Printable View
Корпоративный антивирь поймал вот такую гадость на одном из компов:
Threat Alert
OfficeScan detected TROJ_Generic on DECLA4 in Raimp domains.
File: E:\WINDOWS\system32\xmm13g.dll
Detection date: 10.05.2007 10:26:48
Action: Virus successfully detected, cannot perform the Clean action (Cannot perform the Delete action)
Комп теперь тормозит безбожно....
Помогите!!!
Приаттачиваю логи....
На заражённой машине выполнить скрипт:
[url=http://virusinfo.info/showthread.php?t=7239]AVZ Файл - Выполнить скрипт --Скопировать ниже написанный скрипт-- Запустить.[/url]
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('\SystemRoot\system32\SetupNT.sys','');
QuarantineFile('\??\E:\WINDOWS\system32\mmx19g.sys','');
QuarantineFile('E:\WINDOWS\system32\xmm13g.dll','');
QuarantineFile('E:\WINDOWS\system32\qz.sys','');
BC_ImportQuarantineList;
BC_LogFile(GetAVZDirectory + 'boot_copy.log');
BC_Activate;
RebootWindows(true);
end.
[/code]
[B], компьютер перегрузиться сам .[/B]
Прислать карантин согласно [b]приложения 3 [url=http://virusinfo.info/showthread.php?t=1235]правил [/url][/b].
Загружать по ссылке: [url]http://virusinfo.info/upload_virus.php?tid=9605[/url]........
P.S. затем для интереса, я бы попробовал загрузиться в безопасный режим и просканировать оттуда трендмикро. Интересно , получиться или нет ;)
сделал :)
Сделал усе как пологается, только тренд в сейф-моде не пашет, а так проверил - больше не ругается. Карантин зааплодил.
Спасибо большое!
Старый зверек - [B]троянская программа Backdoor.Win32.Haxdoor.kd [/B](по КАВ).
Выполните скрипт:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('E:\WINDOWS\system32\qz.sys');
DeleteFile('E:\WINDOWS\system32\xmm13g.dll');
DeleteFile('E:\WINDOWS\system32\mmx19g.sys');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]
После перезагрузки пофиксите в HijackThis:
[code]
O3 - Toolbar: (no name) - {3CEFF6CD-6F08-4e4d-BCCD-FF7415288C3B} - (no file)
O16 - DPF: {33331111-1111-1111-1111-615111193427} -
O20 - Winlogon Notify: xmm13g - E:\WINDOWS\SYSTEM32\xmm13g.dll
[/code]
и сделайте новые логи.
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]11[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] e:\\windows\\system32\\mmx19g.sys - [B]Backdoor.Win32.Haxdoor.kd[/B] (DrWEB: BackDoor.Haxdoor.309)[*] e:\\windows\\system32\\qz.sys - [B]Backdoor.Win32.Haxdoor.kd[/B] (DrWEB: BackDoor.Haxdoor.309)[/LIST][/LIST]