Printable View
Здравствуйте.
Kis 2010 нашел файл netdv.dll и определил его как троянскую программу Trojan.Spy.Win32.Agent.bsfl, однако все попытки удалить его ни привели ни к какому результату. Система перезагружается и антивирус снова выдает то же сообщение. Проверка в безопасном режиме DrWeb CureIt дала тот же результат - троян программа видит, но удалить его, почему-то, не может
Уважаемый(ая) [B]AfgansTea[/B], спасибо за обращение на наш форум!
Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].
Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
[B][URL=http://virusinfo.info/showthread.php?t=7239]Выполните скрипт в AVZ:[/URL][/B]
[CODE]
begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(true);
TerminateProcessByName('c:\windows\system32\svchost.win');
TerminateProcessByName('C:\Windows\System32\wincore.exe');
QuarantineFile('C:\Windows\System32\wincore.exe','');
QuarantineFile('C:\Windows\system32\netdv.dll','');
QuarantineFile('C:\Windows\system32\svchost.win','');
QuarantineFile('C:\Windows\security\smss.exe','');
QuarantineFile('C:\Windows\system32\userinit.win','');
QuarantineFile('C:\Windows\system32\wincore.exe','');
QuarantineFile('C:\Windows\system32\athihvs.dll','');
QuarantineFile('C:\Windows\system32\ADMDLL.dll','');
QuarantineFile('c:\windows\system32\svchost.win','');
QuarantineFile('C:\Windows\system32\Netdv.dll','');
DeleteFile('C:\Windows\system32\Netdv.dll');
DeleteFile('c:\windows\system32\svchost.win');
DeleteFile('C:\Windows\system32\ADMDLL.dll');
DeleteFile('C:\Windows\system32\wincore.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','Win');
DeleteFile('C:\Windows\system32\userinit.win');
DeleteFile('C:\Windows\security\smss.exe');
DeleteFile('C:\Windows\system32\svchost.win');
DeleteFile('C:\Windows\system32\netdv.dll');
DeleteFile('C:\Windows\System32\wincore.exe');
BC_ImportDeletedList;
ExecuteSysClean;
ExecuteWizard('TSW',2,2,true);
BC_Activate;
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
RebootWindows(true);
end.
[/CODE]
Компьютер перезагрузится.
Файл [B]quarantine.zip[/B] пришлите нам, используя ссылку [B]"прислать запрошенный карантин"[/B] над первым сообщением в этой теме.
Повторите действия, указанные в правилах. Прикрепите новые отчеты AVZ/hijackthis.
После запуска скрипта и перезагрузки система перестала работать. После появления заставки "Добро пожаловать" появлялся просто черный экран с указателем, поэтому пришлось запускать процедуру восстановления более раннего состояния системы. Файл quarantine.zip сохранился в папке avz, новые логи (сделанные после восстановления) прилагаю также
RAdmin Вы самостоятельно устанавливали?
[B][URL=http://virusinfo.info/showthread.php?t=7239]Выполните скрипт в AVZ:[/URL][/B]
[CODE]
begin
ExecuteAVUpdate;
SearchRootkit(true, true);
SetAVZGuardStatus(true);
TerminateProcessByName('c:\windows\system32\wincore.exe');
DeleteFile('C:\Windows\system32\wincore.exe');
DeleteFile('C:\Windows\security\smss.exe');
DeleteFile('C:\Windows\system32\Netdv.dll');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/CODE]
Компьютер перезагрузится.
Повторите действия, указанные в правилах. Прикрепите новые отчеты AVZ/hijackthis.
[QUOTE=Никита Соловьев;903446]RAdmin Вы самостоятельно устанавливали?
[/QUOTE]
Нет(
Что же делать дальше? Вирус по прежнему активен((
Вы запускаете AVZ от имени Администратора по правой кнопке мыши при выполнении скрипта?
[COLOR="silver"]- - - Добавлено - - -[/COLOR]
+ Сделайте лог [URL="http://support.kaspersky.ru/viruses/solutions?qid=208636926"]TDSSkiller[/URL]
[QUOTE=thyrex;903628]Вы запускаете AVZ от имени Администратора по правой кнопке мыши при выполнении скрипта?
[COLOR="silver"]- - - Добавлено - - -[/COLOR]
+ Сделайте лог [URL="http://support.kaspersky.ru/viruses/solutions?qid=208636926"]TDSSkiller[/URL][/QUOTE]
Нет, я просто нахожусь под учетной записью администратора
[quote="AfgansTea;903644"]Нет, я просто нахожусь под учетной записью администратора[/quote]
В среде Windows 7 этого не достаточно.
Продлелал заново все указанные процедуры, каждый раз запуская программы от имени администратора. Была та же проблема с запуском системы и последующим восстановлением более раннего ее состояния.
Вот новые логи и лог TDSSkiller'а:
[COLOR="silver"]- - - Добавлено - - -[/COLOR]
Файл карантина тоже послал заново
Сделайте лог [url="http://virusinfo.info/showpost.php?p=493610&postcount=1"]ComboFix[/url]
Готово:
Скопируйте текст ниже в блокнот и сохраните как файл с названием [B]CFScript.txt[/B] [B][COLOR="#0000CD"]в корень диска С[/COLOR][/B]
[code]KillAll::
File::
c:\windows\system32\RDKXcRP.exe
c:\windows\system32\ahRWdIl.exe
c:\windows\system32\vjFZmDF.exe
c:\windows\system32\qfBpmMI.exe
c:\windows\system32\fzrXwNA.exe
c:\windows\system32\Netdv.dll
c:\windows\system32\wincore.exe
Driver::
Folder::
Registry::
[HKEY_LOCAL_MACHINE\software\microsoft\windows\Currentversion\policies\explorer\Run]
"Win"=-
FileLook::
DirLook::[/code]
После сохранения переместите [B]CFScript.txt[/B] на пиктограмму ComboFix.exe.
[img]http://safezone.cc/images/cfscript.gif[/img]
Когда сохранится новый отчет [B]ComboFix.txt[/B], прикрепите его к сообщению.
Проверьте наличие файла userinit.exe в папке system32
В случае отсутствия восстановите с дистрибутива
Прошу Вас:
Что сейчас с проблемой?
[QUOTE=thyrex;903718]Что сейчас с проблемой?[/QUOTE]
Касперский перестал ругаться, запускал проверу скриптом AVZ он писал о подозительных файлах svhost.win и userinit.exe. Прилагаю лог:
Лог HiJack еще раз сделайте
Сделал:
RAdmin удалите через Установку и удаление программ
Его там нет
[quote="thyrex;903702"]Проверьте наличие файла userinit.exe в папке system32
В случае отсутствия восстановите с дистрибутива[/quote]Это сделали? Файл был на месте или восстанавливали?
[QUOTE=thyrex;903741]Это сделали? Файл был на месте или восстанавливали?[/QUOTE]
Конечно. Он был на месте
Тогда просто удалите svchost.[B]win[/B] и userinit.[B]win[/B]
Сделано
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]13[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\windows\\system32\\admdll.dll - [B]not-a-virus:RemoteAdmin.Win32.RAdmin.20[/B] ( DrWEB: Program.RemoteAdmin.21, BitDefender: Trojan.Generic.6241961 )[*] c:\\windows\\system32\\netdv.dll - [B]Trojan-Spy.Win32.Agent.bsfl[/B] ( DrWEB: Trojan.PWS.Spy.13955, BitDefender: Gen:Trojan.Heur.GM.4400060020, AVAST4: Win32:Malware-gen )[*] c:\\windows\\system32\\svchost.win - [B]not-a-virus:RemoteAdmin.Win32.RAdmin.20[/B] ( DrWEB: Program.RemoteAdmin, BitDefender: Gen:Trojan.Heur.imKfXe63!7ii )[/LIST][/LIST]
Рекомендации:
[LIST=1][*]Обнаружены троянские программы класса Trojan-PSW/Trojan-Spy - настоятельно рекомендуется поменять все пароли ![/LIST]