Printable View
Начну сразу с главного. Проблема: не пускает в сеть, звоню провайдеру, он говорит что на ДНС с моего айпи 30 Оо коннектов, или что-то вроде этого сказал, процитировать не смогу. Видимо опять стадо поселилось( Аваст ругался на файл wsock3.dll, CureIT не видит, файл не удаляется авастом и в безопасном режиме тоже глухо. Что делать не представляю. Логи прилагаюся, заранее спасибо.
1.[url=http://virusinfo.info/showthread.php?t=7239]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".[/url]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
ClearHostsFile;
SetServiceStart('symavc32', 4);
StopService('symavc32');
StopService('Hou75');
StopService('Ubh74');
QuarantineFile('c:\windows\system32\nvsvc32.exe','');
QuarantineFile('C:\WINDOWS\system32\config\systemprofile\Application Data\antivirus.exe','');
QuarantineFile('C:\WINDOWS\system32\config\systemprofile\Local Settings\Temporary Internet Files\Content.IE5\X985L3BG\EliteProtector_Installer[1].exe','');
QuarantineFile('halifax2.dll','');
QuarantineFile('C:\WINDOWS\system32\NvMcTray.dll','');
QuarantineFile('C:\WINDOWS\html32.exe','');
QuarantineFile('C:\WINDOWS\sy32.exe','');
QuarantineFile('C:\WINDOWS\system32\ntos.exe','');
QuarantineFile('C:\WINDOWS\System32\drivers\Ubh74.sys','');
QuarantineFile('C:\WINDOWS\system32\drivers\symavc32.sys','');
QuarantineFile('C:\WINDOWS\System32\drivers\Hou75.sys','');
QuarantineFile('C:\WINDOWS\system32\DRIVERS\Ip6Fw.sys','');
QuarantineFile('C:\WINDOWS\system32\drivers\p17xfilt.sys','');
QuarantineFile('C:\WINDOWS\system32\XRegLib.dll','');
QuarantineFile('C:\WINDOWS\system32\wsock3.dll','');
QuarantineFile('C:\WINDOWS\system32\basesrv32.dll','');
DeleteFile('C:\WINDOWS\system32\drivers\symavc32.sys');
DeleteFile('C:\WINDOWS\system32\ntos.exe');
DeleteService('symavc32');
BC_LogFile(GetAVZDirectory + 'boot_clr.log');
BC_ImportALL;
BC_Activate;
ExecuteSysClean;
RebootWindows(true);
end.[/CODE]
После выполнения скрипта компьютер перезагрузится.
Прислать карантин согласно [b]приложения 3 [url=http://virusinfo.info/showthread.php?t=1235]правил [/url][/b].
Загружать по ссылке: [url]http://virusinfo.info/upload_virus.php?tid=16642[/url]
2.Пофиксить в HijackThis следующие строчки ( [url]http://virusinfo.info/showthread.php?t=4491[/url] )
[CODE] F2 - REG:system.ini: UserInit=c:\windows\system32\userinit.exe,C:\WINDOWS\system32\ntos.exe,
O4 - HKCU\..\Run: [userinit] C:\WINDOWS\system32\ntos.exe [/CODE]
Уважемый напрашивается вопрос ПО каким помойкам вас носило?;)
Да у вас Пинч после лечения сменить ВСЕ пароли
карантин закачал. Строчек таких не было в хайджеке в подтверждение шлю лог.
"Уважемый напрашивается вопрос ПО каким помойкам вас носило?"
Поискал курсовик называется :) Яндекс- найдется все, причем что надо и что ненадо)
Аваст по-прежнему недоволен файликом wsock3.dll
1. Скачайте эту программу:
[url]http://www.tacktech.com/pub/winsockfix/WinsockFix.zip[/url]
2. Запишите настройки своих сетевых подключений.
3. Выполните скрипт в AVZ:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\WINDOWS\system32\wsock3.dll');
DeleteFile('C:\WINDOWS\html32.exe');
DeleteFile('C:\WINDOWS\sy32.exe');
DeleteFile('C:\WINDOWS\system32\ntos.exe');
DeleteFile('C:\WINDOWS\system32\config\systemprofile\Application Data\antivirus.exe');
DeleteFile('C:\WINDOWS\system32\config\systemprofile\Local Settings\Temporary Internet Files\Content.IE5\X985L3BG\EliteProtector_Installer[1].exe');
BC_ImportDeletedList;
BC_DeleteSvc('Ubh74');
BC_DeleteSvc('symavc32');
BC_DeleteSvc('Hou75');
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]
Компьютер перезагрузится.
Возможно, после этого запуск системы будет идти очень долго, ничего страшного, просто дайте ему отстояться минут 20.
4. Запустите скачанную программу и нажмите там кнопку Fix. По завершении работы программы будет перезагрузка, которая уже должна произойти нормально.
5. Пофиксите в HijackThis:
[code]
O2 - BHO: Google Module - {28C703D0-B4A9-4b2f-9123-CE8294761861} - halifax2.dll (file missing)
O20 - AppInit_DLLs: sockspy.dll
[/code]
6. Файл sockspy.dll поищите через AVZ - Сервис - Поиск файлов на диске.
Если найдется - пришлите по правилам.
7. Сделайте новые логи.
[size="1"][color="#666686"][B][I]Добавлено через 2 минуты[/I][/B][/color][/size]
P.S. Это еще не все. Остается еще одна штуковина, которую удалим потом отдельно.
мм. Все сделал. Комп грузился как ни странно быстро как всегда. Во время фикса обоих строчек вылезла ошибка, но из списка они исчезли, думаю после перезагрузки появяться снова(
C:\WINDOWS\system32\config\systemprofile\Application Data\antivirus.exe [B]not- a virus:FraundTool.Win32.Ultimatedefe[/B]
C:\WINDOWS\system32\config\systemprofile\Local Settings\Temporary Internet Files\Content.IE5\X985L3BG\EliteProtector_Installer[1].exe[B] not- a virus:FraundTool.Win32.Ultimatedefe[/B]
C:\WINDOWS\system32\halifax2.dll [B]Trojan-Spy.Win32.Banker.hnk[/B]
C:\WINDOWS\system32\ntos.exe [B]Trojan-Spay.Win32.Zbot.ng[/B]
C:\WINDOWS\system32\wsock3.dll [B]Trojan-Psw.Win32.Agent.ww[/B]
c:\windows\system32\nvsvc32.exe чистый
C:\WINDOWS\system32\NvMcTray.dll чистый
C:\WINDOWS\sy32.exe [B]TR/Crypt.XDR.Gen[/B]
C:\WINDOWS\System32\drivers\Hou75.sys чистый
C:\WINDOWS\system32\drivers\p17xfilt.sys чистый
C:\WINDOWS\system32\XRegLib.dll чистый
выполните скрипт ...
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
DeleteFile('C:\WINDOWS\system32\halifax2.dll');
BC_ImportDeletedList;
BC_Activate;
ExecuteSysClean;
RebootWindows(true);
end.
[/code]
выполните пункт 2 правил - обязательно полная проверка ....
повторите логи ...
Оправдались опасения. Строчка с sockspy не фиксится, и появляется после перезагрузки. Прикрепляю послеперезагрузочные логи
Прислал файл sockspy.dll в архиве sockspy.zip пароль virus
[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]
[QUOTE=V_Bond;174841]
выполните пункт 2 правил - обязательно полная проверка ....
повторите логи ...[/QUOTE]
почему-то cureIT ничего не находил, все было задано по максимуму, прога обновлена
[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните[/URL] скрипт в AVZ[CODE]function _DecHex( Dc : Integer) : String;
begin Result := Copy('0123456789abcdef',Dc+1,1); end;
function DecHex( Dec : Integer) : String;
var Di,D1,D2 : integer;
begin
Di := 0; D1 := 0; D2 :=0; While Di < Dec Do Begin d1 := d1 + 1; Di := d1*16-1; end;
If d1 > 0 Then d1 := d1 - 1; D2 := Dec - d1*16; Result :=_DecHex(D1) + _DecHex(D2);
end;
procedure ParseString (S : TStringList; SS : String; SSS : String );
var i,l : integer;
begin
i := Pos(SSS,SS); l := Length(ss);
If l > 1 Then begin If i=0 Then S.Add(ss); If i>0 Then begin
s.Add(Copy(ss,1,i-1)); ParseString(S,Copy(ss,i+1,l-i+1),SSS) end; end;
end;
var SL,SF : TStringList; SS, SSS : String; i : integer;
begin
SS := ''; SSS := ''; SL := TStringList.Create; SF := TStringList.Create;
SS := RegKeyStrParamRead ('HKEY_LOCAL_MACHINE','SYSTEM\CurrentControlSet\Control\Session Manager\SubSystems','Windows');
ParseString (SL,SS,' ');
for i := 0 to SL.Count - 1 do Begin
SS := SL[i];
If Pos('ServerDll=base',SS) > 0 Then Begin
If SS <> 'ServerDll=basesrv,1' Then Begin
AddToLog('Infected "SubSystem" value : ' + SS);
if MessageDLG('Fix "SybSustem" parametrs ?', mtConfirmation, mbYes+mbNo, 0) = 6 then Begin
SSS := SL[i]; SL[i] := 'ServerDll=basesrv,1'; AddToLog('User select "Fix" option.'); end;
end;
end;
end;
SS := ''; for i := 0 to SL.Count - 1 do Begin SS := SS + SL[i]; If SL.Count - 1 > i Then SS := SS + ' '; end;
If SSS <> '' Then Begin
i := Pos(',',SSS); If i = 0 Then i := Length(SSS);
SSS := Copy(SSS, Pos('=',SSS) + 1, i - Pos('=',SSS)-1);
AddToLog('Infection name : ' + SSS + '.dll');
SetAVZGuardStatus(True);
If FileExists('%WinDir%' + '\system32\' + SSS + '.dll') = true then DeleteFile('%WinDir%' + '\system32\' + SSS + '.dll');
SF.Add('REGEDIT4'); SF.Add('');
SF.Add('[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\SubSystems]');
SSS := '"Windows"=hex(2):';
for i := 1 to Length(SS) do SSS := SSS + DecHex(Ord(Copy(SS,i,1))) + ',';
SSS := SSS + '00'; SF.Add(SSS); SF.SaveToFile(GetAVZDirectory + 'fix.reg');
ExecuteFile('reg.exe','IMPORT "' + GetAVZDirectory + 'fix.reg"', 1, 10000, true);
SaveLog(GetAVZDirectory + 'SubSystems.log');
RebootWindows(false);
end;
SL.Free; SF.Free;
End.[/CODE]Повторите логи. Прикрепите также файл SubSystems.log из папки AVZ.
Все сделал шлю лооги)
У Вас раньше стоял BitDefender?
да. Окончился срок лицензии
Пройдитесь [URL="http://www.bitdefender.com/uninstall"]этой[/URL] утилитой и повторите лог virusinfo_syscheck.zip
Сделал, обновляю лог
Теперь у Вас идеальная чистота.
P.S.: Avast не самый лучший антивирус.
ммммммм. А про что говорил Bratez, когда говорил "Остается еще одна штуковина, которую удалим потом отдельно.".
2. А что лучше для домашнего использования?
[size="1"][color="#666686"][B][I]Добавлено через 42 секунды[/I][/B][/color][/size]
Просто не видел свежих обзоров антивирусов на сайте. темы датированы 2005-2006 годом все
[QUOTE=Lostman;174882]ммммммм. А про что говорил Bratez, когда говорил "Остается еще одна штуковина, которую удалим потом отдельно.".[/QUOTE]Это мы грохнули большим скриптом.
[size="1"][color="#666686"][B][I]Добавлено через 51 секунду[/I][/B][/color][/size]
[QUOTE=Lostman;174882]Просто не видел свежих обзоров антивирусов на сайте. темы датированы 2005-2006 годом все[/QUOTE][url]http://virusinfo.info/showthread.php?t=1550[/url]
[url]http://virusinfo.info/showpost.php?p=166100&postcount=130[/url]
И еще вопрос. в одном из постов мне говорили фиксить эту "O20 - AppInit_DLLs: sockspy.dll sockspy.dll sockspy.dll sockspy.dll" строку, но она так и не пофиксилась
Это от BitDefender. Он до сих пор присутствует?
да
И не фиксится?
Странно. После перезагрузки пропал. Поставил себе пока фришку битдефендера из вашей ссылки...
[size="1"][color="#666686"][B][I]Добавлено через 29 минут[/I][/B][/color][/size]
Хочется выразить огромную благодарность администрации сайта и всем хелперам за то, что помогаете таким балбесам как я, без вас мой винчестер был бы уже заформатирован до дыр))))