Printable View
При запуске любого антивируса (пробовал Касперского, Панду, Nod32) либо пишет сообщение "...не является приложением Win 32", либо при запуске exe-шника окно зависает. При попытке запустить Avz и CureIt то же самое. Безопасный режим не грузится (перезагружается с появлением одной-двух строк с указанием каких-то файлов). hijackthis удалось запустить только переименованную версию. Лог:
Скачайте [url=http://devbuilds.kaspersky-labs.com/devbuilds/AVPTool/]AVPTool[/url] и проверьте систему
Всю или только критические области?
Загружайтесь с CD или в консоль восстановления, ищите и удаляйте:
[b]windows\system32\drivers\srosa.sys
windows\system32\drivers\hldrrr.exe
windows\system32\wintems.exe
windows\system32\mdelk.exe[/b]
Первые два файла удалил (3-его и 4 -го нет), систему проверил, но не помогло.
Попробуйте запустить AVZ
Не запускается. Опять пишет, что Avz не является приложением Win32, даже после того, как полностью проверил систему (было обнаружено где-то 10 вирусов)... может, надо какие ключи в реестре стереть?
Переименовывать avz.exe пробовали? В какой-нибудь 789.pif например?
Через CD или консоль востановления проверьте снова наличие srosa.sys & co.
Проверил комп снова. Был обнаружен вирус Hidden.Object (модифицированный), файл C:\sccfg.sys Будет удалён после перезагрузки (я его удалил вручную). Переименованный Avz запустился, однако при проверке по прошествии некоторого времени самолично выключается. Но был обнаружен вирус AdvWare.Win32.MyWebSearch.bm
[quote]Переименованный Avz запустился, однако при проверке по прошествии некоторого времени самолично выключается.[/quote]
Это время позволяет хотя бы сделать лог syscheck (п.10 правил)?
[quote=Bratez;184923]Это время позволяет хотя бы сделать лог syscheck (п.10 правил)?[/quote]
Да, вот:
Попробуйте выполнить:
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
DeleteFile('C:\WIN_XP\system32\drivers\hldrrr.exe');
BC_DeleteFile('C:\WIN_XP\system32\drivers\hldrrr.exe');
BC_Activate;
ExecuteSysClean;
RebootWindows(true);
end.[/code]
Когда я попытался удалить файл sccfg.sys в корневом каталоге (во второй раз), то было отказано, а разблокирующая прога определила, что этот файл используется процессом System (который виден в Ctrl+Alt+Del, но не удаляется оттуда).
он оттуда и не удалится...
Скрипт прошел?
isuspm.exe - пришлите согласно приложения 3 правил ...
Если Вы имеете в виду архив virus, то вроде прислал. Кстати, удалось сделать лог лечения, это почему-то Visual Basic 6.0 его прерывал, я удалил его, и всё прошло до конца. Лог:
[quote=V_Bond;185316]isuspm.exe - пришлите согласно приложения 3 правил ...[/quote]
А... не допёр вначале... щас пришлю.
Ничего подозрительного в логе не видно.
Рекомендуется отключить все что вам не нужно из этого списка:
[code]
>> Службы: разрешена потенциально опасная служба RemoteRegistry (Удаленный реестр)
>> Службы: разрешена потенциально опасная служба TermService (Службы терминалов)
>> Службы: разрешена потенциально опасная служба SSDPSRV (Служба обнаружения SSDP)
>> Службы: разрешена потенциально опасная служба Schedule (Планировщик заданий)
>> Службы: разрешена потенциально опасная служба mnmsrvc (NetMeeting Remote Desktop Sharing)
>> Службы: разрешена потенциально опасная служба RDSessMgr (Диспетчер сеанса справки для удаленного рабочего стола)
>> Безопасность: разрешен автозапуск программ с CDROM
>> Безопасность: разрешен административный доступ к локальным дискам (C$, D$ ...)
>> Безопасность: к ПК разрешен доступ анонимного пользователя
>> Безопасность: Разрешена отправка приглашений удаленному помошнику
[/code]
Сделайте еще лог HijackThis.
Вот, закачал... только сначала не с паролем, а второй раз всё по правилам.
Файл чистый.