Printable View
Заранее прошу прощения - я совсем не продвинутый пользователь).Где-то за 2 дня : при загрузке компьютера появляется требование соединения с инетом (чего раньше не было), д-р Веб регулярно находит вирусы - инфицир.файлы в папке темп , трояном 89, удаление не помогает. На данный момент инет соединение вообще не может отключиться, т.к. используется каким-то протоколом или системной записью.
Выполните скрипт в AVZ:
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('winsystems.exe','');
QuarantineFile('lup.exe','');
QuarantineFile('asn1sys.exe','');
QuarantineFile('c:\windows\System32\DRIVERS\rksample.sys','');
QuarantineFile('c:\windows\System32\DRIVERS\lemsgt.sys','');
QuarantineFile('c:\windows\System32\DRIVERS\hwpsgt.sys','');
QuarantineFile('c:\windows\System32\DRIVERS\fsksnt.sys','');
QuarantineFile('c:\windows\System32\DRIVERS\basic2.sys','');
QuarantineFile('c:\windows\System32\DRIVERS\lemsgt.sys','');
QuarantineFile('c:\windows\System32\DRIVERS\hwpsgt.sys','');
QuarantineFile('c:\windows\csrss.exe','');
RebootWindows(true);
end.[/code]
Компьютер перезагрузится.
Содержимое карантина пришлите согласно приложению 3 правил.
[CENTER][COLOR=black][SIZE=3][FONT=Times New Roman]Файл сохранён как[/FONT][/SIZE][/COLOR]
[COLOR=black][SIZE=3][FONT=Times New Roman]070422_145426_virus_462b3ee295929.zip[/FONT][/SIZE][/COLOR]
[COLOR=black][SIZE=3][FONT=Times New Roman]Размер файла[/FONT][/SIZE][/COLOR]
[COLOR=black][SIZE=3][FONT=Times New Roman]222589[/FONT][/SIZE][/COLOR]
[COLOR=black][SIZE=3][FONT=Times New Roman]MD5[/FONT][/SIZE][/COLOR]
[COLOR=black][SIZE=3][FONT=Times New Roman]8857f83f43640660c6f9ee956f1180b7[/FONT][/SIZE][/COLOR]
[/CENTER]
Попробуйте с помощью AVZ (Сервис - Поиск файлов на диске)
найти следующие файлы:
[I]winsystems.exe
lup.exe
asn1sys.exe[/I]
Если найдутся - пришлите по правилам.
[B]c:\windows\csrss.exe - Win32/PSW.LdPinch.BMO[/B]
Выполните скрипт:
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('c:\windows\csrss.exe');
BC_DeleteFile('c:\windows\csrss.exe');
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]
После удаления данного зловреда настоятельно рекомендуется
поменять пароли на почту, ICQ, доступ к сайтам и т.п.
Уважаемый,Bratez! спасибо за скрипт, файл удалился и все пока в норме, без троянов.
файлы из вашего предыдущего поста не нашлись ни каким способом.
еще раз вам спасибо!
Пофиксите в HijackThis эти строки:
[code]
O4 - HKLM\..\Run: [winsystems25] winsystems.exe
O4 - HKLM\..\Run: [secures23] lup.exe
O4 - HKLM\..\Run: [Asn1 Security Systems] asn1sys.exe
O4 - HKLM\..\RunServices: [winsystems25] winsystems.exe
O4 - HKLM\..\RunServices: [secures23] lup.exe
O4 - HKLM\..\RunServices: [Asn1 Security Systems] asn1sys.exe
O4 - HKCU\..\Run: [Asn1 Security Systems] asn1sys.exe
O4 - HKCU\..\RunServices: [Asn1 Security Systems] asn1sys.exe[/code]
Попытайтесь найти файл [I]C:\WINDOWS\k4nv.exe [/I]. Если найдется -
пришлите по правилам, если нет - пофиксите:
[code]
O23 - Service: K4NV - Unknown owner - C:\WINDOWS\k4nv.exe (file missing)[/code]
(как фиксить строки с кодом О23 см. тут: [url]http://virusinfo.info/showthread.php?t=4491[/url])
После этого повторите логи п.10 и 12 правил.
указанные строки с кодом 04 пофикшены), а по поводу 023 - k4nv - программа hijack отвечает - service k4nv is enabled and/or running. disable it first, using hijackthis itself - что-то около этого)).
k4nv также не нашелся.
[QUOTE]service k4nv is enabled and/or running. disable it first[/QUOTE]
Ну его, этот HijackThis :) Сделайте так:
Пуск - Выполнить - [B]cmd.exe[/B]
В открывшемся окне командной строки:
[B]sc config K4NV start=disabled
sc stop K4NV
sc delete K4NV[/B]
И еще: в реестре осталась пара лишних параметров, которые
HijackThis не видит. Желательно их удалить в regedit.
[B]HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run\Asn1 Security Systems
HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\RunServices\Asn1 Security Systems [/B]
(у обоих значение [I]asn1sys.exe[/I])
В остальном логи чистые.
спасибо, после этих процедур удаления - я себя уважаю как пользователя)).
Огромное спасибо за помощь:)
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]6[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\windows\\csrss.exe - [B]Trojan-PSW.Win32.LdPinch.bvm[/B] (DrWEB: Trojan.PWS.LDPinch.1530)[/LIST][/LIST]