Есть ли возможность вылечить архив с книгой?

Здравствуйте!

При сканировании дисков, компьютер нашел подозрения на вирусы (лог с информацией прикреплен ниже)

Как с помощью программы AVZ очистить диски и по возможности восстановить книгу

D:\Potter\Books\English\Англ яз\

Благодарю заранее за помощь

[B]virusinfo_cure.zip[/B] -карантин уберите из темы ..
выполните скрипт...( файл - выполнить скрипт скопируйте и нажмите запустить-компьютер перегрузится)
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
QuarantineFile('c:\Bookshelf.TR\TRBookshelf_.dll.button.js','');
QuarantineFile('C:\WINDOWS\system32\ietoolbar.dll','');
BC_ImportQuarantineList;
BC_Activate;
RebootWindows(true);
end.
[/code]
пришлите карантин по ссылке ... [url]http://virusinfo.info/upload_virus.php?tid=12543[/url]

Простите, я случайно прикрепил карантин, хотел сам удалить, но не сразу разобрался, как это сделать. :(

Спасибо :)

нажмите кнопку правка затем зайдите в расширенный режим ...

Ну да, спасибо, я же уже всё сделал. Разве нет?

D:\Sys\Программы\sms.exe - Win32:StartPage-187 (Avast!)
Живет она у Вас на всех дисках. Нужно удалять.

Больше ни на что подозрений нет. Такое ощущение, что Ваши книги чистые.

А удалять, насколько я понимаю, программой AVZ? Вставляю в скрипт путь D:\Sys\Программы\sms.exe F:\Sys\Программы\sms.exe и т.д., и нажимаю "Выполнить скрипт"?

И ещё, простите, вопрос, наверно, дурацкий, но это меня очень беспокоит.
Я когда раньше сканил NOD`ом, у меня периодически появлялись вирусы на D и F в папке System Volume Information

Например, такие:
Файл F:\System Volume Information\_restore{D563D4FE-D17A-4050-BE9F-CB2A1914E8BC}\RP105\A0060482.exe инфицирован вероятно модифицированный Win32/Agent троян.

А вызывано это было? как мне написал NOD, вот этим

Событие произошло в файле модифицированном приложением. C:\WINDOWS\System32\svchost.exe. Файл был перемещен в карантин.

Мне сказали, что svchost.exe. - отвратительная штука. Но чем бы я ни сканил C:\WINDOWS\System32, даже AVZ - ничего не показывает.

Могу я не волноваться по этому поводу?

F:\System Volume Information - папка, где хранятся данные по восстановлению системы. Вы его отключили, папка должна была очиститься.
Удалять sms.exe будем? Сейчас подготовлю скриптик для него.
Скрипт для удаления:
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);

DeleteFile('F:\Sys\Программы\sms.exe');
DeleteFile('D:\Sys\Программы\sms.exe');

ExecuteSysClean;
RebootWindows(true);
end.[/CODE]

А скрипт, который V_Bond Вы не выполнили? Карантина после него я не наблюдаю. Сделайте его, плс.

Спасибо огромное! Конечно, будем! Только я сейчас на работе, а любимый компьютер - дома. Как приду - первейшим делом буду все скрипты выполнять! Сначала который V_Bond , а потом sms.exe.

[size="1"][color="#666686"][B][I]Добавлено через 6 часов 32 минуты[/I][/B][/color][/size]

Ну вот, я выполнил оба скрипта. Но возникла проблема. После выполнения первого, который V_Bond - у меня не получилось карантина :( В папке Log - только старые, которые я уже высылал. Тольков папке Quarantine появилась новая папка 2007-09-18. Но она не архив. Или это её надо заархивировать? И выслать?

Приложение 3. Как прислать запрошенные файлы.

1. Запустите AVZ, выберите из меню "Файл" - >"Просмотр карантина".
2. Справа в списке файлов отметьте те файлы которые нужно выслать.
3. Нажмите на кнопку "Архивировать" и укажите место на диске где будет сохранён архив.
4. Загрузите полученный архив используя ссылку на станичку загрузки (Прислать запрошенные файлы) в шапке Вашей темы... вот она . [url]http://virusinfo.info/upload_virus.php?tid=12543[/url]

Спасибо огромное! Всё сделал.
Если только я правильно выполнил пункт 2.
Я отметил все файлы, которые были предложены после "Просмотра карантина".

по VirusTotal
c:\Bookshelf.TR\TRBookshelf_.dll.button.js чистый ...
C:\WINDOWS\system32\ietoolbar.dll чистый ...
повторите логи ...

Простите, не было инета :( Только сейчас дали. Всё сделал, как Вы сказали. Вот логи и карантин.

1.[url=http://virusinfo.info/showthread.php?t=7239]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".[/url]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
ClearQuarantine;
QuarantineFile('yes.exe','');
DeleteFile('D:\RECYCLER\NPROTECT\00004106.exe');
DeleteFile('F:\RECYCLER\NPROTECT\00000006.exe');
DeleteFile('C:\Documents and Settings\HP\Рабочий стол\sms.exe');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]
После выполнения скрипта компьютер перезагрузится.
Прислать карантин согласно [b]приложения 3 [url=http://virusinfo.info/showthread.php?t=1235]правил [/url][/b].
Загружать по ссылке: [url]http://virusinfo.info/upload_virus.php?tid=12543[/url]

2.Пофиксить в HijackThis следующие строчки ( [url]http://virusinfo.info/showthread.php?t=4491[/url] )
[CODE]O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file) [/CODE]

что из этого вам нужно?остальное пофиксим
[QUOTE]>> Службы: разрешена потенциально опасная служба RemoteRegistry (Удаленный реестр)
>> Службы: разрешена потенциально опасная служба TermService (Службы терминалов)
>> Службы: разрешена потенциально опасная служба SSDPSRV (Служба обнаружения SSDP)
>> Службы: разрешена потенциально опасная служба Schedule (Планировщик заданий)
>> Службы: разрешена потенциально опасная служба mnmsrvc (NetMeeting Remote Desktop Sharing)
>> Службы: разрешена потенциально опасная служба RDSessMgr (Диспетчер сеанса справки для удаленного рабочего стола)
> Службы: обратите внимание - набор применяемых на ПК служб зависит от области применения ПК (домашний, ПК в ЛВС компании ...)!
>> Безопасность: разрешен автозапуск программ с CDROM
>> Безопасность: разрешен административный доступ к локальным дискам (C$, D$ ...)
>> Безопасность: к ПК разрешен доступ анонимного пользователя
>> Безопасность: Разрешена отправка приглашений удаленному помошнику[/QUOTE]
файлы из папок с книгами чистые

[quote=Muzzle;136414]1.[URL="http://virusinfo.info/showthread.php?t=7239"]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".[/URL]
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
ClearQuarantine;
QuarantineFile('yes.exe','');
DeleteFile('D:\RECYCLER\NPROTECT\00004106.exe');
DeleteFile('F:\RECYCLER\NPROTECT\00000006.exe');
DeleteFile('C:\Documents and Settings\HP\Рабочий стол\sms.exe');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]
После выполнения скрипта компьютер перезагрузится.
Прислать карантин согласно [B]приложения 3 [URL="http://virusinfo.info/showthread.php?t=1235"]правил [/URL][/B].
Загружать по ссылке: [URL]http://virusinfo.info/upload_virus.php?tid=12543[/URL]

2.Пофиксить в HijackThis следующие строчки ( [URL]http://virusinfo.info/showthread.php?t=4491[/URL] )
[code]O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file) [/code]

что из этого вам нужно?остальное пофиксим

файлы из папок с книгами чистые[/quote]



Как всегда, огромное спасибо :)

Первые два пункта я, конечно же, выполнил. Но у меня возникли затруднения вот с этим Вашим вопросом:

"что из этого вам нужно?остальное пофиксим"

Не могу сказать, что совсем уж полный идиот в компах, но на то, чтобы ответить на этот вопрос, моей квалификации, явно, не хватает :( Пытался спросить у нашего сисадмина на работе, но даже он затруднился мне помочь :( Могу сказать только, что компьютер - домашний.

Если домашний и нет других компьютеров дома, то можно всё позакрывать, я так сделал и не жалуюсь особо ;)
Вот этот скрипт (AVZ) это сделает:

[code]begin
SetServiceStart('RemoteRegistry', 4);
SetServiceStart('TermService', 4);
SetServiceStart('SSDPSRV', 4);
SetServiceStart('Schedule', 4);
SetServiceStart('mnmsrvc', 4);
SetServiceStart('RDSessMgr', 4);
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'System\CurrentControlSet\Services\CDROM','AutoRun', 0);
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'System\CurrentControlSet\Services\LanmanServer\Parameters','AutoShareWks', 0);
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Control\LSA','RestrictAnonymous', 2);
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Control\Terminal Server','fAllowToGetHelp', 0);
RebootWindows(true);
end.[/code]

Чтобы уменьшить шанс заражения, на будущее :
1) Работать за компьютером с правами ограниченного пользователя.
2) Пользоваться для хождения по интернету альтернативным браузером [b]с отключёнными скриптами по умолчанию с лёгкостью разрешая доверенным сайтам выполнять скрипты [/b]([url=http://virusinfo.info/showthread.php?p=121290#post121290]Firefox[/url] и [url=http://virusinfo.info/showthread.php?t=6577]Opera[/url] это позволяют делать в отличии от IE 7 ,6....)
3) Прочитать электронную книгу "Безопасный Интернет". Универсальная защита для Windows ME - Vista": [url]http://security-advisory.newmail.ru[/url]

Вы можете нас отблагодарить, оказав нам помощь в сборе базы безопасных файлов : [url]http://virusinfo.info/showthread.php?t=3519[/url]
Мы будем Вам очень благодарны!

drongo, огрмное спасибо :)

Насчёт базы безопасных файлов. Я всё собрал, хотел закачать, но там написано, что максималный размер закачиваемого файла - 20 М, а у мен файл получился 42,3. Что делать?

Разделить на три архива.

Спасибо большое за ту помощь, которая была оказана.

Поясните пжл, если отключить службы как указано в скрипте выше, что это за службы и для чего они используются?

[url]http://www.oszone.net/windows/winxp/services/services.zip[/url] - ссылочка на описание всех служб. THK rene-gad за ссылку.

Вот спасибо!

[size="1"][color="#666686"][B][I]Добавлено через 49 минут[/I][/B][/color][/size]

Просмотрел службы

>> Службы: разрешена потенциально опасная служба RemoteRegistry (Удаленный реестр) НЕ НУЖНА
>> Службы: разрешена потенциально опасная служба TermService (Службы терминалов) НЕ НУЖНА
>> Службы: разрешена потенциально опасная служба SSDPSRV (Служба обнаружения SSDP) НЕ НУЖНА
>> Службы: разрешена потенциально опасная служба Schedule (Планировщик заданий) НЕ НУЖНА
>> Службы: разрешена потенциально опасная служба mnmsrvc (NetMeeting Remote

Legenda (08:35:22 25/09/2007)
Desktop Sharing) НЕ НУЖНА
>> Службы: разрешена потенциально опасная служба RDSessMgr (Диспетчер сеанса справки для удаленного рабочего стола) ВОЗМОЖНО
> Службы: обратите внимание - набор применяемых на ПК служб зависит от области применения ПК (домашний, ПК в ЛВС компании ...)!


>> Безопасность: разрешен автозапуск программ с CDROM НУЖНА
>> Безопасность: разрешен административный доступ к локальным дискам (C$, D$ ...) НУЖНА


>> Безопасность:к ПК разрешен доступ анонимного пользователя ?
>> Безопасность: Разрешена отправка приглашений удаленному помошнику НЕ НУЖНА

Вот Вам скрипт (с) Drongo, чуток поправленный под Ваши просьбы.
[CODE]begin
SetServiceStart('RemoteRegistry', 4);
SetServiceStart('TermService', 4);
SetServiceStart('SSDPSRV', 4);
SetServiceStart('Schedule', 4);
SetServiceStart('mnmsrvc', 4);
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Control\LSA','RestrictAnonymous', 2);
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Control\Terminal Server','fAllowToGetHelp', 0);
RebootWindows(true);
end.[/CODE]

Огромнейшее спасибо!!!!

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]4[/B][*]Обработано файлов: [B]24[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]