Printable View
На флешке появилась скрытая папка BMW, файл sedistabela.exe. Каспер не берет. Вирус его просто блокирует. Проник в комп, распространился по локальной сети. Пытается внедряться в различные процессы. При разблокировке unlocker ом "вешает" проводник. Жду помощи и любых вариантов.
выполните скрипт
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('c:\windows\system32\wuaucldt.exe','');
QuarantineFile('c:\documents and settings\Администратор\wuaucldt.exe','');
QuarantineFile('c:\windows\system32\config\systemprofile\wuaucldt.exe','');
QuarantineFile('C:\windows\system32\regedit.exe','');
QuarantineFile('C:\windows\ZSSnp211.exe','');
QuarantineFile('C:\Documents and Settings\Администратор\Application Data\ygmdrm.exe','');
DeleteFile('C:\Documents and Settings\Администратор\Application Data\ygmdrm.exe');
DeleteFile('c:\documents and settings\Администратор\wuaucldt.exe');
DeleteFile('c:\windows\system32\config\systemprofile\wuaucldt.exe');
DeleteFile('c:\windows\system32\wuaucldt.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
пришлите карантин согласно приложения 3 правил
повторите логи
повторил логи
Карантин загрузил, скрипт выполнил, логи разместил, однако, информация в моей теме не появилась. Следует ли мне повторить процедуру, либо данные получены?
[QUOTE='DVMin;726587']информация в моей теме не появилась[/QUOTE]Выходной все-таки
Выполните скрипт в AVZ
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('J:\BMW\sedistabela.exe','');
QuarantineFile('C:\windows\system32\regedit.exe','');
QuarantineFile('C:\windows\system32\DRIVERS\cdrom.sys','');
DeleteFile('C:\windows\system32\regedit.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Regedit32');
DeleteFile('J:\autorun.inf');
DeleteFile('J:\BMW\sedistabela.exe');
DeleteFileMask('J:\BMW', '*.*', true);
DeleteDirectory('J:\BMW');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Winlogon','Taskman');
RebootWindows(true);
end. [/code]Компьютер перезагрузится.
Пришлите карантин согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы
Сделайте новые логи
Простите ламера... В скрипте, я так понимаю, "J" - флешка. А если она у меня под именем "F"? Изменять скрипт?
ничего не меняйте ...
Карантин выслал. Логи выкладываю.
После выполнения всех операций sedistabela.exe из папки BMW исчез и больше пока не появлялся. Папку просто удалил. Однако остались последствия. Антивирус пришлось переустанавливать, ибо он отказывался проверять объекты. При загрузке компа появился странный дополнительный писк и непонятное черное окно менее, чем на секунду. Комп больше не зависает и сам собой не перезагружается.
Огромное спасибо за помощь. :D
Выполните скрипт в AVZ
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\windows\system32\regedit.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Regedit32');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end. [/code]Компьютер перезагрузится.
Сделайте новый лог virusinfo_syscheck.zip
новый лог
выполните скрипт
[code]
begin
QuarantineFile('C:\windows\system32\meclvkmh.dll','');
end.
[/code]
пришлите карантин согласно приложения 3 правил
после выполнения скрипта:
[COLOR="Red"]Ошибка карантина файла, попытка прямого чтения (C:\windows\system32\meclvkmh.dll)
Карантин с использованием прямого чтения - ошибка
Ошибка карантина файла, попытка прямого чтения (C:\windows\system32\meclvkmh.dll)
Карантин с использованием прямого чтения - ошибка[/COLOR]
Пришлите файл C:\windows\system32\meclvkmh.dll запакованным в архив ZIP с паролем: [COLOR="Red"]virus[/COLOR] по ссылке [B][COLOR="Red"]Прислать запрошенный карантин[/COLOR][/B] вверху темы
После выполнения предыдущей рекомендации
Выполните скрипт в AVZ
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\windows\system32\meclvkmh.dll');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RegKeyStrParamWrite('HKLM','system\currentcontrolset\control\securityproviders','SecurityProviders', 'msapsspc.dll, schannel.dll, digest.dll, msnsspc.dll');
RebootWindows(true);
end. [/code]Компьютер перезагрузится.
Сделайте новый лог
Файл meclvkmh.dll в C:\windows\system32\ отсутствует
новые логи
Что с проблемой?
Думаю, с проблемой покончено. Всем огромное СПАСИБО за неоценимую помощь! Спасли конкурс "Педагог года"!
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]12[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\documents and settings\\администратор\\application data\\ygmdrm.exe - [B]Trojan.Win32.Pincav.ajvn[/B] ( DrWEB: Win32.HLLW.Autoruner.22584, BitDefender: Gen:Variant.Rimecud.3, AVAST4: Win32:Rimecud-G [Trj] )[*] c:\\windows\\system32\\config\\systemprofile\\wuaucldt.exe - [B]Backdoor.Win32.Agent.bdhm[/B] ( DrWEB: BackDoor.Bulknet.511, BitDefender: Trojan.Agent.AQJM, NOD32: Win32/Wigon.OL trojan, AVAST4: Win32:DNSChanger-ZZ [Trj] )[*] c:\\windows\\system32\\drivers\\cdrom.sys - [B]Virus.Win32.Protector.h[/B] ( DrWEB: BackDoor.Bulknet.508, BitDefender: Rootkit.Kobcka.Patched.Gen, NOD32: Win32/Protector.N virus, AVAST4: Win32:Cutwail-AP [Rtk] )[*] j:\\bmw\\sedistabela.exe - [B]Trojan.Win32.Pincav.ajvn[/B] ( DrWEB: Win32.HLLW.Autoruner.22584, BitDefender: Gen:Variant.Rimecud.3, AVAST4: Win32:Rimecud-G [Trj] )[/LIST][/LIST]