Не открываються скрытые файлы и логические диски

Printable View

18.01.2008, 11:33
Sklad

Вложений: 3

Не открываються скрытые файлы и логические диски

Здраствуйте:rolleyes:. Проверел свой комп вашими прогами, вот что нашел:huh:. Помогите мне пожалусто. Заранее очень благодарен:rolleyes:
18.01.2008, 11:52
akok

[url=http://virusinfo.info/showthread.php?t=7239]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Надать кнопку "Запустить".[/url]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
QuarantineFile('C:\Program Files\Common Files\esonopress Shared\Service\Licence Manager SON.exe','');
QuarantineFile('C:\WINDOWS\system32\RGWIE.dll','');
QuarantineFile('C:\WINDOWS\system32\drivers\iwgtihhn.dat','');
QuarantineFile('D:\autorun.inf','');
QuarantineFile('C:\autorun.inf','');
QuarantineFile('C:\Documents and Settings\opt2\Local Settings\Temporary Internet Files\Content.IE5\KRZ328T1\PopularScreenSaversFWBInitialSetup1.0.0.15-3[1].cab','');
QuarantineFile('C:\WINDOWS\system32\Drivers\iwgtihhn.dat','');
DeleteFile('C:\Documents and Settings\opt2\Local Settings\Temporary Internet Files\Content.IE5\KRZ328T1\PopularScreenSaversFWBInitialSetup1.0.0.15-3[1].cab');
DeleteFile('C:\autorun.inf');
DeleteFile('D:\autorun.inf');
DeleteFile('C:\WINDOWS\system32\RGWIE.dll');
DelBHO('{D4D5806E-EA2C-45b2-972D-8BE237697B87}');
BC_LogFile(GetAVZDirectory + 'boot_clr.log');
BC_ImportALL;
ExecuteRepair(6);
ExecuteRepair(8);
BC_Activate;
ExecuteSysClean;
RebootWindows(true);
end.[/CODE]
После выполнения скрипта компьютер перезагрузится.
Прислать карантин согласно [b]приложения 3 [url=http://virusinfo.info/showthread.php?t=1235]правил [/url][/b].
Загружать по ссылке: [url]http://virusinfo.info/upload_virus.php?tid=16594[/url]

[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]

Повторите логи
18.01.2008, 12:57
Sklad

Вложений: 3

Большое Спасибо akok за быстрый ответ! После выполнение скрипта стали открываться скрытые файлы и логические диски. Спс еще раз)) Карантин выслал логи прилогаються.
18.01.2008, 13:07
akok

Поищите с помощью AVZ такой файл [b]m1t8ta.com[/b]
18.01.2008, 13:12
Sklad

Извините, а как это сделать (поискать файл), обясните пожалусто или скинте сылку.
18.01.2008, 13:17
akok

C:\WINDOWS\system32\drivers\iwgtihhn.dat - [b]Rootkit.Win32.Agent.tw[/b]
1.[url=http://virusinfo.info/showthread.php?t=7239]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Надать кнопку "Запустить".[/url]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
SetServiceStart('boennsex', 4);
StopService('boennsex');
DeleteService('boennsex');
QuarantineFile('C:\WINDOWS\system32\Drivers\iwgtihhn.dat','');
DeleteFile('C:\WINDOWS\system32\Drivers\iwgtihhn.dat');
RegKeyDel('HKLM','SOFTWARE\Microsoft\Code Store Database\Distribution Units\{1D4DB7D2-6EC9-47A3-BD87-1E41684E07BB}');
BC_LogFile(GetAVZDirectory + 'boot_clr.log');
BC_ImportALL;
BC_Activate;
ExecuteSysClean;
RebootWindows(true);
end.[/CODE]
После выполнения скрипта компьютер перезагрузится.
Прислать карантин согласно [b]приложения 3 [url=http://virusinfo.info/showthread.php?t=1235]правил [/url][/b].

Да повторите логи посмотрим не пряталось ли чего за Rootkit
18.01.2008, 14:05
Sklad

Вложений: 3

вот все что просили:xmas:
18.01.2008, 14:20
akok

[QUOTE=Sklad;174324]Извините, а как это сделать (поискать файл), обясните пожалусто или скинте сылку.[/QUOTE]

avz-сервис-поиск файла на диске..
копируете имя и пуск;)

[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]

Пофиксить в HijackThis следующие строчки ( [url]http://virusinfo.info/showthread.php?t=4491[/url] )
[CODE] F2 - REG:system.ini: Shell=C:\WINDOWS\explorer.exe
O8 - Extra context menu item: &Search - http://edits.mywebsearch.com/toolbaredits/menusearch.jhtml?p=ZRxdm070YYRU[/CODE]
18.01.2008, 14:23
Sklad

Поиск файлов по маске m1t8ta.com
Поиск файлов завершен
Просмотрено 68230, найдено 0
18.01.2008, 14:28
akok

Все, осталось только мусор профиксить:) (пост №8 )
Какие проблемы еще остались?
18.01.2008, 14:36
Sklad

Уважаемый!Еще вопросик, после всех вышеуказанных действий захожу на диск Д, а там весят(скрытые) вот эти гады: d.com; juok3st.bat;u.bat. Вопрос: с ними надо чё нить делать?
18.01.2008, 14:40
Shu_b

заархивировать с паролем virus, и отправить туда - [url]http://virusinfo.info/upload_virus.php?tid=16594[/url]
18.01.2008, 14:45
akok

Удалять не глядя и не запуская...со всех локальных дисков
Пройдитесь поиском AVZ по этим именам и удалите

Осторожно с флешками....
[code]procedure DisableAutorun;
begin
// Блокировка автозапуска (0x1 + 0x4 + 0x8 + 0x10 + 0x40 + 0x80 - отключили все типа, кроме CD)
RegKeyIntParamWrite('HKLM','SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer','NoDriveTypeAutoRun', 221);
// Блокировка автозапуска (0x4) - заблокировали автозапуск на C:
RegKeyIntParamWrite('HKLM','SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer','NoDriveAutoRun', 4);
end;

begin
DisableAutorun;
end.[/code]

Это отключит автозагрузку со всех носителей кроме CD...
P>S> Если будете открывать через Мой Компьтер осторожно, по двойному нажатию срабатывает авторан, все равно. Лучше удалалять через файл менеджер
18.01.2008, 15:07
Sklad

Вложений: 1

1)А как это выполнить:blink: тоже через AVZ:cool:
[code]procedure DisableAutorun;
begin
// Блокировка автозапуска (0x1 + 0x4 + 0x8 + 0x10 + 0x40 + 0x80 - отключили все типа, кроме CD)
RegKeyIntParamWrite('HKLM','SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer','NoDriveTypeAutoRun', 221);
// Блокировка автозапуска (0x4) - заблокировали автозапуск на C:
RegKeyIntParamWrite('HKLM','SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer','NoDriveAutoRun', 4);
end;

begin
DisableAutorun;
end.[/code]
2) До этого я писал про диск Д а вот как выглядет мой С:smile: что из этого тоже почикать
18.01.2008, 15:42
akok

[b] nohp.exe[/b] заархивировать с паролем virus, и отправить сюда - [url]http://virusinfo.info/upload_virus.php?tid=16594[/url]

Конечно все скрипты в AVZ :)
18.01.2008, 16:53
Sklad

Вирус выслал(в архиве). А после скрипта (пост14) засунул флеху и она у меня даже не стала делать запрос что делать а сразу открылась))) благо была чистая))
18.01.2008, 17:01
V_Bond

nohp.exe [B]TR/PCK.PolyCrypt.D.139[/B]
18.01.2008, 17:09
Sklad

Извините это что:huh: и куда это девать:xmas:
18.01.2008, 17:16
V_Bond

выполните поиск файла nohp.exe при помощи авз и удалите ... если не получится ... дайте полный путь к файлу ... напишем скрипт ...
18.01.2008, 17:24
Sklad

Все удалилось!)) Огромное спасибо!!!
18.01.2008, 17:27
akok

[QUOTE=Sklad;174462]Вирус выслал(в архиве). А после скрипта (пост14) засунул флеху и она у меня даже не стала делать запрос что делать а сразу открылась))) благо была чистая))[/QUOTE]

хмм...у меня полностью отшибло и запрос и открытие...
19.01.2008, 13:14
Sklad

Спасибо akoK... скрипт правильно заработал после перезагрузки)) все отшибло и запрос и открытие)) Еще раз большое сенк за все! И УДАЧИ в ващей борьбе))
22.02.2009, 03:31
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]5[/B][*]Обработано файлов: [B]49[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] \\autorun.inf - [B]Trojan-GameThief.Win32.OnLineGames.pgs[/B] (DrWEB: Win32.HLLW.Autoruner.1215)[*] c:\\autorun.inf - [B]Trojan-GameThief.Win32.OnLineGames.oob[/B][*] c:\\documents and settings\\opt2\\local settings\\temporary internet files\\content.ie5\\krz328t1\\popularscreensaversfwbinitialsetup1.0.0.15-3[1].cab - [B]not-a-virus:AdWare.Win32.FunWeb.e[/B] (DrWEB: archive: Trojan.Funweb)[*] c:\\juok3st.bat - [B]Worm.Win32.AutoRun.bur[/B] (DrWEB: Trojan.MulDrop.6474)[*] c:\\windows\\system32\\drivers\\iwgtihhn.dat - [B]Rootkit.Win32.Agent.tw[/B] (DrWEB: Trojan.NtRootKit.511)[*] c:\\windows\\system32\\rgwie.dll - [B]Trojan.Win32.BHO.gbm[/B][*] d:\\autorun.inf - [B]Trojan-GameThief.Win32.OnLineGames.oob[/B][*] \\d.com - [B]Worm.Win32.AutoRun.btv[/B] (DrWEB: Trojan.MulDrop.6474)[*] \\juok3st.bat - [B]Worm.Win32.AutoRun.bur[/B] (DrWEB: Trojan.MulDrop.6474)[*] \\nohp.exe - [B]Packed.Win32.PolyCrypt.d[/B] (DrWEB: Trojan.Packed.170)[*] \\u.bat - [B]Trojan-GameThief.Win32.OnLineGames.ngm[/B] (DrWEB: Trojan.MulDrop.6474)[*] \\xn1i9x.com - [B]Worm.Win32.AutoRun.bvz[/B] (DrWEB: Trojan.MulDrop.6474)[/LIST][/LIST]