Printable View
доброго времени суток, помогите избавиться от вредителей, пожалуйста. :)
и если это возможно, скажите, это я сам где-то нахапал такой букет вирусов в инете, или меня кто-то целенаправленно ломает (с сетки, например.) просто проблема с вирусами для меня в последние полгода черезчур актульна, при всём моём старании не "заплывать" на подозрительные сайты ))
заранее спасибо.
Platform: Windows XP SP1 (WinNT 5.01.2600) - вот с этим у вас постоянно будут проблемы с вирусами ....
нужно срочно обновлятся до SP2 , но ваш крек не сработает...
выполните скрипт...
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
QuarantineFile('C:\Documents and Settings\HooverCraft\mspool.exe','');
QuarantineFile('C:\Documents and Settings\HooverCraft\spool.exe','');
QuarantineFile('C:\WINDOWS\all.exe','');
QuarantineFile('C:\WINDOWS\Temp\startdrv.exe','');
QuarantineFile('Ybr26.sys','');
QuarantineFile('\SystemRoot\System32\DRIVERS\tcpip.sys','');
QuarantineFile('\SystemRoot\SYSTEM32\spooldr.sys','');
QuarantineFile('c:\windows\spooldr.exe','');
DeleteFile('c:\windows\spooldr.exe');
DeleteFile('\SystemRoot\SYSTEM32\spooldr.sys');
DeleteFile('C:\WINDOWS\Temp\startdrv.exe');
DeleteFile('C:\WINDOWS\System32\svchost.exe:ext.exe');
BC_ImportAll;
BC_QrSvc('Ybr26');
BC_DeleteSvc('FCI');
BC_Activate;
ExecuteSysClean;
RebootWindows(true);
end.
[/code]
пришлите карантин согласно приложения 3 правил...
спасибо за оперативный ответ.
но вот какая проблема: после запуска вашего скрипта, сначала видно, что AVZ выполняет какие-то заданные этим скриптом операции, но потом без всяких предупреждения винда резко срывается на рестарт. пробовал 2 раза в обычном режиме + 1 раз в безопасном. что делать? :(
в архиве карантина все файлы, что там есть.
что идет ребут это нормально .... так прописано в скрипте .... карантин загрузите по ссылке [url]http://virusinfo.info/upload_virus.php?tid=13086[/url] ... из темы его убрать ...
сделал всё, как вы сказали!
C:\Documents and Settings\HooverCraft\mspool.exe [B]Trojan-Downloader.Win32.Agent.dxb[/B]
C:\Documents and Settings\HooverCraft\spool.exe [B]Backdoor.Win32.Small.cko [/B]
c:\windows\spooldr.exe [B]Email-Worm32.Zhelatin.ki[/B]
C:\WINDOWS\System32\DRIVERS\tcpip.sys [B]Trojan.Win32.Patched.ao[/B]
C:\WINDOWS\SYSTEM32\spooldr.sys[B] Email-Worm32.Zhelatin.ki[/B]
C:\WINDOWS\all.exe [B]DLOADER.Trojan[/B]
C:\WINDOWS\Temp\startdrv.exe [B]Trojan.MulDrop.9300 [/B]
выполните скрипт...
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
DeleteFile('C:\Documents and Settings\HooverCraft\mspool.exe');
DeleteFile('C:\Documents and Settings\HooverCraft\spool.exe');
DeleteFile('C:\WINDOWS\all.exe');
BC_ImportAll;
BC_Activate;
ExecuteSysClean;
RebootWindows(true);
end.
[/code]
tcpip.sys -патченый ,необходимо заменить на чистый .... замену производить в SAFE MODE ....
повторите логи ...
извините, а что это за файл tcpip.sys и как я его могу поменять? где взять чистый файл?
(последний скрипт ещё не выполнял)
tcpip.sys - можно вылечить касперским ... или взять из дистрибутива...
подскажите, а что делать, если не знаешь, где на дистрибутиве находится этот файл? поиски не помогли :( самое интересное, в моменте установки касперского (специально для удаления этого файла), винда опять же срывается в ресет где то на середине установки...
берите этот ...
спасибо, взял, вроде замена файла прошла без проблем.
вот новые логи.
выполните скрипт ...
[code]
begin
SearchRootkit(false, true);
RegKeyParamDel('HKEY_LOCAL_MACHINE','SYSTEM\CurrentControlSet\Services\Ybr26','Start');
RebootWindows(true);
end.
[/code]
после перезагрузки еще один ...
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\drivers\Ybr26.sys','');
DeleteFile('C:\WINDOWS\system32\drivers\Ybr26.sys');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
пришлите карантин согласно приложения 3 правил...
повторите логи...
выполнил последние 2 скрипта, после их выполнения заархивировал все файлы карантина, что были. но после этого сделать логи для "скрита лечения и сбора информации для..." не позволяет - вскоре после старта винда самостоятельно перезагружается. всё, чем удалось разжиться, это лог из hijackthis.
карантин закачал по ссылке [url]http://virusinfo.info/upload_virus.php?tid=13086[/url]
сделайте лог [url]http://virusinfo.info/showthread.php?t=10387[/url] ...
сделал.
пытаюсь сделать аттачмент (с тем самым логом) - пишеь что [B]avz_sysinfo.xml / avz_sysinfo.html - некорректный файл. :( что делать дальше? пока выложил их оба в одном архиве, иначе не получалось.[/B]
Запускайте из командной строки: Пуск - Выполнить - sfc/scannow
Утилите требуется инсталляционный диск с операционной системой он должен быть в CD -ROM ...
зловредов в логе не видно ...
пишет, что винде не удалось найти "sfc/scannow"... проверьте, что имя было введено правильно и т.д...
если вводить "sfc / scannow", то выскакивает какое-то окно, которое моментально исчезает.
что я делаю не так?
диск с виндой в сд-роме..
нужно так ... sfc /scannow ... ссори торопился когда писал...
процесс дошёл до определенного момента, когда система говорит, что-то типа "файлы были найден и должны быть скопированы в кэш .dll" просит вставить диск ХР про - он и был в сиди роме с самого начала, но система начинает ругаться, что дисск не тот и "хотите ли вы пропустить файл?" после бесчётного количества пришлось отменить эту операцию.
есть ли у вас ещё какие-нибудь предложения?
значит диск действительно не тот ... или тот, но сильно очень пиратский ...
скорее второй вариант...
значит, пациента мне сносить, образно говоря? уже ничем ей не помочь? =)
какие проблемы остались ?
скорее не проблемы, а опасеня. не знаю. насколько естественные были те последние резкие перезагрузки, о которых я писал несколькими постами ранее, но у меня остались файлы, с которых, как мне кажется, вся эта катавасия с вирусами и началась :) я вам их вышлю, если можно.... после них во многих папках с документами появились неизвестные файлы "_install" (их было более девяносто). с ними я вроде-бы справился (хотя не уверен). а вот в вышеназванными файлами, я не знаю что делать. до того, как создал этот топик пытался их удалить - непомогло. адаваре и всё прочее их не видели.
а так, в принципе, не знаю, что за скритпы вы мне тут навыдавали, но проблем пока нет. :) хотя вот эти файлы внушают опасение (3 файлы в архиве)
грузите файлы сюда [url]http://virusinfo.info/showthread.php?t=13086[/url] ...
смог только прямой ссылкой - [url]http://rapidshare.com/files/61662743/files.rar.html[/url]
выложите на SLIL.RU мне с рапиды их не скачать ...
[url]http://slil.ru/24963695[/url]
вот. :) извините, если там всё-таки вирусы...
[size="1"][color="#666686"][B][I]Добавлено через 10 минут[/I][/B][/color][/size]
кстати, по поводу проблем. сейчас ни с того ни с сего, не проводя никаких манипуляций с виндой, снова загремел в резкий ребут :( "эхо вирусов", называется...
из присланных ... подозрительный BIN.EXE - отправлены в вирлаб ...
насчет ребута ... как у вас насчет температур ? блока питания ? кондесаторов на материнке ? от пыли системник давно чистили ? контакты ... особенно на видео протирали ?
насчёт температур не знаю, врожде бы системник не перегревается. от пыли чистил не так давно, и чистил, что называется, досканально. я кстати где-то читал про программу-регулятор температуры на системнике, но никогда ей не пользовался.
ах, да. по поводу ребутов - вы возможно будете смеяться, но у меня отвалился (именно так) радиатор, и с тех пор я его так и не приделал. хотя честно говоря, за 3 года, что я без него, видимо, у меня не было особых надобностей это сделать. вот, может и пришли пора... ?
видимо да ...
ясно, и спасибо вам за помощь :)
bin2.exe_ - Trojan.Win32.Delf.aic
[quote=drongo;141124]bin2.exe_ - Trojan.Win32.Delf.aic[/quote]
posovetujte, mozhno li ego udalit ru4kami, esli net, to kakim antivirusom lu4she eto sdelat... bojus, esli ja na4nu etot fail vru4nuju shevelit, to u menja opjat pojavjatsja bolee 90 shtuk failov *_install*, o kotorqh ja pisal vqshe.
ivzninite za latinicu.
можно и ручками, а можно и антивирусом (каспер его знает)
спасибо вам, V_Bond & drongo :)
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]3[/B][*]Обработано файлов: [B]49[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] \\bin2.exe - [B]Trojan.Win32.Delf.aic[/B] (DrWEB: Trojan.Umka)[*] c:\\documents and settings\\hoovercraft\\mspool.exe - [B]Trojan-Downloader.Win32.Agent.dxb[/B] (DrWEB: Trojan.Click.4702)[*] c:\\documents and settings\\hoovercraft\\spool.exe - [B]Backdoor.Win32.Small.cko[/B] (DrWEB: Trojan.Click.4669)[*] c:\\windows\\all.exe - [B]Trojan-Downloader.Win32.Small.dzn[/B] (DrWEB: Trojan.DownLoader.35298)[*] c:\\windows\\spooldr.exe - [B]Email-Worm.Win32.Zhelatin.ki[/B] (DrWEB: Trojan.Packed.142)[*] c:\\windows\\system32\\drivers\\tcpip.sys - [B]Trojan.Win32.Patched.ao[/B] (DrWEB: BackDoor.Groan)[*] c:\\windows\\system32\\spooldr.sys - [B]Email-Worm.Win32.Zhelatin.ki[/B] (DrWEB: Trojan.NtRootKit.421)[*] c:\\windows\\temp\\startdrv.exe - [B]Trojan-Downloader.Win32.Agent.dyf[/B] (DrWEB: Trojan.MulDrop.9300)[/LIST][/LIST]