Они всё время появляются...

Printable View

15.08.2007, 05:03
Repetur

Вложений: 2

Они всё время появляются...

Каждые 3 -4 дня я проверяю комп AVZ и Corelt, они появляются, всё время разные. А так как я недавно лишился личного сисадмина, то стал совсем беспомощен. Подскажите, что не так. Заранее спасибо.
P.S. Так и не понял, вложились ли логи.... Простите ламера.
С уважением
Борис Репетур.
15.08.2007, 05:17
Muzzle

Кто появляется? и логи вы не прикрепили.
15.08.2007, 13:57
Repetur

Вложений: 1

Появляются разные трояны. Кажется, что-то прикрепилось...
15.08.2007, 14:16
Bratez

Выполните скрипт в AVZ:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\WebAssist.dll','');
QuarantineFile('C:\WINDOWS\system32\winmds.exe','');
QuarantineFile('C:\WINDOWS\system32\YKEmlo6o.exe','');
QuarantineFile('C:\WINDOWS\system32\Q0cqc75y.exe','');
QuarantineFile('trkwvga2.dll','');
QuarantineFile('statamc.dll','');
QuarantineFile('ifcstat.dll','');
QuarantineFile('ifcmgr32.dll','');
QuarantineFile('e1.dll','');
QuarantineFile('diagamc.dll','');
QuarantineFile('confifc.dll','');
QuarantineFile('C:\WINDOWS\system32\smlomswc.dll','');
QuarantineFile('C:\WINDOWS\system32\ntos.exe','');
DeleteFile('C:\WINDOWS\system32\ntos.exe');
DeleteFile('confifc.dll');
DeleteFile('e1.dll');
DeleteFile('ifcmgr32.dll');
DeleteFile('ifcstat.dll');
DeleteFile('C:\WINDOWS\system32\Q0cqc75y.exe');
DeleteFile('C:\WINDOWS\system32\YKEmlo6o.exe');
DeleteFile('C:\WINDOWS\WebAssist.dll');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]
Компьютер перезагрузится.
Пофиксите в HijackThis:
[code]
F2 - REG:system.ini: Shell=
F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,C:\WINDOWS\system32\ntos.exe,
O2 - BHO: WebAssist - {85589B5D-D53D-4237-A677-46B82EA275F3} - C:\WINDOWS\WebAssist.dll
O4 - HKCU\..\Run: [userinit] C:\WINDOWS\system32\ntos.exe
O20 - AppInit_DLLs: trkwvga2.dll e1.dll confifc.dll ifcstat.dll diagamc.dll statamc.dll
O20 - Winlogon Notify: dbgmgr - ifcmgr32.dll (file missing)
O20 - Winlogon Notify: smlomswc - C:\WINDOWS\system32\smlomswc.dll (file missing)
[/code]
Содержимое карантина AVZ пришлите согласно приложению 3 правил.
Сделайте новые логи.
16.08.2007, 02:25
Repetur

Вложений: 1

Я выполнил скрипт в avz, но в задании пофиксить соответствуют только первая и третья строчки из кода, остальные отличаюся, второй совсем нет. Может потому, что комп работал какое-то время и что-то изменилось? Или я что-то не так делаю. Изучаю правила внимательно как могу... Вот последний лог.
16.08.2007, 02:36
Bratez

Это нормально, кое-что изменилось после выполнения скрипта.
Например, вместо
[I]O20 - Winlogon Notify: dbgmgr - ifcmgr32.dll (file missing)[/I]
могло получиться что-то вроде
[I]O20 - Winlogon Notify: dbgmgr - (no file)[/I]
но все равно видно, что это та же строчка, и ее надо фиксить.

Ждем новые логи.
16.08.2007, 02:45
Repetur

Вы невероятно оперативны... Спасибо! ) Я вложил новый лог в предыдущее сообщение. Если не составит труда, можно указать поточнее? А то боюсь напотрачить...
16.08.2007, 03:12
Bratez

Дык вы ж ничего не пофиксили! Надо фиксить следующее:
[code]
F2 - REG:system.ini: Shell=
O2 - BHO: Yahoo! Toolbar Helper - {02478D38-C3F9-4EFB-9B51-7695ECA05670} - C:\Program Files\Yahoo!\Companion\Installs\cpn\yt.dll (file missing)
O2 - BHO: WebAssist - {85589B5D-D53D-4237-A677-46B82EA275F3} - C:\WINDOWS\WebAssist.dll (file missing)
O3 - Toolbar: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Program Files\Yahoo!\Companion\Installs\cpn\yt.dll (file missing)
O20 - AppInit_DLLs: trkwvga2.dll diagamc.dll statamc.dll
O20 - Winlogon Notify: dbgmgr - C:\WINDOWS\
O20 - Winlogon Notify: smlomswc - C:\WINDOWS\system32\smlomswc.dll (file missing)
[/code]
[URL="http://virusinfo.info/showthread.php?t=4491"]Что значит "пофиксить с помощью HijackThis"? [/URL]

После этого сделайте заново [B]все три [/B]лога по правилам.

P.S. Карантин ваш отсутствует. Надо прислать.
16.08.2007, 03:56
Repetur

Вложений: 2

Карантин я закачал, правда не понял куда...) Вот логи...
Извините!!! Прислал старые!! исправляюсь....
16.08.2007, 04:01
Repetur

Вложений: 1

[COLOR=black][B]И вот[/B]...[/COLOR]
16.08.2007, 14:04
Repetur

Ну как? Жить будет? И карантин дошел до Вас? Или я опять что-то напутал...
16.08.2007, 14:34
Bratez

В карантин попали:
WebAssist.dll - not-a-virus:AdWare.Win32.BHO.cz
winmds.exe - Trojan.Win32.Dialer.tn
ntos.exe - Trojan-Spy.Win32.Bancos.aam

Судя по логам, удаление прошло успешно, в живых остался только один.
Выполните скрипт в AVZ:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\WINDOWS\system32\winmds.exe');
BC_DeleteFile('C:\WINDOWS\system32\winmds.exe');
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]
Компьютер перезагрузится.

Удалите все задания в Планировщике. Если пользоваться им не собираетесь, лучше совсем отключить службу "Планировщик заданий" (Task Scheduler).

[size="1"][color="#666686"][B][I]Добавлено через 11 минут[/I][/B][/color][/size]

После этого перезагрузитесь и сделайте новые логи, начиная с п.10 правил.
16.08.2007, 14:42
Repetur

Ох, вроде не пользуюсь... А где он? И где отключается?
16.08.2007, 14:51
Kuzz

[QUOTE='Repetur;127736']А где он? И где отключается?[/QUOTE]
"Панель управления"->"Назначенные задания" - здесь "живут" задания.
"Панель управления"->"Администрирование"->"Службы",
Правой кнопкой мыши по "Планировщик заданий" выбрать "Свойства.
В "свойствах" тип запуска указать:"Отключено".
16.08.2007, 15:35
Repetur

Вложений: 3

Скрипт выполнил, задания удалил.
16.08.2007, 16:33
Bratez

Теперь все чисто. Надеюсь, [B]они [/B]больше не появляются? ;)
16.08.2007, 23:54
Repetur

Моя благодарность не знает границ! И не только моя, но и работников программы Галилео на СТС, журнала Игромания, и многих других, для которых на ЭТОМ своём несчастном компьютере, дома, я записываю дикторские тексты. Если ОНИ опять придут, я знаю, где искать воинов.:)
С почтением Борис Репетур (Бонус, экс-ведущий программы От Винта)
P.S. В процессе всего этого дела я не отключал Восстановление системы. Это не криминально? И ещё - с тех пор, как я лишился сисадмина, мои пиратские винды ни разу не обновлялись. Не грозит это вновь приходом ИХ? Спасибо Вам громадное.
17.08.2007, 02:04
Bratez

[QUOTE]В процессе всего этого дела я не отключал Восстановление системы. Это не криминально?[/QUOTE]
Еще как криминально! В контрольных точках наверняка полно заразы, которая запросто может восстановиться! От души надеюсь, что этого не случилось. Отключите, чтобы все эти КТ очистить, потом можно включить обратно. На всякий случай неплохо бы логи еще раз сделать.
[QUOTE]винды ни разу не обновлялись. Не грозит это вновь приходом ИХ?[/QUOTE]
Правильный вопрос! Грозит, ибо в вашей системе есть уже известные, но не закрытые уязвимости. Обновляться следует регулярно. Рекомендую установить вот это (прилично сэкономите время и трафик):
[url]http://poleznosti.ru/soft/file_catalog/?file_id=20060821091454[/url]
17.08.2007, 03:32
Repetur

Вложений: 3

Выключил-включил восстановление. Вот логи. Которые на всякий случай... )
17.08.2007, 05:22
Muzzle

Всё чисто ;)
22.02.2009, 02:14
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]3[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\windows\\system32\\ntos.exe - [B]Trojan-Spy.Win32.Zbot.sm[/B] (DrWEB: Trojan.Packed.166)[*] c:\\windows\\system32\\winmds.exe - [B]Trojan.Win32.Dialer.tn[/B] (DrWEB: Dialer.Doing)[*] c:\\windows\\webassist.dll - [B]not-a-virus:AdWare.Win32.BHO.cz[/B] (DrWEB: Adware.Bho)[/LIST][/LIST]