Printable View
[QUOTE=DINAMIT]Сейчас сделаем ;)
ВСЕ, ПОФИКСИЛ :)[/QUOTE]
из файла c:\windows\system32\drivers\etc\hosts удалить все строки, кроме строки "127.0.0.1 localhost"
среди присланных в 1 и 2 архиве файл i386p.sys - троян, его нужно удалять.
в последнем письме command.exe - тоже троян
удаляйте эти файлы, перезагружайтесь, делайте новые логи
[QUOTE=MOCT]среди присланных в 1 и 2 архиве файл i386p.sys - троян, его нужно удалять.
[/QUOTE]
Насколько я помню i386p.sys так просто не удалить. Нужно сначала удалить его "папу" предположительно msctl32.dll
[quote=Geser]Насколько я помню i386p.sys так просто не удалить. Нужно сначала удалить его "папу" предположительно msctl32.dll[/quote]
Не, все удалилось :)
[QUOTE=Geser]Насколько я помню i386p.sys так просто не удалить. Нужно сначала удалить его "папу" предположительно msctl32.dll[/QUOTE]
папу нам не прислали, поэтому сделать вывод о его существовании не могу. хотя это еще вопрос - кто кого прикрывает...
2 DINAMIT : файлы atmtd.dll* удаляйте - они выкачиваются трояном command.exe из интернета
(кстати, баннеры на рабочем столе ставит именно command.exe)
и ждем новые логи.
Баннеры вроде не выскакивают :) НО вот ууушки, вот что выскочило, когда я перезагрузился:
[URL="http://www.dealiotoday.com/normal/yyy102.html"]http://www.dealiotoday.com/normal/yyy102.html[/URL]
[URL="http://vaclick.epilot.com/click.aspx?x=efu9sl9kFGBdtaLVhLIQXvFv3TlHUgo7kn%2FNs7Ls01R14nXHh%2F4ej6Ky1ijJ6NdKqCRtNFKVt86HZ8q1D1u74Jj4PxXVL2mWRtYTI5Hn9UaxOvWSXqN4xMPpSAbHbXxMXap2oUuaOfX4%2F7fzmsgDH%2B2BM1sGgv7ZcBgOaFU0SXgdtjtGjnzkKd9FtgkwSo%2Bd0wImbqW%2FhmyDGwgniPktVLlMZ1UMA6gnjQhYz0WBfUtvZuJp%2BftcspSyWT0AA%2FvvMFohX%2Bsj3SrQfIRG7SXbC%2FzTtQb3dpH0xPWDOZBZrSk82wfq9VgjHpOUj8poTxtKKYKpqfa4D47PZsnq3tWW6AEbRjWDGgQ1"]http://vaclick.epilot.com/click.aspx?x=efu9sl9kFGBdtaLVhLIQXvFv3TlHUgo7kn%2FNs7Ls01R14nXHh%2F4ej6Ky1ijJ6NdKqCRtNFKVt86HZ8q1D1u74Jj4PxXVL2mWRtYTI5Hn9UaxOvWSXqN4xMPpSAbHbXxMXap2oUuaOfX4%2F7fzmsgDH%2B2BM1sGgv7ZcBgOaFU0SXgdtjtGjnzkKd9FtgkwSo%2Bd0wImbqW%2FhmyDGwgniPktVLlMZ1UMA6gnjQhYz0WBfUtvZuJp%2BftcspSyWT0AA%2FvvMFohX%2Bsj3SrQfIRG7SXbC%2FzTtQb3dpH0xPWDOZBZrSk82wfq9VgjHpOUj8poTxtKKYKpqfa4D47PZsnq3tWW6AEbRjWDGgQ1[/URL]
Ну, судя по всему осталось самое неприятное [URL="http://virusinfo.info/showthread.php?t=4481"]look2me[/URL]
:embarasse БАННЕР ВЫПОЛЗ, причем было затишье и тут одновременно баннер и окно с ууууу.... Наверно это один и тот же, но сейчас как-то не постоянно раньшетак в каждую минуту ....
[QUOTE=DINAMIT]:embarasse БАННЕР ВЫПОЛЗ, причем было затишье и тут одновременно баннер и окно с ууууу.... Наверно это один и тот же, но сейчас как-то не постоянно раньшетак в каждую минуту ....[/QUOTE]
look2me выкачивает всякую дрянь из инета. Нужно его сначала прибить.
[quote=Geser]Ну, судя по всему осталось самое неприятное [URL="http://virusinfo.info/showthread.php?t=4481"]look2me[/URL][/quote]
Мне делать все что указано здесь?
[QUOTE=DINAMIT]Мне делать все что указано здесь?[/QUOTE]
Не всё. Там несколько способов. Нужно выбрать любой на вкус.
[quote=Geser]Не всё. Там несколько способов. Нужно выбрать любой на вкус.[/quote]
Сейчас попробую .......
Файлики пришли, точный диагноз по ним:
cXFx\command.exe = AdWare.Win32.CommAd.a
system32\drivers\i386p.sys = Trojan.Win32.Agent.of (это трояно-руткитный драйвер, зашифрованный к тому-же)
Эти два файла нужно прибить через отложенное удалене AVZ (файл/отложенное удаление), перезагрузиться и убедиться, что они убились.
Судя по последним логам Geser прав - это классический Look2me, если не поможет инструкция по указанной ссылке, то проще снять HDD, прицепить к другому ПК и прибить "зверя" ...
ВСЕ ВРОДЕ БОЛЬШЕ НИЧЕГО НЕ ВСПЛЫВАЕТ :) ВСЕМ ОГРОМНОЕ СПАСИБО !!!!!!!!!!!!!!!! САЙТ СУПЕР!!!!!!!!!
Всегда рады :) Только не плохо бы для контроля еще раз сделать логи.
[quote=Geser]Всегда рады :) Только не плохо бы для контроля еще раз сделать логи.[/quote]
ВОТ ЛОГИ ...... ЕЩЕ РАЗ СПАСИБО !!!!
из файла c:\windows\system32\drivers\etc\hosts удалить все строки, кроме строки "127.0.0.1 localhost"
В HijackThis пофиксить
O20 - Winlogon Notify: H323TSP - C:\WINDOWS\system32\guard.tmp (file missing)
O20 - Winlogon Notify: ModuleUsage - C:\WINDOWS\system32\mpicda.dll (file missing)
O20 - Winlogon Notify: WindowsUpdate - C:\WINDOWS\system32\gp2sl3f71.dll (file missing)
[QUOTE=DINAMIT]ВОТ ЛОГИ ...... ЕЩЕ РАЗ СПАСИБО !!!![/QUOTE]
Ещё немного хлама -
O23 - Service: Abangid - - (no file)
O23 - Service: Command Service (cmdService) - Unknown owner - C:\WINDOWS\cXFx\command.exe (file missing)
O23 - Service: Network Monitor - Unknown owner - C:\Program Files\Network Monitor\netmon.exe (file missing)
Тоже пофиксить.
А вот Hosts я бы не чистил, меньше будет шансов зацепить какой-нибудь гадости в будующем, Look2Me честно туда добавил своих конкурентов :P
ВСЕ, ПОСМОТРИТЕ, ПЛИЗ ЕЩЕ РАЗ, А ТО МАЛО ЛИ ;)
В принципе для полного счастья можно в АВЗ->Менеджер расширений проводника удалить
C:\WINDOWS\system32\kldukx.dll
C:\WINDOWS\system32\guard.tmp
но это уже косметика, так всё чисто
[quote=Geser]В принципе для полного счастья можно в АВЗ->Менеджер расширений проводника удалить
C:\WINDOWS\system32\kldukx.dll
C:\WINDOWS\system32\guard.tmp
но это уже косметика, так всё чисто[/quote]
ВСЕ СПАСИБО!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!