Printable View
Началось с того, что обнаружил в автозагрузке странный файл, состоящий из цифр.exe. Полез в ту папку \Local Settings\Temp и обнаружил там кучу таких файлов. Запустил сканнер Авиры, он нашел несколько подозрительных TR/Patched.GM.6, в частности в explorer.exe. Полез на антивирусные сайты, они все не работают, даже этот не работал. Но заработал после команды route -f.
Подскажите, как бороться?
Отключите [B][COLOR="Red"]системное восстановление!!![/COLOR][/B][URL="http://avptool.ru/ru/AVPTool_helpdesk_sysrestore.htm"] как- посмотреть можно тут[/URL]
[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/URL]
[CODE]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
RegKeyStrParamWrite('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon','UserInit', GetEnvironmentVariable ('WinDir')+'\System32\userinit.exe,');
QuarantineFile('C:\WINXP\system32\stylyi.exe','');
QuarantineFile('C:\WINXP\system32\a7249dcf.exe','');
QuarantineFile('C:\RECYCLER\S-1-5-21-3324464501-9651551010-379352792-2154\syscr.exe','');
QuarantineFile('C:\Documents and Settings\A\Application Data\ltzqai.exe','');
QuarantineFile('C:\WINXP\system32\drivers\JulaWdm.sys','');
QuarantineFile('C:\WINXP\system32\drivers\Jula.sys','');
QuarantineFile('c:\winxp\system32\julapan.exe','');
DeleteFile('C:\Documents and Settings\A\Application Data\ltzqai.exe');
DeleteFile('C:\RECYCLER\S-1-5-21-3324464501-9651551010-379352792-2154\syscr.exe');
DeleteFile('C:\WINXP\system32\a7249dcf.exe');
DeleteFile('C:\WINXP\system32\stylyi.exe');
DeleteFile('C:\WINXP\system32\2f047a20.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Winlogon','Taskman ');
BC_ImportAll;
ExecuteSysClean;
ExecuteRepair(11);
ExecuteWizard('TSW', 2, 2, true);
ExecuteWizard('SCU', 2, 2, true);
RegKeyIntParamWrite('HKLM','SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer','NoDriveTypeAutoRun',221);
BC_Activate;
RebootWindows(true);
end.[/CODE]
После перезагрузки:
- выполните такой скрипт
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
- Файл [B][COLOR="Red"]quarantine.zip[/COLOR][/B] из папки AVZ загрузите по ссылке [B][COLOR="Red"]Прислать запрошенный карантин[/COLOR][/B] вверху темы
- Сделайте повторные логи по [URL="http://virusinfo.info/pravila_old.html"]правилам[/URL] п.2 и 3 раздела Диагностика.([COLOR="Blue"]virusinfo_syscheck.zip;hijackthis.log[/COLOR])
- Сделайте лог [URL="http://virusinfo.info/showthread.php?t=40118"][COLOR="Blue"][B]Gmer[/B][/COLOR][/URL]
- Сделайте лог [URL="http://virusinfo.info/showpost.php?p=457118&postcount=1"][COLOR="Blue"][B]MBAM[/B][/COLOR][/URL]
Сделал.
И этот ещё. Дважды пробовал, но почему-то вместе со всеми не прикрепился.
- Сохраните текст ниже как [B][COLOR="DeepSkyBlue"]1.bat[/COLOR][/B] в ту же папку, где находится [B][COLOR="Blue"]ncc3w44x.exe (GMER)[/COLOR][/B] и запустите этот батник(1.bat):
[CODE]
ncc3w44x.exe -del service tcwhswmp
ncc3w44x.exe -del file "C:\WINXP\system32\ncyoi.dll"
ncc3w44x.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\tcwhswmp"
ncc3w44x.exe -del reg "HKLM\SYSTEM\ControlSet002\Services\tcwhswmp"
ncc3w44x.exe -reboot[/CODE]
Компьютер перезагрузится.
После перезагрузки:
- Сделайте повторный лог [COLOR="Blue"]virusinfo_syscheck.zip[/COLOR];
А то, что Mbam нашел - делать с этим что-нибудь, удалить, или не трогать? Пока прога открыта, а то довольно долгий процесс сканирования, если комп перезагрузится и потом это делать.
[QUOTE=saiko3p;727597]А то, что Mbam нашел - делать с этим что-нибудь, удалить, или не трогать? [/QUOTE]
в логе подозрительного нет
Ааа, я подумал что это опасные штуки:
C:\Program Files\WinRAR\original\RAR Slayer v1.1.exe (Malware.Tool) -> No action taken.
C:\Program Files\The Bat!\Keygen.exe ([B]Trojan.Agent.CK[/B]) -> No action taken.
[size="1"][color="#666686"][B][I]Добавлено через 5 минут[/I][/B][/color][/size]
Запустил 1.бат но вылезла ошибка:
An error 0x00000002 occured during deletion of file "C:\WINXP\system32\ncyoi.dll": не удается найти указанный файл
[size="1"][color="#666686"][B][I]Добавлено через 1 час 7 минут[/I][/B][/color][/size]
[B]thyrex[/B] - помогите, плз, добить гадов, а то polword похоже ушел.
Лог gmer новый сделайте
Сделал.
Здесь чисто
Папку C:\Program Files\Common Files\2c8d5501 удалите вручную
[B]Смените все пароли[/B]
[color="#FF0000"][b]Внимание![/b][/color] Официальная поддержка (и выпуск обновлений) для Windows XP SP2 [b]прекращена[/b]
Установите [url="http://www.microsoft.com/downloads/details.aspx?FamilyID=5b33b5a8-5e76-401f-be08-1e1555d4f3d4&displaylang=ru"]SP3[/url] (может потребоваться активация) + все [url="http://www.update.microsoft.com/microsoftupdate/v6/default.aspx?ln=ru"]новые обновления[/url] для Windows
Установите [url="http://www.microsoft.com/rus/windows/internet-explorer/default.aspx"]Internet Explorer 8[/url] (даже если им не пользуетесь)
Что с проблемой?
Сайты антивирусов заработали с тех пор как я прописал "route -f", с тех пор работают без проблем.
Но при проверке Авира по прежнему находит:
C:\WINXP\explorer.exe
[ОБНАРУЖЕНИЕ] Троянская программа TR/Patched.GM.6
[ПРЕДУПРЕЖДЕНИЕ] 'Троянская программа TR/Patched.GM.6'.
C:\WINXP\system32\dllcache\explorer.exe
[ОБНАРУЖЕНИЕ] Троянская программа TR/Patched.GM.6
Или это ложное срабатывание?
И ещё подскажите,плз, чтобы sp3 и обновления поставить - нужно самому всё качать, или винда само может всё автоматом сделать??
[size="1"][color="#666686"][B][I]Добавлено через 59 минут[/I][/B][/color][/size]
Проверил файл на сайте вирустотал:
File name:
explorer.exe
Submission date:
2010-11-03 21:30:36 (UTC)
Current status:
finished
Result:
1/ 43 (2.3%)
Видимо, ложная тревога.
C:\WINXP\explorer.exe и C:\WINXP\system32\dllcache\explorer.exe замените чистыми с дистрибутива [url]http://virusinfo.info/showthread.php?t=51654[/url]
А лучше сразу приступить к обновлению системы
Большое спасибо за помощь! Установил все обновления, теперь авира ничего не находит.
Возник ещё вопрос: всех этих и обновлений и антивируса со встроенным фаирволом (у меня Avira premium security suit) достаточно, чтобы дрянь всякая не лезла в комп, или нужно ещё что-то поставить?
?
Чтобы ответить на Ваш вопрос, нужно пользоваться данным продуктом
Обновил винду, но теперь стало "Эта копия Windows не прошла проверку подлинности" и windows update не работает из-за этой подлинности (подлости!).
Удалил отсюда HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify папку ‘WgaLogon’
Теперь не достаёт меня надписями при загрузке, но как быть с установкой критических обновлений?
В настройках у меня включено автом. обновление. Поставил там время на 0.00 и перезагрузил комп, но в это время никаких шевелений (обращений к винту и тд) не было.
Теперь винда не будет обновляться?
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]17[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]