Помогите! Атакуют!

Printable View

28.11.2007, 17:39
Фанта

Вложений: 3

Помогите! Атакуют!

[COLOR=black][FONT=Verdana]Добрый день! Некоторое время назад антивирус Семантик начал выдавать предупреждения об обнаружении опасных объектов. Предупреждения появлялись практически при открытии каждой страницы в интернете. Проверка Семантиком же показывала отсутствие вирусов. Тогда я переустановила систему и поставила пробную версию Касперского. При первой же проверке антивирус нашел около 600 файлов всяческой гадости, и, конечно, я их удалила. Пару дней все было нормально, но затем опять пачками начали всплывать предупреждения с содержанием типа.. обнаружена троянская программа..., вредоносная программа..., вирус..., кажется еще что-то. Ну и опять возникли проблемы с интернетом. Очень прошу вашей помощи. По инструкции все выполнила, файлы прилагаются.[/FONT][/COLOR]
28.11.2007, 17:49
V_Bond

в логах чисто ... ваш антивирус справляется.....
sezam.exe - это нужно ,авторизатор ?
стоит разобраться с этим ...
>> Службы: разрешена потенциально опасная служба RemoteRegistry (Удаленный реестр)
>> Службы: разрешена потенциально опасная служба TermService (Службы терминалов)
>> Службы: разрешена потенциально опасная служба SSDPSRV (Служба обнаружения SSDP)
>> Службы: разрешена потенциально опасная служба Schedule (Планировщик заданий)
>> Службы: разрешена потенциально опасная служба mnmsrvc (NetMeeting Remote Desktop Sharing)
>> Службы: разрешена потенциально опасная служба RDSessMgr (Диспетчер сеанса справки для удаленного рабочего стола)
> Службы: обратите внимание - набор применяемых на ПК служб зависит от области применения ПК (домашний, ПК в ЛВС компании ...)!
>> Безопасность: разрешен автозапуск программ с CDROM
>> Безопасность: разрешен административный доступ к локальным дискам (C$, D$ ...)
>> Безопасность: к ПК разрешен доступ анонимного пользователя
>> Безопасность: Разрешена отправка приглашений удаленному помошнику
28.11.2007, 17:51
PavelA

Надо довычистить Симантека. На его сайте есть утилита для корректного удаления.
28.11.2007, 18:26
Фанта

Спасибо за отзывы!
V_Bond, да, Сезам нужен.
А с тем что вы написали я бы с удовольствием разобралась, только не знаю как. Я не специалист. На сайте есть инструкция?
PavelA, я что-то не вижу. Не дадите прямую ссылку?
28.11.2007, 18:33
Rene-gad

[QUOTE=Фанта;154885]На сайте есть инструкция? Не дадите прямую ссылку?[/QUOTE]
есть: [url]http://service1.symantec.com/SUPPORT/tsgeninfo.nsf/docid/2005033108162039?OpenDocument&lg=en&ct=us&seg=hho&src=hot[/url]
Но сначала Вам надо вспомнить - какая версия симантека у Вас была.
28.11.2007, 18:39
Фанта

Symantec AntiVirus Corporate Edition - это название версии?
28.11.2007, 18:47
Rene-gad

[QUOTE=Фанта;154890]Symantec AntiVirus Corporate Edition - это название версии?[/QUOTE]Это название продукта.
Вы на ссылочку мою нажимали? Обратите внимание на список версий внизу, где стоит: Choose your product ;)
28.11.2007, 19:21
Фанта

Rene-gad, нет, к огромному сожалению не получается вспомнить.
Видимо так и придется теперь жить с сотнями уведомлений в день :)
28.11.2007, 19:35
PavelA

[QUOTE=Фанта;154907]Rene-gad, нет, к огромному сожалению не получается вспомнить.
Видимо так и придется теперь жить с сотнями уведомлений в день :)[/QUOTE]
Сейчас скрипт нарисую для удаления лишних сервисов, но мусора все равно много останется. Надо посмотреть в "Установке и удалении программ" там ничего от Симантека не осталось.
Вот для удаления сервисов.
[CODE]begin
BC_DeleteSvc('ccPwdSvc');
BC_DeleteSvc('ccSetMgr');
BC_DeleteSvc('SPBBCSvc');
BC_Activate;
RebootWindows(true);
end.[/CODE]

Надо будет сделать еще вот такой лог:[url]http://virusinfo.info/showthread.php?t=10387[/url] в защищ. режиме.
28.11.2007, 21:33
Фанта

Вложений: 1

Скрипт выполнила. Надеюсь правильно. Компьютер перезагрузился и все.
В Установке и удалении программ ничего от Симантика не осталось.
Лог сделала. Файл в приложении.
28.11.2007, 21:43
V_Bond

осталось еще пара хвостов от симантика ...
выполните скрипт...
[code]
begin
SetAVZGuardStatus(True);
SearchRootkit(true, true);
DeleteFile('C:\Program Files\Common Files\Symantec Shared\SSC\vpshell2.dll');
BC_DeleteSvc('SPBBCDrv');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
29.11.2007, 11:19
Фанта

Скрипт выполнила. Лог делать?
Пердупреждения все равно есть, но уже меньше.
И еще интернет нормально работает, но как только захожу на [url]:http:http://livejournal.com[/url], сразу и куча предупреждений и страница не отображается. Иногда помогает исправление подключения по локальной сети. Это уже надо наверное с провайдером разбираться?
29.11.2007, 11:31
V_Bond

повторите последний ....
29.11.2007, 11:51
Фанта

Вложений: 1

Сделала.
Кстати, если[COLOR=black] livejournal в IE со скрипом после исправления подключения отображается, то в Опере и Мозилле вообще тишина. [/COLOR]
29.11.2007, 12:28
PavelA

Не удалился файлик, или только запись в реестре осталась.

Выполнить:
[CODE]begin
BC_DeleteFile('C:\Program Files\Common Files\Symantec Shared\SSC\vpshell2.dll');
BC_Activate;
RebootWindows(true);
end.[/CODE]

При заходе на страницу в ИЕ внизу в строке статуса значок Касперского появляется?
29.11.2007, 12:52
Фанта

Вложений: 1

Строка статуса это где появляются надписи вроде... узел найден, ожидается ответ и так далее? Если да, то нет не появляется, только отчет о конфиденциальности.
Сейчас посмотрела статистику в Касперском, за три часа уже 60 уведомлений накопилось "Вредоносный HTTP-объект <:http:ads.adslooks.info/ads.js>: обнаружено: троянская программа 'Trojan-Downloader.JS.Agent.agx'."
За что они меня атакуют ? :)
29.11.2007, 13:01
V_Bond

теперь думаю точно будет чисто ...
[code]
begin
DeleteFile('C:\Program Files\Common Files\Symantec Shared\SSC\vpshell2.dll');
DelCLSID('BDA77241-42F6-11d0-85E2-00AA001FE28C');
BC_ImportDeletedList
ExecuteSysClean;
BC_Activate;
end.
[/code]
29.11.2007, 13:26
Фанта

пишет ошибка ';' expected в позиции 5:1
29.11.2007, 13:31
Rene-gad

попробуйте так
[code]
begin
DeleteFile('C:\Program Files\Common Files\Symantec Shared\SSC\vpshell2.dll');
DelCLSID('BDA77241-42F6-11d0-85E2-00AA001FE28C');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
end.
[/code]
29.11.2007, 13:41
PavelA

[QUOTE=Фанта;155070]Строка статуса это где появляются надписи вроде... узел найден, ожидается ответ и так далее? Если да, то нет не появляется, только отчет о конфиденциальности.
Сейчас посмотрела статистику в Касперском, за три часа уже 60 уведомлений накопилось "Вредоносный HTTP-объект <:http:ads.adslooks.info/ads.js>: обнаружено: троянская программа 'Trojan-Downloader.JS.Agent.agx'."
За что они меня атакуют ? :)[/QUOTE]

Это не они атакуют. А Вы на такие адреса заходите "зараженные".

А ссылочку надо убить в сообщении, используя :http:
29.11.2007, 13:57
Фанта

Вложений: 1

[quote=PavelA;155080]Это не они атакуют. А Вы на такие адреса заходите "зараженные".

А ссылочку надо убить в сообщении, используя :http:[/quote]

А как убить ссылку? Простите за глупый вопрос, но я не знаю как это делать.
Возможно, что с [COLOR=#22229c][COLOR=black]livejournal что-то не так, но вот сейчас после перезагрузки компьютера первая страница, которую я открыла, была страница с этой темой и сразу же появилось уведомление[/COLOR].[/COLOR]
29.11.2007, 14:02
PavelA

Справа есть смайлик :http: который надо вставить. Он убиватет ссылку.

В логе, кстати, чисто.
29.11.2007, 14:08
XP user

[quote=Фанта;155083] Возможно, что с [COLOR=#22229c][COLOR=black]livejournal что-то не так[/COLOR][/COLOR][/quote]
Скажу вам: у меня этот домен в бан и не случайно. В определённых разделах этого домена с IE6 с включёнными скриптами там больше 5-10 минут нельзя быть без аварийного завершения браузере - одни эксплойты, короче...

Paul
29.11.2007, 14:38
Фанта

PavelA, вроде убила ссылку? Значит с моим компьютером все в порядке, проблему с сайтами?
p2u, ну а как же другие пользователи этого домена? Их ведь немало, да и раньше у меня не было подобной проблемы.
29.11.2007, 14:46
XP user

[quote=Фанта;155097] p2u, ну а как же другие пользователи этого домена? Их ведь немало, да и раньше у меня не было подобной проблемы.[/quote]
НЕ пользоваться IE6 там.
По умолчанию отключить скрипты и всё будет ОК.

P.S.: То, что домен у меня в чёрном списке - просто протест против таких популярных сайтов, владельцев которых больше волнует количество заходов клиентов, чем безопасность этих же клиентов.
P.S.: Проблемы замечены именно на русской части этого домена.

Paul
29.11.2007, 14:53
Фанта

[quote=p2u;155104]НЕ пользоваться IE6 там.
По умолчанию отключить скрипты и всё будет ОК.

P.S.: То, что домен у меня в чёрном списке - просто протест против таких популярных сайтов, владельцев которых больше волнует количество заходов клиентов, чем безопасность этих же клиентов.
P.S.: Проблемы замечены именно на русской части этого домена.

Paul[/quote]
А чем пользоваться? Опера и Мозилла вообще не отображают страницы.
А как отключить скрипты?
29.11.2007, 14:57
XP user

[quote=Фанта;155107]А чем пользоваться? [/quote]
У меня одна ученица туда ходит с Авант браузером (работает на движке IE) и без проблем. С IE такие же проблемы были.
[quote=Фанта;155107]А как отключить скрипты?[/quote]
Поставить домен в Зону 'Высокой Безопасности'.

Paul
29.11.2007, 15:13
Фанта

p2u, а не будете ли Вы столь любезны сообщить мне поподробнее как поставить этот домен в зону высокой безопасности? (здесь застенчиво краснеющий смайлик) :)
29.11.2007, 15:34
XP user

[quote=Фанта;155112]p2u, а не будете ли Вы столь любезны сообщить мне поподробнее как поставить этот домен в зону высокой безопасности? (здесь застенчиво краснеющий смайлик) :)[/quote]
Сервис - Свойства обозревателя.
Во вкладке 'Безопасность' вы найдёте 'Высокий'. Там можно вручную ввести сайты, которым не следует доверять.

Paul
30.11.2007, 13:21
Фанта

Огромное спасибо всем откликнувшимся!!!