Printable View
Здравствуйте,
Моя проблема в том, что по-видимому, у меня поселился какой-то вирус, который качает мой трафик: в момент подключения "принятых" байтов оказывается в считанные секудны от 1000 до 20 000 (каждый раз по разному), и "отправленные" байты качаются постоянно, вне зависимости от того, проявляю я какую-то активность в сети или нет. Проверяла антивирусом (Dr.WEb), он ничего не находит. Изредка вдруг становится все нормально, потом все начинается снова.
Очень прошу помочь с этой проблемой
1.AVZ Файл - Выполнить скрипт --Скопировать ниже написанный скрипт-- Запустить.
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\TOSCDSPD.cpl','');
QuarantineFile('C:\WINDOWS\system32\ntos.exe','');
QuarantineFile('C:\WINDOWS\system32\ckldrv.sys','');
QuarantineFile('C:\WINDOWS\system32\dllvga.dll','');
QuarantineFile('C:\Program Files\Sony Ericsson\Mobile2\Mobile Phone Monitor\anubisps.dll','');
QuarantineFile('C:\WINDOWS\system32\userinit.exe','');
QuarantineFile('C:\WINDOWS\system32\msvcrtd.exe','');
BC_ImportQuarantineList;
BC_LogFile(GetAVZDirectory + 'boot_copy.log');
BC_Activate;
RebootWindows(true);
end.
[/code]
2.Прислать карантин согласно приложения 3 правил .
Загружать по ссылке: [url]http://virusinfo.info/upload_virus.php?tid=10891[/url]
3.[B]boot_copy.log[/B]- из папки AVZ прикрепить к вашему следующему ответу
P.s. Думаю наш подозреваемый последний в скрипте, на всякий случай проверить остальные не помешает, поэтому и получился такой скрипт.
Скрипт выполнила, карантин заархивировала, и вроде закачала, но до конца не уверена - связь была отвратительная, думаю из-за того что одновременно качается что-то левое. Нужно ли снова отправлять файлы zip? (в Правилах написано что прежде чем повторно загружать, нужно уточнить есть ли в этом необходимость)
Загрузите карантин повторно.
Попробуйте поискать файлик [B]ntos.exe[/B] при помощи AVZ --сервис-- поиск файлов на диске,если найдёте ,то поместите в карантин и отправьте по правилам.
Сегодня весь день пытаюсь отправить архив, но никак не получается. Могу ли я отправить его по почте на какой-нибудь адрес? Помогите, не знаю что делать.
Закачайте на zalil.ru и отправьте ссылку мне на PM.
Я его все-таки закачала!
Файл сохранён как070709_222316_virus_46927d140e890.zipРазмер файла338589MD5febbb37bb5164ef4e24e61e24dbd882e
[size="1"][color="#666686"][B]Добавлено через 7 минут[/B][/color][/size]
Файл сохранён как:
070709_222316_virus_46927d140e890.zip
Размер файла: 338589
MD5: febbb37bb5164ef4e24e61e24dbd882e
К сожалению, не удалось найти тот файл о котором спрашивали (через AVZ)
[size="1"][color="#666686"][B]Добавлено через 12 часов 51 минуту[/B][/color][/size]
извините, что напомниаю, но пишу пока связь более-менее нормальная - есть ли какие-нибудь новости?
[size="1"][color="#666686"][B]Добавлено через 8 часов 22 минуты[/B][/color][/size]
Уважаемые хелперы, помогите пожалуйста... очень и очень жду... :'-(
Выполните скрипт в AVZ (AVZ, Меню Файл\Выполнить скрипт. [URL="http://virusinfo.info/showthread.php?t=7239"]Подробнее...[/URL]):
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\WINDOWS\system32\ntos.exe');
BC_DeleteFile('C:\WINDOWS\system32\ntos.exe');
BC_DeleteSvc('msupdate');
BC_DeleteFile('c:\windows\system32\msvcrtd.exe');
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
Пофиксить
[CODE]F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe[/CODE]
повторите логи
Все сделала, на данный момент вроде связь нормальная, качает байты умеренно, в Инет вышла с первого раза, чего не было раньше. Но по-моему, что-то осталось.. Отправляю новые логи.
Всё чисто.
ShadowUser - устанавливали?
Если проблем больше нет,то лечение можно считать законченным.
[B]msvcrtd.exe[/B] - [B]Backdoor.Win32.Agent.apx[/B] зараза которая скрывалась под сервисом [B]msupdate[/B],как раз и увеличивала исходящий трафик.
Советуем прочитать [URL="http://security-advisory.newmail.ru/"]электронную книгу[/URL] "Безопасный Интернет. Универсальная защита для Windows ME - Vista".
Вы можете нас отблагодарить, [URL="http://www.virusinfo.info/showthread.php?t=3519"]оказав нам помощь в сборе базы безопасных файлов.[/URL] Мы будем Вам очень благодарны!
Удачи!
Спасибо! Да, Shadow User установила, хочу попробовать. У меня на компе иногда "посторонний" народ пасется, так что думаю будет невредно :)
Теперь займусь выполнением всех рекомендаций из книги, но т.к. по долгу службы приходится бывать на китайских сайтах, думаю придется еще к вам обратиться за помощью . Пока не научусь надежно защищаться.
Огромное СПАСИБО всем кто помогал!
ЗЫ уточните пожалуйста, как можно поблагодарить хелперов - нажать на весы и оставить комментарий или есть специальная ссылка?
да, именно нажать на весы и оставить отзыв.
эти 2 главных правила вам помогут :
1) Работать за компьютером с правами ограниченного пользователя.
2) Пользоваться для хождения по интернету альтернативным браузером [b]с отключёнными скриптами по умолчанию с лёгкостью разрешая доверенным сайтам выполнять скрипты [/b]([url=http://virusinfo.info/showthread.php?p=121290#post121290]Firefox[/url] и [url=http://virusinfo.info/showthread.php?t=6577]Opera[/url] это позволяют делать в отличии от IE 7 ,6....)
[quote]1) Работать за компьютером с правами ограниченного пользователя.
2) Пользоваться для хождения по интернету альтернативным браузером с отключёнными скриптами по умолчанию с лёгкостью разрешая доверенным сайтам выполнять скрипты[/quote]
Уважаемый drongo, Оперу установила и пользуюсь теперь ей, но если не трудно, поскажите как установить права ограниченного пользователя - пробовала найти как это сделать, не удалось.
И как отключить скрипты по умолчанию?
Извиняюсь, если глупые вопросы, но сама найти действительно не смогла, честно пыталась..
И еще, после проведения рекомендованного здесь лечения, я проверила компьютер программой Ad Aware, и обнаружились некоторые вирусы, я их удалила, теперь отчет выглядит так:
Найдено Удалено
Win32.Backdoor.Agent 14 10
Win32.TrojanSpy.Peed 9 2
Tracking Cookie 425 108
То есть, удаленных меньше чем найденных - это значит что не удаленные остались? Когда запускаю программу, она выдает "0" вирусов. А в отчете - то, что я привела. :?
[QUOTE='misc11;122671']А в отчете - то, что я привела.[/QUOTE]В каких фалах Ad Aware нашел эти "вирусы"?
1.Так и думал, что кто-то не знает как установить права ограниченного пользователя.В этой статье после слов "Расскажу (а вдруг кто не знает?) " Не забудь нажать на выделенное синим за подробным объяснением.
[url]http://virusinfo.info/showpost.php?p=96895&postcount=1[/url]
2.Для Оперы я же написал в #13 ( иногда помогает кликать подчёркнутые и выделенные синим слова )настроить: [url]http://virusinfo.info/showthread.php?t=6577[/url]
У меня все началось по новой. В первые же секунды выхода в Интернет трафик качает даже больше чем раньше :( Дня два было все идеально.
Сделала логи, они во вложении.
Может ли вирус засесть на симке? За два дня до начала проблемы мне начали приходить какие-то СМСки с файлами, я из конечно не принимала, но кто знает, вдруг случайно клавиша нажалась или еще что...
Еще вопрос - если удалить Dr. Web лицензионный, потом можно будет его снова установить на компьютер? Не нужно будет заново покупать? Хочу проверить компьютер Касперским, а они вместе работать не могут.
Насчёт дрвеба, конечно можно удалить а потом поставить, только не забудьте сохранить регистационные данные где нибудь в укромном месте. Насколько я помню, это отдельный файл drweb.key
насчёт сим карт не понял, при чём тут сотовый телефон то?
в логах особо криминально не наблюдается. Трафик может например и это кушать :
c:\program files\technisat dvb\bin\server4pc.exe
А если уж собрались ставить касперского, то поставьте KIS7 (желательно со всеми галками при установке ) Тогда уже можно смотреть кто качает и сколько.Перед сканированием поставьте настройки на максимум.
[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните[/URL] скрипт в AVZ
[CODE]begin
ClearQuarantine;
BC_QrFile('c:\windows\system32\ckldrv.sys');
BC_QrFile('c:\windows\system32\sunotify.dll');
BC_QrFile('c:\windows\system32\vsmvhk.dll');
BC_Activate;
RebootWindows(true);
end.[/CODE]Пришлите файлы карантина по [url=http://virusinfo.info/showthread.php?t=1235]правилам[/url] раздела "Помогите".
Файл сохранён как: 070716_174422_virus_469b76367cb76.zip
Размер файла: 109164
MD5: 6ddce2c57746abd33e358f7bec27462d
Удивительная вещь: только что выходила в сеть - трафик качался как сумасшедший, пришлось отключить связь. Зашла через две секунды - и ВСЕ НОРМАЛЬНО! То есть лучше не бывает, Инет бегает быстро, трафик минимальный, качает только когда я что-то делаю в сети....
И еще - я сохраняла логины и пароли на сайтах, чтобы не набирать их при каждом заходе, так вот они все сбросились.. что бы это значило?
Отключите службы из [url=http://forum.kaspersky.com/index.php?showtopic=30184]этого[/url] списка.
Сделала все, как сказали, прочитала книгу Ebook о безопасности в сети и отключила службы. Так как вообще ничего не понимаю в реестрах и пр., уже настроилась, что после перезагрузки придется восстанавливать систему, но с огромным удивлением увидела что все иконки остались на месте, а потом с еще бОльшим удивлением я еще и в Интернет вышла (!), и трафик теперь качает "тютелька в тютельку"!! Огромное спасибо за спасение утопающих!!! :) :) :)
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]14[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]