Printable View
подцепил, похоже, когда на несколько минут откулючал виндовый брандмауэр.
щас еще нод сообщил об авторане 09.01.2011 16:56:43 Защита в режиме реального времени файл K:\Autorun.inf INF/Autorun вирус удален - изолирован NT AUTHORITY\SYSTEM Событие произошло при попытке доступа к файлу следующим приложением: D:\WINDOWS\system32\svchost.exe.
запрет автозапуска решит проблему или надо что-то делать?
Закройте все программы
Отключите
- ПК от интернета/локалки.
- Антивирус и Файрвол
[URL="http://virusinfo.info/showthread.php?t=4905"]- Системное восстановление[/URL]
[COLOR="Black"][URL="http://virusinfo.info/showthread.php?t=4491"]Пофиксите в hijackthis[/URL][/COLOR] -
[CODE]R3 - URLSearchHook: (no name) - - (no file)
[/CODE]
[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в АВЗ[/URL] -
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
DeleteFileMask(GetAVZDirectory + 'Quarantine', '*.*', true);
TerminateProcessByName('e:\windows\gwdrive32.exe');
QuarantineFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1413\syitm.exe','');
QuarantineFile('E:\RECYCLER\S-1-5-21-3988286150-5397650917-263201589-7338\csisf.exe','');
QuarantineFile('E:\WINDOWS\VM303_STI.EXE','');
QuarantineFile('E:\WINDOWS\gwdrive32.exe','');
QuarantineFile('E:\Documents and Settings\VLADIMIR\Application Data\oekx.exe','');
DeleteFile('E:\Documents and Settings\VLADIMIR\Application Data\oekx.exe');
DeleteFile('E:\WINDOWS\gwdrive32.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','Microsoft Driver Setup');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Microsoft Driver Setup');
DeleteFile('E:\RECYCLER\S-1-5-21-3988286150-5397650917-263201589-7338\csisf.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Taskman');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Tnaww');
DeleteFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1413\syitm.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Winlogon','Taskman');
BC_ImportAll;
ExecuteSysClean;
ExecuteWizard('TSW',2,2,true);
BC_Activate;
RebootWindows(true);
end.[/CODE]
После выполнения скрипта компьютер перезагрузится.
После перезагрузки:
- выполните такой скрипт
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
Пришлите файл [B][COLOR="Red"]quarantine.zip[/COLOR][/B] из папки AVZ по ссылке [COLOR="Red"][B][U]Прислать запрошенный карантин[/U][/B][/COLOR] над первым сообщением этой темы.
- Повторите логи
вот логи
Закройте все программы
Отключите
- ПК от интернета/локалки.
- Антивирус и Файрвол
[URL="http://virusinfo.info/showthread.php?t=4905"]- Системное восстановление[/URL]
[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в АВЗ[/URL] [B]диск О: должен быть подключен[/B] -
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
DeleteFileMask(GetAVZDirectory + 'Quarantine', '*.*', true);
DeleteFile('E:\RECYCLER\S-1-5-21-3988286150-5397650917-263201589-7338\csisf.exe');
DeleteFile('E:\Documents and Settings\VLADIMIR\Application Data\oekx.exe');
DeleteFile('O:\autorun.inf');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]
После выполнения скрипта компьютер перезагрузится.
[B]- Обновите базы АВЗ[/B]
- Повторите логи
по инструкции
Отключите[B][COLOR="Red"]Системное восстановление!!![/COLOR][/B][URL="http://avptool.ru/ru/AVPTool_helpdesk_sysrestore.htm"] как- посмотреть можно тут[/URL]
- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/URL]
[CODE]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFileMask(GetAVZDirectory + 'Quarantine', '*.*', true);
DeleteFile('E:\WINDOWS\system32\18.exe');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]
После перезагрузки:
Обновите систему
- SP2 обновите до [URL="http://www.microsoft.com/Downloads/details.aspx?displaylang=ru&FamilyID=5b33b5a8-5e76-401f-be08-1e1555d4f3d4"]Service Pack 3[/URL](может потребоваться активация)
[B]*[/B] Перед установкой Сервис Пака необходимо выгрузить антивирус, файрвол, а так же резидентные приложения типа TeaTimer (Spybot Search and Destroy) и др.)
[B]*[/B] Microsoft остановил поддержку и выпуск обновлений безопасности для ОС Windows XP без установленного SP3, см.[URL="http://windows.microsoft.com/ru-ru/windows/help/end-support-windows-xp-sp2-windows-vista-without-service-packs?os=xp"]тут[/URL]
- Поставте все последние обновления системы Windows - [URL="http://www.update.microsoft.com"]тут[/URL]
После обновления:
- Сделайте повторный лог [COLOR="Blue"]virusinfo_syscheck.zip[/COLOR];
- Сделайте лог [URL="http://virusinfo.info/showpost.php?p=457118&postcount=1"][COLOR="Blue"][B]MBAM[/B][/COLOR][/URL]
Да, с системным восстановлением я лажанулся, забыл отключить. Все переделал.
Насчет SP3 терзают сомнения, что будет требоваться активация и из-за этого что-нить потом работать не будет или еще чего. Поищу дистрибутив СП3 без активации. А на данном этапе с вирусом покончено? Интернет вроде функционирует нормально.
Про выгрузку НОДа неочень понятно. Достаточно поставить в настройках "отключить защиту ...."? Он в трее остается, но не ругается.
[QUOTE=polword;753368]
- Сделайте лог [URL="http://virusinfo.info/showpost.php?p=457118&postcount=1"][COLOR=Blue][B]MBAM[/B][/COLOR][/URL][/QUOTE]
-такой лог еще сделайте
если не обновитесь вероятность повторного заражения велика...
МВАМ нашел кучу вирусов-троянов. Он их вылечить может? Или это триальная версия и только находит вирусы? Нажать "Удалить объекты"?
НОД еще выдал для каждого файла моего сайта, который был заражен следующее:
10.01.2011 11:59:35 Защита в режиме реального времени файл G:\Corgphoto\kareliya\photo\trassa_06.htm HTML/ScrInject.B.Gen вирус удален - изолирован HOME-PC-1\VLADIMIR Событие произошло при попытке доступа к файлу следующим приложением: E:\Program Files\Malwarebytes' Anti-Malware\mbam.exe.
Я думал там только в НТМЛ файл дописался како-то код, я его удалил.
Все найденное в MBAM удалите.
СП3 пока неставил.
Интернет, вроде, работает нормально. НОД пока молчит.
Сделал логи. Все ОК?
Ничего плохого не видно.
С обновлением не затягивайте.
Спсибо за помощь! Жаль мне самому ничего не понятно, что в этих скриптах написано, делаю все в слепую.
Спсли меня от переустановки винды.
Может я рано обрадовался? Интерент на компе, который лечил, бывает начинает тормазить сильно. Это происходит через какое-то время после включения компа. Сначала все нормально и быстро, но потом... Простые сайты рамблер или яндекс грузятся около минуты-двух. При этом, этот комп выполняет функции роутера для второго компа через хаб. Так вот на компе который через хаб и через этот комп интернет работает на нормальной скорости.
Сделал пинг с вылеченного компа на яндекс. Сильно разое время?! Пинг с компа через хаб и через вылеченный комп не превышает 25 мс.
Раньше такого не было. Щас то нормально грузится, то может притормаживать.
Что это может быть?
ставьте на этот комп SP3 + все заплатки вышедшее после
в логах нет подозрительного
Сделайте логи на всякий случай со второго компа создайте для него новую тему
После лечения очень сильно тормозит интернет, страницы грузятся по 5-7 минут. СП3 поставил. Поставил хром для проверки, на нем тоже очень долго грузится все. Сам комп работает нормально, без тормозов. Я уже говорил, что он работает как роутер, так вот на другом компе интернет летает. Что может быть? Пинг с яндексом постил выше, вроде все ок.
после долгих танцев с бубном вокруг компа похоже выяснилась причина тормозов. Выключаю торрент и все становится ОК. Хотя торрент ничего не качает и неособо раздает. Приэтом, раньше никаких проблем при включенном торренте даже при закачке на полную тормозов не ощущалось при серфинге интернета.
Поставил прогу tcpview в ней хорошо видно, что при выключенном торренте немного процессов, а если запустить торрент то процессов становится очень много.
Торрент клиент qtorrent. Интернет акадо старг 0,8 мбит. XP sp3 поставил недавно и все обновления. Комп выполняет функции роутера (две сетевухи встроенная и PCI) в домашней сетке через хаб. Скорость на speedtest.net соответствует заявленной в акадо со всехх компов вроде.
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]15[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\recycler\\s-1-5-21-0243556031-888888379-781863308-1413\\syitm.exe - [B]Packed.Win32.Krap.ig[/B] ( DrWEB: BackDoor.IRC.Bot.166, BitDefender: Trojan.Generic.KD.103849, NOD32: Win32/Lethic.AA trojan, AVAST4: Win32:Malware-gen )[*] e:\\documents and settings\\vladimir\\application data\\oekx.exe - [B]Packed.Win32.Krap.ig[/B] ( DrWEB: Trojan.Inject.19091, BitDefender: Trojan.Generic.KD.103078, NOD32: Win32/Bflient.K worm, AVAST4: Win32:Trojan-gen )[*] e:\\recycler\\s-1-5-21-3988286150-5397650917-263201589-7338\\csisf.exe - [B]P2P-Worm.Win32.Palevo.bmcy[/B] ( DrWEB: Trojan.Inject.19174, BitDefender: Worm.Generic.308849, NOD32: Win32/Peerfrag.FD worm, AVAST4: Win32:Trojan-gen )[*] e:\\windows\\gwdrive32.exe - [B]Packed.Win32.Krap.ig[/B] ( DrWEB: Trojan.DownLoader1.51579, BitDefender: Trojan.Generic.KDV.102927, AVAST4: Win32:Trojan-gen )[/LIST][/LIST]