Printable View
Постоянно выскакивают сообщения DrWeb o заражении новых файлов трояном и бэкдором, а также иногда появляется "синий экран". При сканировании Веб постоянно находит зараженные файлы - все удаляю,но позже опять появляются.Все сделал по правилам и приложил нужные файлы.
выполните скрипт
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\ipv6monl.dll','');
QuarantineFile('C:\WINDOWS\Temp\startdrv.exe','');
QuarantineFile('C:\Program Files\Sable\WINNT\startnt.bat','');
QuarantineFile('C:\DOCUME~1\A24E~1\LOCALS~1\Temp\KYE\Setup.exe','');
QuarantineFile('C:\SystemRoot\system32\drivers\runtime2.sys','');
QuarantineFile('c:\program files\internet explorer\iexplore.exe','');
QuarantineFile('C:\WINDOWS\system32\dla\tfswctrl.exe','');
QuarantineFile('C:\WINDOWS\Downloaded Program Files\popcaploader.dll','');
QuarantineFile('C:\WINDOWS\system32\drivers\ip6fw.sys','');
QuarantineFile('C:\WINDOWS\system32\drivers\runtime.sys','');
DeleteFile('C:\WINDOWS\Temp\startdrv.exe');
BC_DeleteSvc('runtime2');
BC_DeleteSvc('Ip6Fw');
BC_DeleteSvc('runtime');
DeleteFile('C:\SystemRoot\system32\drivers\runtime2.sys');
DeleteFile('C:\WINDOWS\system32\drivers\ip6fw.sys');
DeleteFile('C:\WINDOWS\system32\drivers\runtime.sys');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
профиксите
[code]
2 - BHO: (no name) - {36DBC179-A19F-48F2-B16A-6A3E19B42A87} - C:\WINDOWS\system32\ipv6monl.dll (file missing)
O3 - Toolbar: (no name) - {0E1230F8-EA50-42A9-983C-D22ABC2EED3B} - (no file)
O9 - Extra button: (no name) - {8DAE90AD-4583-4977-9DD4-4360F7A45C74} - (no file)
O16 - DPF: {33331111-1111-1111-1111-611111193423} -
O16 - DPF: {33331111-1111-1111-1111-611111193429} -
O16 - DPF: {33331111-1111-1111-1111-615111193427} -
O16 - DPF: {33331111-1131-1111-1111-611111193428} -
O16 - DPF: {917623D1-D8E5-11D2-BE8B-00104B06BDE3} (CamImage Class) - http://82.207.82.136/activex/AxisCamControl.cab
O16 - DPF: {DF780F87-FF2B-4DF8-92D0-73DB16A1543A} (PopCapLoader Object) - http://arcade.icq.com/carlo/zuma/popcaploader_v5.cab
[/code]
пришлите карантин согласно приложению 3 правил ...
Надо отключить "Восстановление системы". Иначе лечение будет очень долгим. :)
Отключил "восстановление системы",скрипт выполнил,пофиксил, карантин прислал.
для проверки потребуется некоторое время ...
[size="1"][color="#666686"][B]Добавлено через 25 минут[/B][/color][/size]
выполните скрипт
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
BC_DeleteFile('C:\WINDOWS\Downloaded Program Files\popcaploader.dll');
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
повторите логи ...
выполнил скрипт - система не перезагрузилась - повисла. Что надо повторить - прислать карантин ?
повторите логи ...
логи повторил...
из карантина AVZ пришлите файл...C:\WINDOWS\system\Config\1025\SysTray.ocx
спасибо за уделенное время, файл прислал...
странно архив битый... попробуйте еще раз...
отправил...
по Avast Win32:Spyware-gen. ...
выполните скрипт
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
BC_DeleteFile('C:\WINDOWS\system\Config\1025\SysTray.ocx');
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
повторите логи ...
логи повторил...
C:\Program Files\RegetDx\iebar.dll
C:\Program Files\rtnews\tbrtne.dll єтими тулбарами пользуетесь (устанавливали ) ?
C:\Program Files\Brain Codec\uninst.exe -Adware.Generic нужная вам вещь ... ?
Ничего не нужно.
[size="1"][color="#666686"][B]Добавлено через 1 минуту[/B][/color][/size]
если только регетом пользуюсь иногда в местной сети
профиксите
[code]
O3 - Toolbar: ReGet Bar - {17939A30-18E2-471E-9D3A-56DD725F1215} - C:\Program Files\RegetDx\iebar.dll
O3 - Toolbar: rtnews toolbar - {9d6b51ce-25c0-461c-893e-ff0ef332745c} - C:\Program Files\rtnews\tbrtne.dll
[/code]
выполните скрипт
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
ClearQuarantine;
QuarantineFile('C:\Program Files\RegetDx\iebar.dll','');
QuarantineFile('C:\Program Files\rtnews\tbrtne.dll','');
QuarantineFile('C:\Program Files\Brain Codec\uninst.exe','');
DeleteFile('C:\Program Files\Brain Codec\uninst.exe');
ExecuteSysClean;
RebootWindows(true);
end.
[/code]
как ощущения ?
ок, сейчас сделаю...
[size="1"][color="#666686"][B]Добавлено через 18 минут[/B][/color][/size]
все сделал, логи повторить ? Ощущения ? Чувствую себя чайником ;), остается полагаться на Ваши знания...
давайте контрольный выстрел ;) ...логи
Как скажете босс )
"найдено вредоносных программ - 0" Большое Человеческое Спасибо. Скачал DropMyRights , что еще Вы бы посоветовали поставить ? Заранее благодарен.
1. очистите карантин веба зачем вам зловреды на борту ?
2. выполните скрипт
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('c:\WINDOWS\System32\Drivers\SPTD0797.SYS','');
QuarantineFile('C:\My Downloads\HiJackThis\backups\backup-20070726-194454-105.dll ','');
DeleteFile('C:\My Downloads\HiJackThis\backups\backup-20070726-194454-105.dll ');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
загрузите карантин согласно приложения 3 правил...
карантин загрузил...
В логах всё чисто и в присланном вами карантине тоже,проблемы пропали?Если да то лечение можно считать законченным.
Советую работать за компьютером под пользователем с ограничеными правами.
По возможности не пользоваться Internet Explorer,а использовать альтернативные браузеры,например Firefox,Opera(с отключёнными java скриптами)
Советую прочитать [URL="http://security-advisory.newmail.ru/"]электронную книгу[/URL] "Безопасный Интернет. Универсальная защита для Windows ME - Vista".
Вы можете нас отблагодарить, [URL="http://www.virusinfo.info/showthread.php?t=3519"]оказав нам помощь в сборе базы безопасных файлов.[/URL] Мы будем Вам очень благодарны!
Удачи!
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]4[/B][*]Обработано файлов: [B]33[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]