Printable View
Помогите пожалуйста.:sad:
Прогонял КАV 7.0, Symantec, Ad-aware, CureIt, AVZ, HighJack - НЕ удаляется.
Разные AV находят разные угрозы, в основном:
[B]Warezov.sz[/B] (и другие .*)
[B]Win32.HLLM.Limar[/B]
Ad-aware постоянно блокирует попытку [B]regsjava.dll [/B]поменять что то в registry.
KAV тоже ругается на него, но удалить/вылечить его не может.
Выполните скрипт в AVZ:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\System32\mswdrtcl.dll','');
QuarantineFile('C:\WINDOWS\system32\regsjava.dll','');
QuarantineFile('C:\WINDOWS\System32\ipsewmsp.exe','');
QuarantineFile('C:\WINDOWS\system32\ipsewmsp.dll','');
DeleteFile('C:\WINDOWS\system32\ipsewmsp.dll');
DeleteFile('C:\WINDOWS\System32\ipsewmsp.exe');
DeleteFile('C:\WINDOWS\System32\mswdrtcl.dll');
DeleteFile('C:\WINDOWS\system32\regsjava.dll');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]
Компьютер перезагрузится.
Пришлите карантин согласно приложению 3 правил.
[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]
Пофиксите в HijackThis:
[code]
O20 - AppInit_DLLs: regsjava.dll
O20 - Winlogon Notify: ipsewmsp - C:\WINDOWS\system32\ipsewmsp.dll
O20 - Winlogon Notify: vdmdracp - C:\WINDOWS\
[/code]
Сделайте новые логи.
карантин отправил
новые логи сделал.:xmas:
[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]
что то прошлый раз не прикрепились файлы.
[size="1"][color="#666686"][B][I]Добавлено через 3 минуты[/I][/B][/color][/size]
что то не прикрепляются логи :(
вот - получилось
Пофиксьте в HJT:
[code]O20 - AppInit_DLLs: regsjava.dll[/code]
Не перегружаясь, выполните скрипт:
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
DeleteFile('C:\WINDOWS\system32\regsjava.dll');
BC_ImportDeletedList;
BC_DeleteFile('C:\WINDOWS\system32\regsjava.dll');
BC_Activate;
ExecuteSysClean;
RebootWindows(true);
end.[/code]
Сделайте повторно лог HiJackThis
кажется не помогло :(
опять эта строчка в логе, и KAV с Ad-aware ругаются.
Странно, ведь файла этого по-видимому уже нет.
Что говорят KAV и AdAware? Кстати их отключать надо было при выполнении скрипта.
Попробуйте выполнить совет rubin'a в безопасном режиме, и снова лог HijackThis.
Перед тем как перегрузиться и сделать все тоже самое в безопасном режиме
KAV нашел и удалил:
[FONT="Courier New"]Heur.Trojan.Generic c:\windows\system32\perfinse.exe[/FONT]
Потом я в безопасном режиме я повторил совет rubin'a.
В когда загрузился в нормальный режим Аd-aware опять выдал сообщение:
[FONT="Courier New"]Warning
An atempt to alter protected object has been detected/
Root: HKLM
Value: Applinit_DLLs
Data: regsjava.dll
New Data:[/FONT]
KAV пока молчит.
PS: все операции я проводил в соответсвии с правилами, т.е. с выключенными всеми программами включая Ad-aware и KAV.
Пришлите по правилам этот файл:
C:\Documents and Settings\Юрий\Application Data\rambler.ru\toolbar\mail.mp3
выслал
Присланный файл безвредный.
Я понял - это AdAware не позволяет нам изменить ключ Appinit_DLLs и водворяет на место эту ссылку! А файл regsjava.dll на самом деле был удален еще первым скриптом.
Спасибо огромное! Кажется ушла напасть!
Извиняюсь, но я рано обрадовался.
После всего я закачал все обновления для windows (раньше изза ошибки не загружались).
Проверил все еще раз KAV, symantec, и prevxcsifree.exe - никто ничего не нашел - снес их.
Зашел под другим пользователем - без администраторских привилегий (обычный пользователь), вдруг в сетевом окружении обнаружилось какое то устройство "DSC-3230G-228" c таким описанием "802.11.g Wireless 2-way Audio Internet Camera"
с таким адресом: "http://192.168.66.228".
После того как я по этому устройству в трее кликнул, Ad-aware тут же выдал сообщение:
[FONT="Courier New"]Warning
An atempt to alter protected object has been detected/
Root: HKLM
Value: Applinit_DLLs
Data: regsjava.dll [B]kbdgmqqm.dll[/B]
New Data: regsjava.dll[/FONT]
После чего нажатие "Block" ни к чему не приводило - сообщение не пропадало. Компьютер можно было выключить только долгим удержанием кнопки "Power".
Сейчас опять зашел под пользователем с административными правами, делаю логи по правилам.
Прилагаю их к сообщению.
Посмотрите что там за зараза такая :unsure:
мне почему то кажется что какой то левый процесс висит wmpnetwk.exe
удалили нормальные антивирусы ... осталась адваре (апсолютно безполезная) ...
деинсталируйте ...
выполните скрипт ...
[code]
begin
DelWinlogonNotifyByFileName('regsjava.dll');
SysCleanAddFile('C:\WINDOWS\system32\regsjava.dll');
BC_DeleteFile('C:\WINDOWS\system32\regsjava.dll');
BC_Activate;
RebootWindows(true);
end.
[/code]
повторите лог hijackthis
адваре деинсталировал.
перегрузился.
выполнил скрипт.
повторил лог hijackthis.
прием :)
Скрипт маленько неточный ;)
Пофиксите эту строчку в HijackThis:
[code]O20 - AppInit_DLLs: regsjava.dll[/code]
Перезагрузитесь и проверьте в HijackThis наличие этой строчки.
пофиксил, перегрузился - строчки нет.
Но.
1. Подозрительное сетевое устройство "DSC-3230G-228" не пропало.
Если его вызвать , открывается IE c формой base-auth авторизации "для входа на сервер".
2. КАV постоянно блокирует попытки процессов с разным PID получить доступ к процессу Антивирус Касперского. Пишет что это срабатывает самозащита. При этом он ничего не находит.
у вас вай фай ... ? я так понимаю ... может устройство у соседей ? ;)
может и у соседей - доступных сетей куча. Если это не угроза то тогда все ок!
Большое СПАСИБО!
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]12[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\windows\\system32\\ipsewmsp.dll - [B]Email-Worm.Win32.Warezov.wx[/B] (DrWEB: Win32.HLLM.Limar)[*] c:\\windows\\system32\\ipsewmsp.exe - [B]Email-Worm.Win32.Warezov.ww[/B] (DrWEB: Win32.HLLM.Limar)[*] c:\\windows\\system32\\mswdrtcl.dll - [B]Email-Worm.Win32.Warezov.acd[/B] (DrWEB: Win32.HLLM.Limar)[/LIST][/LIST]