится.

Пришлите карантин согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR=Red][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

Сделайте новые логи[/QUOTE]
Извиняюсь что долго не отписывался, был в командировке. Тему можно закрывать. Проблема была решена вчера, переустановкой системы, больше никаких лишних движений в сторону сети подозрительных процессов не обнаружено.
Спасибо.
17.09.2010, 13:56
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]19[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\windows\\system32\\cmdow.exe - [B]not-a-virus:RiskTool.Win32.HideWindows.o[/B][/LIST][/LIST]