Неудаляемые выирусы и произвольный расход траффика((

Printable View

14.10.2007, 22:07
Shade

Вложений: 3

Неудаляемые выирусы и произвольный расход траффика((

Здравствуйте!
Очень прошу помочь мне.
Началось всё где то со вторника.Заметил что интернет траффик улитучивается сам.Может разогнатся и скачать 1 м за 10 сек:'-(
Проверка нод32 нашла только rootkit.agent.DP модифицированый троян в файле ip6fw,и с этим проблема-он не удаляется .Вернее удаляется,самозаменяется виндосом на такой же не заражонный, но после перезагрузки снова появляется вирус. Не знаю ,он ли жрёт траффик или какая-то другая зараза.Прошу вас помоч мне.
Даже щас пишу с выключеным нетом-всё сожрёт же:embarasse
14.10.2007, 22:14
V_Bond

пофиксите ...
[code]
F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,C:\WINDOWS\system32\ntos.exe,
O4 - HKCU\..\Run: [userinit] C:\WINDOWS\system32\ntos.exe
[/code]
выполните скрипт ...
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\Temp\startdrv.exe','');
QuarantineFile('C:\WINDOWS\system32\drivers\runtime.sys','');
QuarantineFile('C:\WINDOWS\system32\drivers\runtime2.sys','');
QuarantineFile('C:\WINDOWS\system32\drivers\ip6fw.sys','');
QuarantineFile('C:\WINDOWS\system32\ntos.exe','');
DeleteFile('C:\WINDOWS\system32\ntos.exe');
DeleteFile('C:\WINDOWS\Temp\startdrv.exe');
Deletefile('C:\WINDOWS\system32\drivers\ip6fw.sys');
DeleteFile('C:\WINDOWS\system32\drivers\runtime2.sys');
DeleteFile('C:\WINDOWS\system32\drivers\runtime.sys');
BC_DeleteSvc('runtime');
BC_DeleteSvc('runtime2');
BC_DeleteSvc('Ip6Fw');
BC_DeleteSvc('msupdate');
BC_ImportAll;
ClearHostsFile;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
пришлите карантин согласно приложения 3 правил ....
повторите логи...
14.10.2007, 22:48
Shade

Так карантин вроде прислал.
Прислал?)
Щас сделаю логи.Их тоже высылать да?
14.10.2007, 23:06
V_Bond

логи прикрепить к сообщению ...
14.10.2007, 23:29
Shade

Высылаю логи.
14.10.2007, 23:35
Shade

Вложений: 3

Вот.
14.10.2007, 23:36
Shade

А ничего что удалился с концами ip6fw? Он вроде как системный файл? Или я чего не понимаю?
14.10.2007, 23:48
V_Bond

отключите восстановление системы ...
пофиксите ...
[code]
F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,C:\WINDOWS\system32\ntos.exe,
O4 - HKLM\..\Run: [startdrv] C:\WINDOWS\Temp\startdrv.exe
[/code]
повторите лог HijackThis ...

ip6fw -системный ... но он подменяется зловредом .... тот что мы удалили система заменила на чистый...
15.10.2007, 00:00
Shade

Вложений: 1

Высылаю лог. Извините конечно, но ip6fw не появился. Там даже брешь на его месте:?.
15.10.2007, 00:02
Shade

Ладно щас я иду спать. Продолжу завтра. Спасибо вам по ходу) Спокайной ночи ,до завтра.
15.10.2007, 00:03
V_Bond

в логах чисто ...
брешm на его месте єто как ... ? дырка на винте ;)
15.10.2007, 13:43
Shade

ну ip6fw просто исчез и не появился.
Бешеный расход траффика прекратился.Но чуть чуть расходуется(совсем чуть чуть)
Вроде и раньше так было но я не обращал внимания)
И ещё я прошу меня извинить:перед выполнением последнего лога я забыл отключить восстановление системы.Ни чё страшного или повторить?
И что же всё таки с ip6fw непарится о нём?:?
А так огромное спасибо:)
15.10.2007, 14:09
V_Bond

сейчас отключите восстановление системы ... что бы вытерлись все точки восстановления содержащие зловредов ....
15.10.2007, 14:18
Shade

Ну я отключил востановление и включил. Так надо да?
Сейчас почемуто жутко затормозил интернет.Может это изза провайдера. Но может это изза лечения?
И что же всётаки с ip6fw?
15.10.2007, 14:26
V_Bond

лечение к скорости вашего подключения не имеет отношения ....
ip6fw - где вы его хотите увидеть ?
15.10.2007, 14:31
Shade

в с/windows/system32/drivers там он был
Надеюсь что это чёт с провайдером(тормозит жутко)
А когда восстановление отключаем надо перезагружать или достаточно отключить и включить?
15.10.2007, 14:52
V_Bond

пуск- выполнить sfc /scannow
достаточно отключит включить
15.10.2007, 15:39
Shade

при выполнении этой команды он запрашивает установочный диск,которого у меня нет(
15.10.2007, 15:44
V_Bond

значит перепишите файлик ... он отвечает за виндовый файер ... если вы ним не пользуетесь то это не критично ...
15.10.2007, 16:01
Shade

виндовый фаер это брандмауэр?
переписать с другова компа?А он снова на зловред не заменится?
15.10.2007, 16:05
Bratez

Если не ошибаюсь, он нужен только при использовании IPv6, т.е. фактически не нужен.
15.10.2007, 16:38
Shade

а кроме этого файла мы больше ничё важного не подчистили?)
и что такое IPv6?
15.10.2007, 16:49
V_Bond

[URL="http://ru.wikipedia.org/wiki/IPv6"]IPv6[/URL]
15.10.2007, 23:12
Shade

ну ладно ща вроде всё норм(несчитая торозов с интернетом - но это почти точно изза провайдера)
Надеюсь пагубных последсвий чистки не обноружится
если чё то ip6fw можно просто кинуть с другова компа??
А так большое всем спасибо! Удачи
15.10.2007, 23:14
V_Bond

[QUOTE=V_Bond;142284]значит перепишите файлик ... он отвечает за виндовый файер ... если вы ним не пользуетесь то это не критично ...[/QUOTE] ...
15.10.2007, 23:17
Shade

СПА-СИ-БО!!!!
22.02.2009, 02:36
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]12[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\documents and settings\\user\\local settings\\temp\\loader.exe - [B]Trojan.Win32.Inject.gh[/B] (DrWEB: Trojan.MulDrop.9288)[*] c:\\windows\\system32\\ntos.exe - [B]Trojan-Spy.Win32.Zbot.au[/B] (DrWEB: Trojan.MulDrop.9286)[/LIST][/LIST]