Printable View
антивирусами его удалял, но в C:\Documents and Settings\...\Local Settings\Temp появляется новый файл вида ~DF30C0.tmp после каждого перезапуска компа. этот файл "используется другим пользователем или программой" и его нельзя удалить (до перезапуска). Unlocker не может определить процесс-блокировщик.
:?
[url=http://virusinfo.info/showthread.php?t=7239]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".[/url]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\sfc_os.dll','');
QuarantineFile('C:\WINDOWS\system32\Drivers\mchInjDrv.sys','');
BC_ImportALL;
BC_Activate;
RebootWindows(true);
end.[/CODE]
После выполнения скрипта компьютер перезагрузится.
Прислать карантин согласно [b]приложения 3 [url=http://virusinfo.info/showthread.php?t=1235]правил [/url][/b].
Загружать по ссылке: [url]http://virusinfo.info/upload_virus.php?tid=11754[/url]
Если не получиться загрузить карантин,то воспользуйтесь файловым обмеником,например [url]http://zalil.ru[/url] и передайте нам ссылку.
отправил
Поищите файл [B]mchInjDrv.sys[/B] с помощью AVZ(о том как это правильно сделать,можно узнать в подписи) если найдётся,то прислать его по правилам.
mchInjDrv.sys не нашло
*Inj*.* не нашло
с другого виндовса они тоже не обнаружились
[url=http://virusinfo.info/showthread.php?t=7239]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".[/url]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\WINDOWS\system32\Drivers\mchInjDrv.sys');
BC_DeleteFile('C:\WINDOWS\system32\Drivers\mchInjDrv.sys');
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]
После выполнения скрипта компьютер перезагрузится.
Повторите логи.
обновил логи
Сделайте дополнительный лог, как написано тут:
[url]http://virusinfo.info/showthread.php?t=10387[/url]
(в нормальном режиме).
вот он
У вас установлен какой-нибудь антивирус?ибо в логах я его не вижу.
Вы производили полную проверку [B]CureIt[/B](не экспресс)?
[quote=Muzzle;128318]У вас установлен какой-нибудь антивирус?ибо в логах я его не вижу.
Вы производили полную проверку [B]CureIt[/B](не экспресс)?[/quote]
Да, я скачивал его и производил проверку (не экспресс).
Могу какие-нибудь файлы перекинуть с незараженного виндовса (который сам же устанавливал с того же дистрибутива, что и свой), но не знаю какие.
И ещё:
Мой комп заражен или уже нет?
Как так получается, что вирус ничего не заражает, а перехвачены 2 функции [FONT=Verdana]методом CodeHijack (метод не определен)[/FONT]???
Может быть так, что у меня на компе из-за бывшего заражения открылась уязвимость?
Скачайте приложение,прикрепленное к этому сообщению.
Запустите,выберите вкладку hidden files detector,нажмите кнопку scan,выберете диск и нажмите ok.
если найдётся драйвер mchInjDrv.sys,скопируйте его и удалите.
копию поместите в архив и отправьте нам.
PS. thank for vaber.
hidden files detector абсолютно ничего не нашёл ЗЫ: RkUnhooker'ом я сделал дамп "драйвера" mchInjDrv.sys
Сделайте тогда полное исследование RkUnhooker'ом системы (меню файл..)и сохраните отчет в txt и приложите его сюда.
в zip'е, т.к. "Ваш файл занимает 31.2 Кбайт байт, что превышает предел на форуме в 19.5 Кбайт для этого типа файла."
Выложите на rapidshare.ru в архиве этот файл: sfc_os.dll и ссылку прикрепите к теме.
[quote=vaber;128895]Выложите на rapidshare.ru в архиве этот файл: sfc_os.dll и ссылку прикрепите к теме.[/quote]
[URL]http://www.rapidshare.ru/377684[/URL]
Судя по всему этот драйвер (mchInjDrv.sys) не является malware.
[url]http://forums.comodo.com/virusmalware_removal_assistance/mchinjdrvsys-t9257.0.html[/url]
[url]http://www.daemon-tools.cc/dtcc/archive/mchinjdrv-sys-trojan-horse-t10361.html[/url]
Для уверенности, если есть желание, можите деинсталлировать с ПК COMODO и Daemon Tools и повторить логи.
Удалил фаервол и DTools .
Файл в ...\Local Settings\Temp уже не появляется :), но я сомневаюсь, что этот файл использовался вышеназванными прогами.
Тему можно закрывать, ВСЕМ СПАСИБО!
ЗЫ: не знаю как SPTD удалить, но это уже не важно.
удаляем... SPTD ...
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
DeleteFile('\SystemRoot\System32\Drivers\sptd.sys');
BC_DeleteFile('\SystemRoot\System32\Drivers\sptd.sys');
BC_Activate;
ExecuteSysClean;
RebootWindows(true);
end.
[/code]
.....
Всё закончилось хорошо ;)
Советую работать за компьютером под пользователем с ограничеными правами.
По возможности не пользоваться Internet Explorer,а использовать альтернативные браузеры,например Firefox,Opera(с отключёнными java скриптами,разрешать их выполнение только для доверенных сайтов)
Советую прочитать [URL="http://security-advisory.newmail.ru/"]электронную книгу[/URL] "Безопасный Интернет. Универсальная защита для Windows ME - Vista".
Вы можете нас отблагодарить, [URL="http://www.virusinfo.info/showthread.php?t=3519"]оказав нам помощь в сборе базы безопасных файлов.[/URL] Мы будем Вам очень благодарны!
Удачи!