Printable View
Неоднократно удалял эти файлы с помощью скриптов, найденных на вашем форуме (возможно они не подошли, а самому написать - ума не хватит-чайник) после перезагрузки все появляется снова. восстановление системы отключено. Несколько дней назад похожие проблемы были с printer.exe, но после выполнения скриптов (спасибо этому сайту) система заработала нормально. но ненадолго (
кто виноват и как жить дальше? вернее что делать?
во вложениях - что находят аваст и avz
Мы сможем помочь, если вы сделаете логи по правилам:
[url]http://virusinfo.info/showthread.php?t=1235[/url]
исправляюсь.
Пофиксите в HijackThis:
[code]
F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,userinit.exe[/code]
Выполните скрипт в AVZ:
[code]
begin
ClearHostsFile;
BC_DeleteSvc('ICF');
BC_Activate;
RebootWindows(true);
end.[/code]
Сделайте дополнительный лог, как написано тут:
[url]http://virusinfo.info/showthread.php?t=10387[/url]
сделал.
беспокоит вот это: C:\WINDOWS\oeimara.exe >>> подозрение на Trojan.Win32.Inject.iq
Да, забыл добавить: карантин AVZ пришлите согласно приложению 3 правил (загружать тут: [url]http://virusinfo.info/upload_virus.php?tid=13597[/url]).
avz_sysinfo.zip - запакуйте html а не xml.
в карантине есть более ранние удаления - файлы printer.exe, я о нем писал. его высылать?
чуть не забыл.
C:\WINDOWS\oeimara.exe - это действительно [b]Trojan.Win32.Inject.iq[/b]
Выполните скрипт в AVZ:
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\WINDOWS\oeimara.exe');
BC_ImportDeletedList;
ExecuteSysClean;
RebootWindows(true);
end.[/code]
После перезагрузки сделайте новые логи по правилам.
надо сказать, что еще до выполнения последнего скрипта вирусные атаки прекратились, тормоза вроде бы пропали, но в безопасном режиме cureit! опять находит и удаляет sulimo.dat (Trojan.Proxy.1739)
выполните скрипт...
[code]
begin
SetAVZGuardStatus(True);
SearchRootkit(true, true);
QuarantineFile('\SystemRoot\system32\DRIVERS\nvcap.sys','');
BC_ImportAll;
BC_Activate;
RebootWindows(true);
end.
[/code]
пришлите карантин согласно приложения 3 правил...
где Cureit находит sulimo.dat ? среди активніх я его не вижу ....
сегодня вроде все чисто. спасибо за помощь. и с прошедшим днем водителя ).
карантин высылаю.
присланный вами файл чистый ... больше ничего подозрительного не вижу ... какие проблемы остались ?
Все нормально вроде бы. Еще раз спасибо.
второе пришествие: снова сканер вопит о вирусной атаке каждые 2 секунды, обнаруживаются и удаляются: DefLib.sys, ip6fw.sys, c++.exe\[UPX], runtime.sys.
После перезагрузки этих файлов нет и в принципе все вроде работает, но вот эти наводят на подозрение: wupdsvc0, wupdsvc4, wupdsvc6. На всякий случай сделал логи.
1.[url=http://virusinfo.info/showthread.php?t=7239]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".[/url]
[CODE]begin
BC_QrFile('C:\WINDOWS\system32\c++.exe');
BC_QrFile('C:\WINDOWS\SYSTEM32\DRIVERS\RUNTIME2.SYS');
BC_QrFile('C:\WINDOWS\system32\drivers\ip6fw.sys');
BC_DeleteFile('C:\WINDOWS\SYSTEM32\DRIVERS\RUNTIME2.SYS');
BC_DeleteFile('C:\WINDOWS\system32\drivers\ip6fw.sys');
BC_DeleteFile('C:\WINDOWS\system32\DefLib.sys');
BC_DeleteFile('C:\WINDOWS\system32\c++.exe');
BC_DeleteSvc('runtime');
BC_DeleteSvc('runtime2');
BC_DeleteSvc('Ip6Fw');
BC_DeleteSvc('FCI');
BC_Activate;
RebootWindows(true);
end.[/CODE]
После выполнения скрипта компьютер перезагрузится.
Прислать карантин согласно [b]приложения 3 [url=http://virusinfo.info/showthread.php?t=1235]правил [/url][/b].
Загружать по ссылке: [url]http://virusinfo.info/upload_virus.php?tid=13597[/url]
[QUOTE]но вот эти наводят на подозрение: wupdsvc0, wupdsvc4, wupdsvc6. На всякий случай сделал логи.[/QUOTE]
Где эти файлы?Вы их удалили?
Если нет то поместите в карантин и отправьте по правилам,после удалите их.
как их поместить в карантин? извиняюсь за глупый вопрос. или просто заархивировать и выслать?
[size="1"][color="#666686"][B][I]Добавлено через 45 секунд[/I][/B][/color][/size]
wupdsvc0, wupdsvc4, wupdsvc6 - я их имею в виду
Да,поместить в арвив с паролем "virus" и прислать по правилам,после выполнения скрипта,сделайте новые логи.
новые логи. стоит ли обращать внимание на:
>> Маскировка драйвера: Base=F3A63000, размер=131072, имя = "\SystemRoot\system32\DRIVERS\nvcap.sys"
1.В avz [URL="http://virusinfo.info/showthread.php?t=7239"]выполнить скрипт[/URL]:
[CODE]
begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(true);
QuarantineFile('C:\WINDOWS\system32\c++.exe','');
DeleteFile('C:\WINDOWS\system32\c++.exe');
BC_ImportALL;
BC_Activate;
ExecuteSysClean;
RebootWindows(true);
end.
[/CODE]
Компьютер перезагрузится.
2.[URL="http://virusinfo.info/showthread.php?t=4491"]Пофиксить[/URL] в HiJackThis если будет
[CODE]
F2 - REG:system.ini: UserInit=C:\WINDOWS\SYSTEM32\Userinit.exe,C:\WINDOWS\system32\c++.exe,
[/CODE]
3.Выслать карантин согласно приложению 3 [URL="http://virusinfo.info/showthread.php?t=1235"]правил[/URL]
выполните скрипт...
[code]
begin
SetAVZGuardStatus(True);
SearchRootkit(true, true);
QuarantineFile('\SystemRoot\system32\DRIVERS\nvcap.sys','');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
пришлите карантин согласно приложения 3 правил..
после выполнения скрипта пропал рабочий стол. пришлось перезагружать вручную.
запись F2 - REG:system.ini: UserInit=C:\WINDOWS\SYSTEM32\Userinit.exe,C:\WINDOWS\system32\c++.exe - отсутствовала
[size="1"][color="#666686"][B][I]Добавлено через 2 минуты[/I][/B][/color][/size]
после выполнения скрипта пропал рабочий стол. пришлось перезагружать вручную.
запись F2 - REG:system.ini: UserInit=C:\WINDOWS\SYSTEM32\Userinit.exe,C:\WINDO WS\system32\c++.exe - отсутствовала
карантин выслал.
[size="1"][color="#666686"][B][I]Добавлено через 9 минут[/I][/B][/color][/size]
после скрипта таже картина - пропадает рабочий стол. после ручной перезагрузки внешне все нормально.
вы торопитесь, и не даете компьютеру перегрузиться самостоятельно ....
раньше он таким задумчивым не был ) после скриптов перезагружался моментально. может попробовать еще раз?
повторите логи...
готово
ничего подозрительного больше нет ...
на nvcap.sys внимание можно не обращать?
стоит,я думаю,переустановить драйвера NVIDIA ...
еще раз спасибо
С драйвером там всё впорядке.
Советую работать за компьютером под пользователем с ограниченными правами.
По возможности не пользоваться Internet Explorer,а использовать альтернативные браузеры,например Firefox,Opera(с отключёнными java скриптами,разрешать их выполнение только для доверенных сайтов)
Советую прочитать [URL="http://security-advisory.newmail.ru/"]электронную книгу[/URL] "Безопасный Интернет. Универсальная защита для Windows ME - Vista".
Вы можете нас отблагодарить, [URL="http://www.virusinfo.info/showthread.php?t=3519"]оказав нам помощь в сборе базы безопасных файлов.[/URL] Мы будем Вам очень благодарны!
Удачи!
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]6[/B][*]Обработано файлов: [B]13[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\windows\\oeimara.exe - [B]Trojan.Win32.Inject.iq[/B] (DrWEB: BackDoor.Bulknet.87)[*] \\virus\\wupdsvc0.exe - [B]Trojan-PSW.Win32.LdPinch.dzx[/B] (DrWEB: Trojan.PWS.LDPinch.1941)[*] \\virus\\wupdsvc4.exe - [B]Trojan-PSW.Win32.LdPinch.dzy[/B] (DrWEB: Trojan.Packed.194)[*] \\virus\\wupdsvc6.exe - [B]Trojan.Win32.Pakes.bmp[/B] (DrWEB: BackDoor.Bulknet.89)[/LIST][/LIST]