Не работающий Symantec + зараза

Printable View

Показывать 40 сообщений этой темы на одной странице

30.07.2008, 19:31
als-a

Не работающий Symantec + зараза

Win2000 Криво поставлен symantec поведение машинки неадекватное, явно гадость присутствует. Сумантек не удаляется (ошибка в процессе удаления) в результате ставить KIS нельзя пока сумантек не удален. Выкладываю логи. Возможно удалить сумантек посредством AVZ ?
30.07.2008, 20:12
Rene-gad

Сначала попытемся зловредов поубирать, а то они все-равно ничего поставить не дадут.
Отключите
- ПК от интернета/локалки
- Антивирус и Файрвол.
- Системное востановление.
- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт[/URL]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('F:\kwxme.pif','');
QuarantineFile('F:\autorun.inf','');
DelBHO('{4A2AACF3-ADF6-11D5-98A9-00E018981B9E}');
DeleteService('asc3360pr');
QuarantineFile('C:\WINNT\system32\drivers\ofmlhk.sys','');
DeleteFile('C:\WINNT\system32\drivers\ofmlhk.sys');
DeleteFile('F:\autorun.inf');
DeleteFile('F:\kwxme.pif');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/CODE]
После перезагрузки:
- [url="http://virusinfo.info/showthread.php?t=10025"] Очистите [/url]темп-папки, кэш проводников и корзину.
- Закройте все программы, включая Антивирус и Файрвол, Оставьте запущенным [B]только Internet Explorer[/B]. Если он не запущен - запустите!!!
- Сделайте повторные логи по правилам.
- Включите Антвирус и Файрволл
- Подключите ПК к интернету/локалке
- Закачайте карантин [COLOR="Red"][B]по красной ссылке[/B][/COLOR] вверху темы.
- Прикрепите логи к новому сообщению.
30.07.2008, 21:21
als-a

RootKit погиб, но в карантин не попал. Не помню как в win2000 выключить востановление системы. Выложил новые логи. Диск F - флешка на которой я AVZ принес, на нее можно не заморачиваться я ее потом почищу.
30.07.2008, 21:26
Rene-gad

[QUOTE=als-a;261530]Не помню как в win2000 выключить востановление системы. [/QUOTE]
Никак - его там нет, сорри, не заметил 8) А флешечку вставьте -тем авторан нехороший.
Отключите
- ПК от интернета/локалки
- Антивирус и Файрвол.
- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт[/URL]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
TerminateProcessByName('c:\docume~1\9335~1\locals~1\temp\kwurp.exe');
TerminateProcessByName('c:\docume~1\9335~1\locals~1\temp\winrxjmkq.exe');
TerminateProcessByName('c:\docume~1\9335~1\locals~1\temp\windhutl.exe');
QuarantineFile('F:\wghwvy.pif','');
QuarantineFile('F:\autorun.inf','');
QuarantineFile('C:\WINNT\system32\drivers\ofmlhk.sys','');
QuarantineFile('c:\docume~1\9335~1\locals~1\temp\winrxjmkq.exe','');
QuarantineFile('c:\docume~1\9335~1\locals~1\temp\windhutl.exe','');
QuarantineFile('c:\docume~1\9335~1\locals~1\temp\kwurp.exe','');
DeleteFile('c:\docume~1\9335~1\locals~1\temp\kwurp.exe');
DeleteFile('c:\docume~1\9335~1\locals~1\temp\windhutl.exe');
DeleteFile('c:\docume~1\9335~1\locals~1\temp\winrxjmkq.exe');
DeleteFile('C:\WINNT\system32\drivers\ofmlhk.sys');
DeleteFile('F:\autorun.inf');
DeleteFile('F:\wghwvy.pif');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/CODE]
После перезагрузки:
- [url="http://virusinfo.info/showthread.php?t=10025"] Очистите [/url]темп-папки, кэш проводников и корзину.
- Закройте все программы, включая Антивирус и Файрвол, Оставьте запущенным [B]только Internet Explorer[/B]. Если он не запущен - запустите!!!
- Сделайте повторные логи по правилам.
- Включите Антвирус и Файрволл
- Подключите ПК к интернету/локалке
- Закачайте карантин [COLOR="Red"][B]по красной ссылке[/B][/COLOR] вверху темы.
- Прикрепите логи к новому сообщению.
30.07.2008, 22:15
als-a

Выполнил, выложил новые логи
30.07.2008, 22:16
als-a

закачал карантин
31.07.2008, 12:47
Rene-gad

[B]А флешечку вставьте, плиз.[/B]
Отключите
- ПК от интернета/локалки
- Антивирус и Файрвол.
- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт[/URL]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DelBHO('{364B6276-C6C1-40B6-A6D7-6C48871FD707}');
QuarantineFile('F:\autorun.inf','');
QuarantineFile('F:\xrpm.exe','');
QuarantineFile('C:\Program Files\Accoona\atoolbar.dll','');
DeleteFile('C:\Program Files\Accoona\atoolbar.dll');
DeleteFile('F:\xrpm.exe');
DeleteFile('F:\autorun.inf');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/CODE]
После перезагрузки:
- [url="http://virusinfo.info/showthread.php?t=10025"] Очистите [/url]темп-папки, кэш проводников и корзину.
- Закройте все программы, включая Антивирус и Файрвол, Оставьте запущенным [B]только Internet Explorer[/B]. Если он не запущен - запустите!!!
- Сделайте повторные логи по правилам.
- Включите Антвирус и Файрволл
- Подключите ПК к интернету/локалке
- Закачайте карантин [COLOR="Red"][B]по красной ссылке[/B][/COLOR] вверху темы.
- Прикрепите логи к новому сообщению.[/QUOTE]
31.07.2008, 19:05
als-a

Вобщем воды утекло много. Умер сумантек, руками в реестре. Флешка давно почищена на другом компе и там уже ничего нет. Вот что интересно ofmlhk.sys пропадает из ядра,после удаления, но появляется снова через пару перезагрузок, чего-то его опять грузит и запускает. Вообщем посмотрите новые логи - выложил.
31.07.2008, 19:17
als-a

гадось с флешки (вчерашняя) и из каталога *9335* закачана в карантин
файл 080731_101421_virus_4891d6cd86be0.zip
31.07.2008, 19:25
Rene-gad

Дело тут такое: Интернет Эксплорер у Вас такой дырявый , что через него только вермишель хорошо отбрасывать (C).
Вот еще скрипт
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteService('asc3360pr');
TerminateProcessByName('c:\docume~1\9335~1\locals~1\temp\rkfnt.exe');
TerminateProcessByName('c:\docume~1\9335~1\locals~1\temp\ayfxl.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_DeleteFile('C:\WINNT\system32\drivers\ofmlhk.sys');
BC_DeleteFile('c:\docume~1\9335~1\locals~1\temp\ayfxl.exe');
BC_DeleteFile('c:\docume~1\9335~1\locals~1\temp\rkfnt.exe');
BC_DeleteSvc('asc3360pr');
BC_Activate;
RebootWindows(true);
end.
[/CODE]
Если не поможет - буду выносить тему на консилиум.
31.07.2008, 19:40
als-a

Машинка старая - общественная, хозяев у нее было много, никто не удосужился нормально организовать защиту. Я тут в гостях - пытаюсь спасти положение. Тут на ней еще и базаочка стоит которую никак нельзя потерять - уже давно format c: сделал бы, так что не взыщите по по воду IE..
31.07.2008, 20:05
als-a

Новые логи.... Кстати а может снести все расширения IE ? Есть IE7 можно попробывать поставить, хотя этот номер врядли пройдет.
31.07.2008, 20:08
Rene-gad

В логах ничего плохого не видно
[QUOTE=als-a;261927]Кстати а может снести все расширения IE ? Есть IE7 можно попробывать поставить, хотя этот номер врядли пройдет.[/QUOTE]7-й на Вин2К не станет - это точно, а 6-й СП1 - запросто.
Ну и патчи , какие доступны на автоматическом сервере обновлений докачайте.
31.07.2008, 20:14
als-a

Щас посмотрю в своем буке, но по моему 6 нет. Надо качать...

[size="1"][color="#666686"][B][I]Добавлено через 3 минуты[/I][/B][/color][/size]

нашел 6 помоему без SP. Пробывать ставить ?
31.07.2008, 20:14
Rene-gad

[QUOTE=als-a;261933]Надо качать...[/QUOTE]держите ссылку: [url]http://www.microsoft.com/downloads/details.aspx?displaylang=ru&FamilyID=1e1550cb-5e5d-48f5-b02b-20b602228de6[/url]
31.07.2008, 20:18
als-a

Процесс закачки и установки ...
31.07.2008, 20:19
Rene-gad

[QUOTE=als-a;261941]Процесс закачки и установки ...[/QUOTE]подробный доклад в конце операции в студию ;)
31.07.2008, 20:44
als-a

IE6+sp1 ver 6.0.2800.1106 Ну и логи конечно :D
31.07.2008, 20:57
Rene-gad

Скажите честно - Вы временные папки вот этой учетки [B]9335~1[/B] хоть раз чистили? Я 3 раза писал.
Там у Вас гадюшник судя по всему
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
TerminateProcessByName('c:\docume~1\9335~1\locals~1\temp\winsrgwes.exe');
TerminateProcessByName('c:\docume~1\9335~1\locals~1\temp\winmsidu.exe');
QuarantineFile('c:\docume~1\9335~1\locals~1\temp\winsrgwes.exe','');
QuarantineFile('c:\docume~1\9335~1\locals~1\temp\winmsidu.exe','');
BC_ImportDeletedList;
ExecuteSysClean;
BC_DeleteFile('c:\docume~1\9335~1\locals~1\temp\winmsidu.exe');
BC_DeleteFile('c:\docume~1\9335~1\locals~1\temp\winsrgwes.exe');
BC_Activate;
RebootWindows(true);
end.[/CODE]
Далее - как всегда. 8)
31.07.2008, 21:22
als-a

Temp чистил и раньше НО !!! после установки IE6 в папке C:\Documents and Settings\Администратор\Local Settings\Temp обнаружилась парочка файлов доступ к которым заблокирован, попробывать их грохнуть после выполнения скрипта или чего -нибудь еще сделать сначала ? Файлики такие windtwov.exe и winxpiyd.exe, в скрипте не упоминаются а после него пойдет перезагрузка и имя их с большой вероятностью поменятся... Выполнять последний скрипт ?

[size="1"][color="#666686"][B][I]Добавлено через 8 минут[/I][/B][/color][/size]

А кстати учетки !!!! 9335 не вижу !!!! Проходил по всем зверям и чистил все папки, не обратил внимание на то что учетки 9335 не вижу !!!!

Показывать 40 сообщений этой темы на одной странице