Printable View
Не желал убиваться совсем startdrv.exe, т.е. просто не давал себя убить. Никак. И еще порождал новых троянов.
К тому же отрубился диспетчер задач (выдается сообщение "Диспетчер задач выключен администратором").
Запустил , как у вас тут написано AVZ и Hijackthis.
(сделал все по инструкции).
Подскажите , пожалуйста, что делать дальше.
Если можно - по-простому, "для чайников" ;)
Заранее - стотыщ благодарностей!
пофиксите ...
[code]
O4 - HKLM\..\Run: [startdrv] C:\WINDOWS\Temp\startdrv.exe
[/code]
выполните скрипт...
[code]
begin
BC_QrFile('C:\WINDOWS\Temp\startdrv.exe');
BC_QrFile('C:\WINDOWS\SYSTEM32\DRIVERS\RUNTIME2.SYS');
BC_QrFile('C:\WINDOWS\system32\lsetup.exe');
QuarantineFile('C:\WINDOWS\system32\winlogon.exe','');
QuarantineFile('C:\WINDOWS\system32\bho.dll','');
QuarantineFile('C:\WINDOWS\system32\lsetup.exe','');
DeleteFile('C:\WINDOWS\system32\bho.dll');
BC_DeleteFile('C:\WINDOWS\Temp\startdrv.exe');
BC_DeleteFile('C:\WINDOWS\SYSTEM32\DRIVERS\RUNTIME2.SYS');
BC_DeleteFile('c:\windows\system32\svchost.exe:ext.exe:$DATA ');
BC_DeleteSvc('runtime');
BC_DeleteSvc('runtime2');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
пришлите карантин согласно приложения 3 правил...
выполните [url]http://virusinfo.info/showthread.php?t=8877[/url]
В дополнение:
C:\WINDOWS\system32\winlogon.exe
пришлите по правилам (приложение 2),
похоже патченный.
Закачал все как сказали, вроде. За сим убегаю, извините, дитё забрать надо!!!
Завтра сразу же продолжу лечение. Спасибо огромное за оперативный ответ!
[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]
Закачал все как сказали, вроде. За сим убегаю, извините, дитё забрать надо!!!
Завтра сразу же продолжу лечение. Спасибо огромное за оперативный ответ!
[b]Trojan-Spy.Win32.KeyLogger.rp[/b] C:\WINDOWS\Temp\startdrv.exe
Выполните скрипт в AVZ:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
QuarantineFile('C:\autorun.inf','');
DeleteFile('C:\autorun.inf');
BC_ImportDeletedList;
BC_Activate;
ExecuteSysClean;
RebootWindows(true);
end.
[/code]
C:\WINDOWS\system32\winlogon.exe - чистый
Здравствуйте еще раз! Проделал все указанные процедуры.
Теперь другая беда - Винда грузится только в безопасном режиме.
При обычной - виснет мертво на стадии "Загрузка Windows"
причем, даже лампочка диска не моргает.
Что делать дальше? На вас вся надежа, местные гуру! :)
В безопасном сделайте такой лог:
[url]http://virusinfo.info/showthread.php?t=10387[/url]
а остальные логи надо еще раз ? если надо - скажите, сделаю
Выполните скрипт:
[code]
begin
ClearQuarantine;
DeleteFile('C:\WINDOWS\Temp\startdrv.exe');
ExecuteSysClean;
BC_QrFile('C:\WINDOWS\System32\drivers\protect.sys');
BC_QrFile('C:\WINDOWS\system32\drivers\ntoss.sys');
BC_QrFile('C:\WINDOWS\system32\drivers\ntosnh.sys');
BC_QrFile('C:\WINDOWS\system32\drivers\kcp.sys');
BC_DeleteSvc('protect');
BC_DeleteSvc('runtime2');
BC_Activate;
RebootWindows(true);
end.[/code]
после перезагрузки пришлите карантин по правилам.
еще вопросик - вчера rubin сказал, что
C:\WINDOWS\system32\winlogon.exe - чистый, возражений ни от кого не последовало. Я правильно понял, что его из карантина можно восстановить обратно ?
Его копию только взяли в карантин, на самой машине на своём месте он остался
не запускается скрипт, сообщение: " ошибка: Too many actual parameters в позиции 5:11"
Извиняюсь, поправил ошибки, скопируйте заново.
Извиняться вовсе даже не за что ! ;)
отправил карантин.
Пофиксите в HijackThis:
[code]
O2 - BHO: BhoApp Class - {0CB66BA8-5E1F-4963-93D1-E1D6B78FE9A2} - C:\WINDOWS\system32\bho.dll (file missing)
[/code]
Выполните такой скрипт:
[code]
begin
BC_DeleteSvc('kcp');
BC_DeleteSvc('ntosnh.sys');
BC_DeleteSvc('ntoss.sys');
BC_Activate;
RebootWindows(true);
end.[/code]
Пробуйте обычный режим. Если пойдет, сделайте новые логи.
все сделал - не пошло :( , только в безопасном режиме, по прежнему.
а теперь с работы выгоняют - закрывать все надо. Если не против - завтра продолжим? или что-то нужно выслать сейчас?
Ждем конечно
Продолжим конечно. Я думаю надо удалить оба ваши антивируса. Когда долечим, поставите один, какой больше ндравится ;).
Др.Веб удалится легко, а вот Нортон антивирус я и так хотел снести, но он, зараза, в безопасном режиме не удаляется. Завтра буду пробовать руками снести.
Если есть рекомендации - тут напишите, завтра с утра приду - прямо с них и начну.
и спасибо за поддержку!
Не удаляется, потому что в безопасном не работает MS Installer.
Можно заставить его работать следующими командами:
[code]
reg add "HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\MSIServer" /VE /T REG_SZ /F /D "Service"
net start MSIServer[/code]
(скопируйте код в .bat файл для удобства).
сделал батник, запустил, но при попытке удаления через установку/удаление программ выдается сообщение: "Setup has detected Windows is running in safe mode. Please restart you machine in normal mode. Setup will now exit"
C Нортоном Антивирусом нелады уже давно какие-то были, Винда периодически требовала его снести и переустановить заново, но все руки не доходили. а теперь вот така фигня. Так как его снести-то? просто руками убить попытаться, или что еще подскажете?
[URL="http://service1.symantec.com/SUPPORT/tsgeninfo.nsf/pfdocs/2005033108162039?Open"]здесь[/URL] скачайте утилиту для удаления своей версии ...
что-то ссылка того... не открывается. :(
может вставилась не полностью?
проверил ... отредактировал ... работает ...
Снес нортоновские прибабахи - загрузка заработала в нормальном режиме! Даже смогли включить диспетчер задач.
Теперь надо сделать новые логи, насколько я понимаю?
Таки вот они. Сразу несколько вопросов:
1. Что сделать еще надо? И надо ли вообще?
2. Что посоветуете юзать в качестве антивируса на будущее(Нортон антивирус продавался вместе с компом, но он не очень нравится, сильно тормозит все)?
Оставить Др.Веб(поставил только что, во время разборок с сабжем) или что другое поставить? (Комп - ноут, Pentium-M 1.6GHz 512МБ ОЗУ)
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
BC_QrFile('C:\WINDOWS\system32\svchost.exe:ext.exe');
BC_DeleteFile('C:\WINDOWS\system32\svchost.exe:ext.exe');
BC_QrSvc('FCI');
BC_DeleteSvc('FCI');
BC_Activate;
ExecuteSysClean;
RebootWindows(true);
end.
[/code]
Затем повторите лог hijackthis
весь подпрыгиваю на стуле от (теперь уже радостного) нетерпения! ;)
пофиксите ...
[code]
F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe
[/code]
выполните скрипт ...
[code]
begin
ExecuteRepair(1);
ExecuteRepair(6);
ExecuteRepair(8);
ExecuteRepair(9);
ExecuteRepair(11);
ExecuteRepair(16);
RebootWindows(true);
end.
[/code]
appmgmts.dll -пришлите по правилам ...
>> Службы: разрешена потенциально опасная служба TermService (Службы терминалов)
>> Службы: разрешена потенциально опасная служба SSDPSRV (Служба обнаружения SSDP)
>> Службы: разрешена потенциально опасная служба Alerter (Оповещатель)
>> Службы: разрешена потенциально опасная служба Schedule (Планировщик заданий)
>> Службы: разрешена потенциально опасная служба mnmsrvc (NetMeeting Remote Desktop Sharing)
>> Службы: разрешена потенциально опасная служба RDSessMgr (Диспетчер сеанса справки для удаленного рабочего стола)
> Службы: обратите внимание - набор применяемых на ПК служб зависит от области применения ПК (домашний, ПК в ЛВС компании ...)!
>> Безопасность: разрешен автозапуск программ с CDROM
>> Безопасность: разрешен административный доступ к локальным дискам (C$, D$ ...)
>> Безопасность: к ПК разрешен доступ анонимного пользователя
>> Безопасность: Разрешена отправка приглашений удаленному помошнику
Что из этого Вам не нужно?
Насколько я понимаю в этом, и как говорит мне мой админ - мне ничего из этого списка служб не нужно (для справки: комп - домашний, провайдер - Корбина)
а файл ,запрошенный V_Bond-ом (appmgmts.dll) AVZ не нашел.
Тогда можно выключить все (оставил автозапуск с CD):
[code]
begin
SetServiceStart('Alerter', 4);
SetServiceStart('Schedule', 4);
SetServiceStart('mnmsrvc', 4);
SetServiceStart('RDSessMgr', 4);
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'System\CurrentControlSet\Services\LanmanServer\Parameters','AutoShareWks', 0);
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Control\LSA','RestrictAnonymous', 2);
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Control\Terminal Server','fAllowToGetHelp', 0);
RebootWindows(true);
end.
[/code]
[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]
PS: appmgmts.dll - это легитимный файл от MS (Maxim)
[QUOTE]PS: appmgmts.dll - это легитимный файл от MS (Maxim)[/QUOTE]
только... не совсем на месте лежит ;)
От троянов поглубже заховался :)
[quote=V_Bond;149813]только... не совсем на месте лежит ;)[/quote]
так что делать-то с ним? искал по правилам, но AVZ его просто не нашел
[size="1"][color="#666686"][B][I]Добавлено через 2 минуты[/I][/B][/color][/size]
скрипт от rubinа выполнил
что еще нужно сделать (кроме как сказать огромное спасибо всем принявшим участие в решении проблемы)?
Ну если проблем не осталось, то...
советуем прочитать [URL="http://security-advisory.newmail.ru/"]электронную книгу[/URL] "Безопасный Интернет. Универсальная защита для Windows ME - Vista".
Вы можете нас отблагодарить, [URL="http://www.virusinfo.info/showthread.php?t=3519"]оказав нам помощь в сборе базы безопасных файлов[/URL]. Мы будем Вам очень благодарны!
Удачи!
никак не меняется ужасная заставка рабочего стола с красным на черном фоне предупреждением об опасности(от Windows Security Center)
как побороть?
выполните скрипт ...
[code]
begin
ExecuteRepair(5);
RebootWindows(true);
end.
[/code]
страшная картинка исчезла, но обои не меняются. причем почему-то только в 1-й учетной записи, в другой - все нормально.
может, какой-то из ранее указанных скриптов надо было продублировать в каждой уч.записи?
да из поста 28 ...
еще раз всем помощникам огромное спасибо!!! вечером пришлю запрошенную выше информацию (на работе инет медленный, из дома вышлю)
последний вопрос. Сейчас, вроде, все работает (тьфу*3), если сегодня-завтра еще всплывут последствия по каким-то настройкам и т.п. - писать сюда же, не плодить новую тему?