По-видимому, было заражение системы. Долгая загрузка системы, сразу после загрузки пропадает доступ к локальной сети. Лечение не дало никаких результатов. Ни CurIt, ни AVP Tools не нашли ничего. Вот логи. Спасибо.
Printable View
По-видимому, было заражение системы. Долгая загрузка системы, сразу после загрузки пропадает доступ к локальной сети. Лечение не дало никаких результатов. Ни CurIt, ни AVP Tools не нашли ничего. Вот логи. Спасибо.
Закройте все программы
Отключите
- ПК от интернета/локалки.
- Антивирус и Файрвол
[URL="http://virusinfo.info/showthread.php?t=4905"]- Системное восстановление[/URL]
[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в АВЗ[/URL] -
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
DeleteFileMask(GetAVZDirectory + 'Quarantine', '*.*', true);
QuarantineFile('C:\RECYCLER\S-1-5-21-8996779609-2559983509-132499227-1200\nissan.exe','');
DeleteFile('C:\RECYCLER\S-1-5-21-8996779609-2559983509-132499227-1200\nissan.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Winlogon','Taskman');
BC_ImportAll;
ExecuteSysClean;
ExecuteWizard('TSW',2,2,true);
BC_Activate;
RebootWindows(true);
end.[/CODE]
После выполнения скрипта компьютер перезагрузится.
После перезагрузки:
- выполните такой скрипт
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
Пришлите файл [B][COLOR="Red"]quarantine.zip[/COLOR][/B] из папки AVZ по ссылке [COLOR="Red"][B][U]Прислать запрошенный карантин[/U][/B][/COLOR] над первым сообщением этой темы.
- Прокси Ваши? - [CODE]R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = ftp=192.168.10.1:3128;http=192.168.10.1:3128;https=192.168.10.1:3128
[/CODE]
Скрипт выполнил. Карантин выслал.
Файл сохранён как 101229_161513_quarantine_4d1b3461b1c8f.zip
Размер файла 654
MD5 56692f12f4282272b95933907fbc20ce
Прокси мой, используется. Буду сейчас тестировать систему. Логи надо новые делать?
Да, сделайте новые логи?
Сеть пропадает и дальше. Заметил такую вещь: в начале загрузки системы, сразу после регистрации, появляется процесс osa.exe, а затем пропадает. Так вот, если сразу снять этот процесс, то сеть работает хорошо. Не уверен пока, что это работает всегда, но пару раз уже мог наблюдать эту ситуацию.
Вот новые логи.
[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в АВЗ[/URL] -
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
DeleteFileMask(GetAVZDirectory + 'Quarantine', '*.*', true);
QuarantineFile('C:\WINDOWS\system32\ckldrv.sys','');
BC_ImportAll;
BC_Activate;
RebootWindows(true);
end.[/CODE]
После выполнения скрипта компьютер перезагрузится.
После перезагрузки:
- выполните такой скрипт
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
Пришлите файл [B][COLOR="Red"]quarantine.zip[/COLOR][/B] из папки AVZ по ссылке [COLOR="Red"][B][U]Прислать запрошенный карантин[/U][/B][/COLOR] над первым сообщением этой темы.
[QUOTE='StepIn;750736']после регистрации, появляется процесс osa.exe, а затем пропадает.[/QUOTE] Попробуйте поискать его в автозагрузке(можно использовать утилиту Autoruns) и убрать его оттуда и понаблюдайте.
Скрипт выполнил. Карантин выслал.
Файл сохранён как 101229_202648_quarantine_4d1b6f5854871.zip
Размер файла 34833
MD5 9eb77405fca2e6e24e34a5e3a8e3304b
Сделал отключение автозапуска для osa.exe, сеть пропадает дальше. Буду искать что-то еще. Вчера удалил вместе с osa.exe еще какой-то процесс, и сеть работала. Сегодня этот процесс не вижу. А название вчерашнего удаленного процесса не помню. Возможно это важно: доступа к локальной сети нет, а интернет есть постоянно.
Ещё давайте проверим настройки DNS, есть среди них незнакомые Вам? -
[CODE]O17 - HKLM\System\CCS\Services\Tcpip\Parameters: Domain = multimed.svitonline.com
O17 - HKLM\Software\..\Telephony: DomainName = multimed.svitonline.com
O17 - HKLM\System\CCS\Services\Tcpip\..\{1221D907-6E5D-4236-A33B-FDF3A968003D}: NameServer = 192.168.10.1
O17 - HKLM\System\CCS\Services\Tcpip\..\{2E09CAD0-CCD7-454B-BC00-130C76068C38}: NameServer = 192.168.10.1
O17 - HKLM\System\CS1\Services\Tcpip\Parameters: Domain = multimed.svitonline.com
O17 - HKLM\System\CS1\Services\Tcpip\..\{1221D907-6E5D-4236-A33B-FDF3A968003D}: NameServer = 192.168.10.1
O17 - HKLM\System\CS2\Services\Tcpip\Parameters: Domain = multimed.svitonline.com
O17 - HKLM\System\CS2\Services\Tcpip\..\{1221D907-6E5D-4236-A33B-FDF3A968003D}: NameServer = 192.168.10.1
[/CODE]
Да, DNS мои и правильные. Уточняю проблему с сетью. Сеть номинально есть. Пингуется как по IP адресу, так и по имени компьютера. А вот зайти на какой-то компьютер в локальной сети невозможно. Вернее сразу после регистрации сеть доступна (можно зайти на какой-то компьютер в локальной сети) только в течении 2 -3 минут. А затем нельзя.
[size="1"][color="#666686"][B][I]Добавлено через 1 час 14 минут[/I][/B][/color][/size]
Вот что удалось сделать. После того, как я удалил процесс alg.exe, сеть перестала пропадать и даже после последующей перезагрузки. Есть ли этому какое-то объяснение? Возможно файл alg.exe был чем-то модифицирован? Размер этого файла – 45 056 байт. Надо ли его выслать вам для изучения?
Модифицирован - вряд ли, может с кем-то конфликтовал. Но конечно проверить не мешало бы. Запакуйте пожалуйста в zip-архив с паролем [B]virus[/B] и пришлите по ссылке [COLOR="Red"][B][U]Прислать запрошенный карантин[/U][/B][/COLOR] над первым сообщением этой темы.
Файл alg_files.zip выслал:
Файл сохранён как 101229_225644_alg_files_4d1b927c388d9.zip
Размер файла 19621
MD5 5cb7782ce3402064ce74f5ec83615a36
Olejah, большое спасибо за помощь!
Файл чист. Сейчас всё в порядке?
Спасибо! Пока сеть есть. Завтра буду тестировать.
Всех с Новым Годом!
С сетью проблемы продолжаются. Заметил следующее. Загружается система. Все в порядке, сеть работает. Запускаю Интернет Эксплорер – сеть падает: не могу доступиться ни к одному компьютеру в сети. При этом пинг проходит как по IP адресу, так и по имени компьютера. После перегрузки сеть опять в норме. Кажется, после запуска Chrome сеть не падает, но точно не уверен, так как пробовал пару раз всего. И еще, если после падения сети не перегружать компьютер, то через некоторое время система начинает сбоить – некоторые программы не стартуют, возникают ошибки.
Подскажите, куда двигаться дальше?
Вот новые логи, которые сделаны во время неработающей локальной сети.
Обновите систему
- Установите [URL="http://www.microsoft.com/rus/windows/internet-explorer/default.aspx"]Internet-Explorer 8[/URL].(даже если Вы его не используете)
- Поставте все последние обновления системы Windows - [URL="http://www.update.microsoft.com"]тут[/URL]
- Обновите [URL="http://www.java.com/ru/download/manual.jsp"]Java [/URL].
- поставте [URL="http://get.adobe.com/reader/otherversions/"]Adobe Reader 9.4[/URL] или удалите старый.
После обновления:
- Откройте файл [URL="http://df.ru/~kad/ScanVuln.txt"]ScanVuln.txt[/URL]. Выполните из этого файла скрипт в AVZ. В результате работы скрипта будет создан файл - avz_log.txt.
Пройдитесь по ссылкам из файла avz_log.txt и установите все рекомендуемые обновления(если таковые будут).
Перезагрузите компьютер.
Снова выполните этот скрипт и убедитесь, что уязвимости устранены.
понаблюдайте за проблемой и отпишитесь
Систему и Интернет-Эксплорер обновил. Система работает, сеть есть! Буду тестировать дальше.
Всем хелперам - большое спасибо!
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]3[/B][*]Обработано файлов: [B]6[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]