Printable View
пользуюсь макстоном.недавно появилась проблема-постоянно открываются рекламные окна,взаголовке всегда в начале написано !CID! а после адрес рекламного окна.браузер после этого часто уходит в трей и его оттуда уже никак не достать,только закрыть.пробовал адвером убить .без результатно.прошу помощи.после [I]AVZ и [/I]HijackThis проблема осталась.
Обновить антивирус, если он живой. С актуальными базами Вашу гадость он удаляет запросто.
MyWebSearch - [url]http://www.free-web-browsers.com/support/remove-mysearch.shtml[/url] Сходить по ссылке, пролечиться.
После этого сделать новые логи.
Профиксить в HijackThis:
[CODE]O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)
O3 - Toolbar: (no name) - {E0E899AB-F487-11D5-8D29-0050BA6940E3} - (no file)
O3 - Toolbar: (no name) - {C44B1312-178E-40A7-8B32-FEC9D6F4A159} - (no file)
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel present
O9 - Extra button: (no name) - {8DAE90AD-4583-4977-9DD4-4360F7A45C74} - (no file)
O20 - Winlogon Notify: WgaLogon - WgaLogon.dll (file missing)
[/CODE]
закрыть все браузеры .Зайти в панель управления , в удаление программ , найти и
удалить вдобавок к семейству mywebserch, который сказал Павел, ещё Cid help.
затем почистить папку :
C:\Documents and Settings\All Users\Application Data
, временные файлы и перегрузиться.
всем спасибо !!!
А где новые логи то после всех операций ? Там по моему ещё одно семейство пробегало кроме этих двух;)
[quote=drongo;118532]закрыть все браузеры .Зайти в панель управления , в удаление программ , найти и
удалить вдобавок к семейству mywebserch, который сказал Павел, ещё Cid help.
затем почистить папку :
C:\Documents and Settings\All Users\Application Data
, временные файлы и перегрузиться.[/quote]
[QUOTE]
C:\Documents and Settings\All Users\Application Data\TEMP
[/QUOTE]вот это ты имел ввиду почистить?там пусто
мужики,я все сделал.эта гадость продолжает выскакивать.антивирус-nod32
[quote=marki18;118548]вот это ты имел ввиду почистить?там пусто[/quote]
нет , именно C:\Documents and Settings\All Users\Application Data
там есть как нужные папки , так и от зверей - так что надо быть супер внимательным ;)Папка умолчанию скрыта виндоусом - поэтому нужно сначала разрешить показ скрытых файлов и папок ;) Сделай новые логи, посмотрим что осталось.
[quote]Сделай новые логи, посмотрим что осталось.[/quote]
вот новые
Запустить скрипт в AVZ:
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system\smss.exe','');
DeleteFile('C:\WINDOWS\system\smss.exe');
ExecuteSysClean;
BC_ImportAll;
BC_Activate;
RebootWindows(true);
end.[/CODE]
После перезагрузки загрузить карантин по ссылке вверху темы.
Не так уж и чисто на Вашем компьютере.
[quote=PavelA;118816]Запустить скрипт в AVZ:
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system\smss.exe','');
DeleteFile('C:\WINDOWS\system\smss.exe');
ExecuteSysClean;
BC_ImportAll;
BC_Activate;
RebootWindows(true);
end.[/code]
После перезагрузки загрузить карантин по ссылке вверху темы.
Не так уж и чисто на Вашем компьютере.[/quote]
все отослал.спасибо:)
не нахожу, ещё раз по ссылке :
[url]http://virusinfo.info/upload_virus.php?tid=10660[/url]
[quote=drongo;119385]не нахожу, ещё раз по ссылке :
[URL]http://virusinfo.info/upload_virus.php?tid=10660[/URL][/quote]
загрузка доходит до 100% и так стоит на 100%.думал,что все и закрыл.теперь загрузил до конца.:)
[B]Файл сохранён как070630_111340_2007-06-29_468602a41cbc6.zip[/B]
в карантине Backdoor.Win32.IRCBot.abk - свежачок!
К сожалению, не могу посмотреть весь карантин, большой он очень большой получился. :(
Думаю, пришла пора делать новые логи, полный комплект.
[quote=PavelA;119706]в карантине Backdoor.Win32.IRCBot.abk - свежачок!
К сожалению, не могу посмотреть весь карантин, большой он очень большой получился. :(
Думаю, пришла пора делать новые логи, полный комплект.[/quote]
вот новые
[QUOTE]в карантине Backdoor.Win32.IRCBot.abk - свежачок![/QUOTE]
с этим что то надо делать?
В логах все старые подозрения. Есть еще одна гадость, но ее можно удалять или нет по желанию.
[quote=PavelA;119713]В логах все старые подозрения. Есть еще одна гадость, но ее можно удалять или нет по желанию.[/quote]
проблема то осталась...что делать?
Выполнить скрипт.
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
ClearQuarantine;
QuarantineFile('C:\Documents and Settings\All Users\Application Data\teststupidboredupe\Corn Settings.exe','');
QuarantineFile('C:\DOCUME~1\mark\APPLIC~1\VIEWBO~1\idol four.exe','');
BC_DeleteFile('C:\WINDOWS\Downloaded Program Files\CONFLICT.2\launcher.ocx');
BC_DeleteFile('C:\WINDOWS\Downloaded Program Files\launcher.ocx');
ExecuteSysClean;
BC_ImportAll;
BC_Activate;
RebootWindows(true);
end.[/CODE]
Загрузить новый карантин.
Сегодня посмотрю тот, который прислали раньше. Ответ будет к 14МСК.
[size="1"][color="#666686"][B]Добавлено через 53 минуты[/B][/color][/size]
[QUOTE]C:\Program Files\MP3 Player Utilities 3.73\DelDrv.exe - Backdoor.Win32.IRCBot.abk
C:\WINDOWS\Downloaded Program Files\launcher.ocx - not-a-virus:AdWare.Win32.I2ISolutions.b
C:\Program Files\MP3 Player Utilities 3.73\RDiskUtility\sys\COMMAND.COM
C:\WINDOWS\system32\nview.dll
C:\Program Files\MessengerPlus! 3\MsgPlusLoader.dll
autorun.inf - чистые.
[/QUOTE]
Поступаем так. Можно просто деинсталлировать MP3 Player Utilities 3.73,
хотя м.б. это крек на нее с трояном. Либо выполнить скрипт:
[CODE]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
BC_DeleteFile('C:\Program Files\MP3 Player Utilities 3.73\DelDrv.exe');
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]
После всех этих скриптов сделать новые логи.
новый карантин послал и вот новые логи
Не вижу карантина, ответ от загрузчика пришел?
[quote=PavelA;120002]Не вижу карантина, ответ от загрузчика пришел?[/quote]
да.на всякий случай залил еще раз.
[B]Файл сохранён как[/B][B]070703_182725_2007-07-03_468a5ccda16cb.zip[/B]
Какой пароль у архива?
Если делал в AVZ, то в просмотре карантина надо нажать кнопку типа winzip.
[size="1"][color="#666686"][B]Добавлено через 55 минут[/B][/color][/size]
Время истекло. Оставляем вопрос на завтра.
Пароль:
"virus"
c кавычкам.
[QUOTE]
Какой пароль у архива?
[/QUOTE]
какой просили [B][QUOTE][B]Архивы должны быть созданы с паролем "virus" !!![/B][/QUOTE][/B]
[B]слово virus вместе с кавычками.;)[/B]
[size="1"][color="#666686"][B]Добавлено через 1 минуту[/B][/color][/size]
[B]AndreyKa[/B], пока я калякал свой пост,ты меня опередил
мужикиии!!!ау!!!хэлп!!!проблема не решилась
C:\Documents and Settings\All Users\Application Data\teststupidboredupe\Corn Settings.exe - Trojan.Win32.Obfuscated.en
C:\DOCUME~1\mark\APPLIC~1\VIEWBO~1\idol four.exe - Trojan.Win32.Obfuscated.en
Запустите AVZ.
Выполните скрипт через меню Файл:
[code]
begin
ClearQuarantine;
SetAVZGuardStatus(True);
DeleteFile('C:\Documents and Settings\All Users\Application Data\teststupidboredupe\Corn Settings.exe');
DeleteFile('C:\DOCUME~1\mark\APPLIC~1\VIEWBO~1\idol four.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.
[/code]
Компьютер перезагрузится.
[url=http://virusinfo.info/showthread.php?t=4491]Пофиксте[/url] в HijackThis следующие строки:
[quote]
O16 - DPF: {1D4DB7D2-6EC9-47A3-BD87-1E41684E07BB} - http:// ak.exe.imgfarm.com/images/nocache/funwebproducts/ei/ZwinkyInitialSetup1.0.0.15-3.cab
O16 - DPF: {2B26018A-1D8D-4C19-9A9B-F6C49453A21D} (LauncherV1 Class) - http:// irc.msn.co.il/Tipo/launcher.cab
O16 - DPF: {D79B6F43-F214-4E7A-9ECB-CCC8771F2416} (LauncherV1 Class) - [url]http://w[/url] ww.tapuz.co.il/irc/main/launcher.cab
O16 - DPF: {F59AB0C4-3443-4551-A78F-C101F9DE0215} (LauncherV1 Class) - http:// irc.nana.co.il/Cabs/launcher39.cab
[/quote]
Сделайте новые логи начиная с 10-го пункта Правил и приложите их к своей теме.
вот
То, что хотели удалить удалилось. Больше ничего подозрительного не вижу.
[B]marki18[/B], как теперь, проблема решилась?
пока нормально.спасибо за помощь
вот эти штуки вам известны от чего?
D:\autorun.inf
F:\autorun.inf
Чтобы уменьшить шанс заражения советуем на будущее :
1) Работать за компьютером с правами ограниченного пользователя.
2) Пользоваться для хождения по интернету альтернативным браузером [b]с отключёнными скриптами по умолчанию [/b](Firefox и Opera это позволяют делать в отличии от IE 7 ,6....)
3) Прочитать электронную книгу "Безопасный Интернет". Универсальная защита для Windows ME - Vista": [url]http://security-advisory.newmail.ru[/url]
Вы можете нас отблагодарить, оказав нам помощь в сборе базы безопасных файлов : [url]http://virusinfo.info/showthread.php?t=3519[/url]
Мы будем Вам очень благодарны!
Удачи!
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]3[/B][*]Обработано файлов: [B]31[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\program files\\mp3 player utilities 3.73\\deldrv.exe - [B]not-a-virus:RiskTool.Win32.Deleter.e[/B][*] c:\\program files\\mywebsearch\\bar\\1.bin\\mwsbar.dll - [B]not-a-virus:WebToolbar.Win32.MyWebSearch.bc[/B] (DrWEB: Adware.Websearch)[*] c:\\program files\\mywebsearch\\srchastt\\1.bin\\mwssrcas.dll - [B]not-a-virus:WebToolbar.Win32.MyWebSearch.as[/B] (DrWEB: Adware.Websearch)[*] c:\\windows\\downloaded program files\\conflict.2\\launcher.ocx - [B]not-a-virus:AdWare.Win32.I2ISolutions.b[/B] (DrWEB: Adware.I2ISolutions)[*] c:\\windows\\downloaded program files\\launcher.ocx - [B]not-a-virus:AdWare.Win32.I2ISolutions.b[/B] (DrWEB: Adware.I2ISolutions)[*] c:\\windows\\system\\smss.exe - [B]Backdoor.Win32.IRCBot.abk[/B] (DrWEB: Trojan.DownLoader.28110)[/LIST][/LIST]