Здравствуйте.
При подключении к интернету с моего компьютера отправляется много информации и практически ничего не принимается, даже интернет-страницу открыть нельзя. У меня безлимитка, соответственно низкая скорость. То ли вся допустимая скорость расходуется на отдачу, то ли что-то просто блокирует прием информации. Плюс файл perfc000.dat, который никак не удалить.
Посмотрите, пожалуйста, в чем проблема.
[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните[/URL] скрипт в AVZ
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\comi.dll','');
QuarantineFile('swmclip.dll','');
QuarantineFile('C:\WINDOWS\winstart.bat','');
QuarantineFile('C:\WINDOWS\system32\perfc000.dat','');
QuarantineFile('C:\WINDOWS\system32\TaskKeyHook.dll','');
QuarantineFile('C:\WINDOWS\system32\muangsys.dll','');
QuarantineFile('C:\WINDOWS\system32\DRIVERS\tcpip.sys','');
RebootWindows(false);
end.[/CODE]
После перезагрузки [URL="http://www.virusinfo.info/showthread.php?t=4491"]"пофиксите"[/URL] в HijackThis [CODE]R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch =
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =
O2 - BHO: (no name) - {A5366673-E8CA-11D3-9CD9-0090271D075B} - (no file)
O23 - Service: Gp3sw2kmnti - Unknown owner - (no file)[/CODE]
Пришлите файлы карантина по правилам раздела "Помогите". Сделайте ещё раз логи с запущенным IE.
Скрипт сделала. А насчет "Сделайте ещё раз логи с запущенным IE" нужно просто открыть IE или подключится к интернету?
Просто держать открытым IE. Эти логи я так понимаю были сделаны именно так?
Нет, то было без IE :embarasse. Теперь сделала с IE.
А где же ваш карантин? Загрузите его через эту форму:
[url]http://virusinfo.info/upload_virus.php?tid=9899[/url]
Загрузила карантин, и только тогда заметила, что он очень большой - 4 мега. Может загрузить еще один, удалив из него пару самых больших файлов, которые точно не причиняли проблем (они у меня давно)?
А вообще после скриптов MaXim'a интернет заработал (спасибо ему большое). Просто хочу узнать, не осталось ли ничего лишнего и что с файлом perfc000.dat.
[QUOTE]А вообще после скриптов MaXim'a интернет заработал (спасибо ему большое). [/QUOTE]
Вообще-то, пока ничего не удаляли...
Давайте удалим пока то что очевидно:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\WINDOWS\system32\perfc000.dat');
DeleteFile('swmclip.dll');
BC_DeleteFile('C:\WINDOWS\system32\perfc000.dat');
BC_DeleteFile('swmclip.dll');
BC_DeleteSvc('Gp3sw2kmnti');
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]
После перезагрузки пофиксите в HijackThis, если останется:
[code]
O20 - AppInit_DLLs: C:\WINDOWS\system32\perfc000.dat
O21 - SSODL: VStorage - {B2043DC2-6A45-4DAD-A945-5E9DC7DCD926} - swmclip.dll (file missing)
[/code]
а по карантину подумаем.
Вот новый скрипт для карантина:
[code]
begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\winstart.bat','');
QuarantineFile('system32\DRIVERS\tcpip.sys','');
QuarantineFile('C:\WINDOWS\system32\TaskKeyHook.dll','');
QuarantineFile('C:\WINDOWS\system32\muangsys.dll','');
QuarantineFile('C:\WINDOWS\system32\comi.dll','');
RebootWindows(true);
end.[/code]
Компьютер перезагрузится.
Пришлите карантин по правилам через ту же форму.
Надеюсь, он не будет настолько увесистым.
[QUOTE]А вообще после скриптов MaXim'a интернет заработал (спасибо ему большое).[/QUOTE]Чистое самовнушение или простое совпадение :)
Скрипт сделала, карантин отправила. В HijackThis первой записи не было, вторая была, но вместо swmclip.dll (file missing) в конце было (no file). Фиксить?
[QUOTE]Фиксить?[/QUOTE]
Естественно! :)
Вирустотал перегружен, с проверкой карантина пока заминка.
Еще нужен файл C:\WINDOWS\tmpcpyis.bat - пришлите по правилам.
Все сделано :good:
Чертовщина какая-то, этот ссылается на C:\WINDOWS\tmpdelis.bat !
Давайте и его тоже, что ж делать :)
Да мне не жалко :)
ОТ: [QUOTE=Kat_AS;111046]А вообще после скриптов MaXim'a интернет заработал (спасибо ему большое). [/QUOTE]настоящая фамилия MaXimа - Чумак-Кашпировский ;) SCNR
В общем, эти bat'ы - полная чушь - фтопку! :)
А вот и в карантине нашелся жучок:
comi.dll - VirTool:Win32/Obfuscator.C - это троян крадущий пароли!
Удаляем скриптом:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\WINDOWS\*.bat');
DeleteFile('C:\WINDOWS\system32\comi.dll');
BC_DeleteFile('C:\WINDOWS\system32\comi.dll');
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]
После перезагрузки повторите логи, начиная с п.10 правил.
И срочно меняйте свои пароли.
Вот про comi.dll ответ из ЛК:
[QUOTE]Hello.
New malicious software was found in the attached file.
Trojan-Spy.Win32.Banker.cnq
It's detection will be included in the next update. Thank you for your help.
-----------------
Regards, Roman Gavrilchenko
Virus Analyst, Kaspersky Lab.[/QUOTE]
Готово
Теперь чисто. Только пофиксите в HijackThis эти строчки:
[code]
O2 - BHO: H - {943CBD6C-F4DE-40e4-AA43-7B964FAE81F1} - C:\WINDOWS\system32\comi.dll (file missing)
O2 - BHO: (no name) - {A5366673-E8CA-11D3-9CD9-0090271D075B} - (no file)[/code]
и в меню "Пуск - Программы - Автозагрузка" уберите ярлык [I]winstart.bat[/I].