Printable View
Здраствуйте, у меня стоит антивирус avast! и фаервол Comodo. avast! нашел уведомлять о заражении файлов ip6fw.sys и runtime.sys, они не лечатся и не удаляются, после того как нажимаю ничего не делать, комодо говорит, что некое приложение (например 12631500.exe, имена время от времени меняются) просит подключиться к интернету. так же аваст с помощью сканера электронной почты, проверяет очень большое кол-тво писем.
Вот логи
[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните[/URL] скрипт в AVZ[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
QuarantineFile('C:\WINDOWS\system32\DRIVERS\ati2mtag.sys','');
QuarantineFile('C:\WINDOWS\system32\xRaidSetup.exe','');
QuarantineFile('C:\WINDOWS\RaidTool\xInsIDE.exe','');
QuarantineFile('C:\WINDOWS\system32\xpdx.sys','');
QuarantineFile('C:\WINDOWS\System32\drivers\Cyb60.sys','');
QuarantineFile('C:\WINDOWS\system32\MSCORE.DLL','');
QuarantineFile('c:\windows\system32\svchost.exe','');
DeleteFile('C:\WINDOWS\System32\drivers\Cyb60.sys');
DeleteFile('C:\WINDOWS\system32\xpdx.sys');
BC_ImportALL;
BC_Activate;
ExecuteSysClean;
RebootWindows(true);
end.[/CODE]Загрузите карантин по [URL="http://virusinfo.info/upload_virus.php?tid=16060"]этой[/URL] ссылке. Повторите логи.
скрипт выполнила, карантин отправила
логи
[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните[/URL] скрипт в AVZ[CODE]begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(true);
StopService('Cyb60');
QuarantineFile('C:\WINDOWS\System32\drivers\Cyb60.sys','');
BC_ImportQuarantineList;
BC_Activate;
RebootWindows(true);
end.[/CODE]Загрузите карантин по [URL="http://virusinfo.info/upload_virus.php?tid=16060"]этой[/URL] ссылке.
скрипт выполнила
карантин отправила
сразу после перезуагрузки после скрипта, аваст обнаружил зараженный файл C:\WINDOWS\system32\smtpdrv.sys - Win32:Agent-LNK [Wrm]
так же иногда комодо начаинет сообщать для всех приложений подключенных к интернету, что C:\WINDOWS\explorer.exe загрузил dinput.dll и спрашивает подключать ли их к и-нету. что с этим делать?
[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните[/URL] скрипт в AVZ[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
StopService('Cyb60');
DeleteFile('C:\WINDOWS\System32\drivers\Cyb60.sys');
BC_ImportDeletedList;
BC_Activate;
ExecuteSysClean;
RebootWindows(true);
end.[/CODE]Повторите логи. Установочный диск Windows есть (это просто вопрос, систему сносить не надо!!!) ?
скрипт сделал
диск установочный тот с которого я ставила свою винду сейчас нету, но могу завтра найти, но есть другой с такой же версией, может быть такой подойдет?
логи
[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните[/URL] скрипт в AVZ[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
DeleteFile('C:\WINDOWS\Cyb60.sys');
BC_ImportDeletedList;
BC_Activate;
ExecuteSysClean;
RebootWindows(true);
end.[/CODE]Пуск - Выполнить:
Введите комадну: sfc /scannow
Windows будет проверять целостность защищённых файлов на вашем компе. Для восстановления может потребоваться установочный диск ОС.
После этого сделайте свежий лог virusinfo_syscheck.zip.
скрипт сделала
проверку файлов тоже, восстановление не понадобилось
вот лог
[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните[/URL] скрипт в AVZ[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
DeleteFile('C:\WINDOWS\System32\MSCORE.DLL');
BC_ImportDeletedList;
BC_Activate;
ExecuteSysClean;
RebootWindows(true);
end.[/CODE]Повторите логи.
скрипт сделала
вот логи
Теперь практически чисто.
Выполните такой скрипт:
[code]
begin
BC_DeleteSvc('smtpdrv');
BC_Activate;
RebootWindows(true);
end.[/code]
Посмотрите, нужно ли вам что-то из этого:
[code]
>> Службы: разрешена потенциально опасная служба RemoteRegistry (Удаленный реестр)
>> Службы: разрешена потенциально опасная служба TermService (Службы терминалов)
>> Службы: разрешена потенциально опасная служба SSDPSRV (Служба обнаружения SSDP)
>> Службы: разрешена потенциально опасная служба Schedule (Планировщик заданий)
>> Службы: разрешена потенциально опасная служба mnmsrvc (NetMeeting Remote Desktop Sharing)
>> Службы: разрешена потенциально опасная служба RDSessMgr (Диспетчер сеанса справки для удаленного рабочего стола)
>> Безопасность: разрешен автозапуск программ с CDROM
>> Безопасность: разрешен административный доступ к локальным дискам (C$, D$ ...)
>> Безопасность: к ПК разрешен доступ анонимного пользователя
>> Безопасность: Разрешена отправка приглашений удаленному помошнику
[/code]
Лишнее отключим.
[QUOTE=katrisha;168358]скрипт сделала
вот логи[/QUOTE]Ура! Поздравляю! Сложность лечения была в том, что при удалении зловреда система больше не загружается. Нам получилось удалить злодея не повредив систему.
Вот вам урок на будущее :) Если бы вы под юзером в инете сидели тогда ваша гадость бы даже не смогла установиться.
скрипт сделала
из того что можно отключить, наверно только автозапус с сд пользуюсь, все остальное не надо
и объясните мне пожалуйста, а то я не совсем поняла что бы значало "если бы вы под юзером сидели"? )
только тут опять выскачило в комодо, что C:\WINDOWS\explorer.exe загрузил dinput.dll в родительское приложение explorer.exe, используя глобальную ловушку, которая может использоваться кейлоггерами для кражи частной информации. Вирус это или просто на это не обращать внимания?
[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните[/URL] скрипт в AVZ[CODE]begin
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Control\Terminal Server','fAllowToGetHelp', 0);
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Control\LSA','RestrictAnonymous', 2);
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'System\CurrentControlSet\Services\LanmanServer\Parameters','AutoShareWks', 0);
SetServiceStart('RDSessMgr', 4);
SetServiceStart('mnmsrvc', 4);
SetServiceStart('Schedule', 4);
SetServiceStart('SSDPSRV', 4);
SetServiceStart('TermService', 4);
SetServiceStart('RemoteRegistry', 4);
end.[/CODE][QUOTE=katrisha;168383]только тут опять выскачило в комодо, что C:\WINDOWS\explorer.exe загрузил dinput.dll в родительское приложение explorer.exe, используя глобальную ловушку, которая может использоваться кейлоггерами для кражи частной информации. Вирус это или просто на это не обращать внимания?[/QUOTE]Не стоит обращать внимание.
скрипт сделала, необходимо ли еще что нибудь?
Перезагрузитесь и сделайте лог syscheck (п.10 правил).
лог
Все отлично. Лечение окончено :smile:.
ура, большое всем спасибо
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]21[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\windows\\system32\\drivers\\cyb60.sys - [B]Trojan-Downloader.Win32.Mutant.aim[/B] (DrWEB: BackDoor.Bulknet.112)[*] c:\\windows\\system32\\mscore.dll - [B]Trojan.Win32.Small.yd[/B] (DrWEB: Trojan.DownLoader.43004)[*] c:\\windows\\system32\\svchost.exe - [B]Trojan.Win32.Patched.bh[/B] (DrWEB: Trojan.DownLoader.39301)[/LIST][/LIST]