Сбои в работе Internet Explorer - подозрение на вирус

Printable View

19.01.2008, 23:54
Palya

Сбои в работе Internet Explorer - подозрение на вирус

При просмотре страниц в интернете IE зависает на минуту и после продолжает работать. Я обошел эту проблему, открывая сайты через Проводник. Спустя некоторое время открывая локальные папки наблюдается некоторое торможение, пока не появится содержимое папки.
Надеюсь на Вашу помощь
20.01.2008, 00:07
akok

1.[url=http://virusinfo.info/showthread.php?t=7239]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Надать кнопку "Запустить".[/url]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
SetServiceStart('lanmandrv', 4);
StopService('lanmandrv');
QuarantineFile('C:\WINDOWS\system32\itunesff.exe','');
QuarantineFile('C:\WINDOWS\System32\ocxloader.exe','');
QuarantineFile('C:\Program Files\Dosprn\DOSprn.exe','');
QuarantineFile('C:\WINDOWS\System32\lanmandrv.sys','');
QuarantineFile('C:\Documents and Settings\Администратор\Local Settings\Temp\~WRF0004.tmp','');
DeleteFile('C:\WINDOWS\System32\lanmandrv.sys');
DeleteFile('C:\WINDOWS\System32\ocxloader.exe');
DeleteFile('C:\WINDOWS\system32\itunesff.exe');
DeleteService('lanmandrv');
RegKeyDel('HKLM','SOFTWARE\Microsoft\Code Store Database\Distribution Units\{33331111-1131-1111-1111-611111193428}');
RegKeyDel('HKLM','SOFTWARE\Microsoft\Code Store Database\Distribution Units\{33331111-1111-1111-1111-615111193427}');
RegKeyDel('HKLM','SOFTWARE\Microsoft\Code Store Database\Distribution Units\{33331111-1111-1111-1111-611111193429}');
RegKeyDel('HKLM','SOFTWARE\Microsoft\Code Store Database\Distribution Units\{33331111-1111-1111-1111-611111193423}');
BC_LogFile(GetAVZDirectory + 'boot_clr.log');
BC_ImportALL;
BC_DeleteFile('C:\WINDOWS\System32\lanmandrv.sys');
BC_DeleteFile('C:\WINDOWS\System32\ocxloader.exe');
BC_Activate;
ExecuteSysClean;
RebootWindows(true);
end.[/CODE]
После выполнения скрипта компьютер перезагрузится.
Прислать карантин согласно [b]приложения 3 [url=http://virusinfo.info/showthread.php?t=1235]правил [/url][/b].
Загружать по ссылке: [url]http://virusinfo.info/upload_virus.php?tid=16672[/url]

Повторите логи:)
20.01.2008, 01:33
Palya

Закачал

После выполнения скрипта комп перезагрузился, но завис. На экране был только значок мыши, но он двигался. Пришлось перезагрузить кнопкой
20.01.2008, 01:59
akok

1Пофиксить в HijackThis следующие строчки ( [url]http://virusinfo.info/showthread.php?t=4491[/url] )
[CODE] O4 - HKLM\..\Run: [lanmanwrk.exe] C:\WINDOWS\System32\lanmanwrk.exe[/CODE]

2.[url=http://virusinfo.info/showthread.php?t=7239]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Надать кнопку "Запустить".[/url]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
QuarantineFile('C:\WINDOWS\System32\lanmanwrk.exe','');
QuarantineFile('C:\WINDOWS\system32\Drivers\LBeepKE.sys','');
DeleteFile('C:\WINDOWS\System32\lanmanwrk.exe');
BC_LogFile(GetAVZDirectory + 'boot_clr.log');
BC_ImportALL;
BC_DeleteFile('C:\WINDOWS\System32\lanmanwrk.exe');
BC_Activate;
ExecuteSysClean;
RebootWindows(true);
end.[/CODE]
После выполнения скрипта компьютер перезагрузится.
Прислать карантин согласно [b]приложения 3 [url=http://virusinfo.info/showthread.php?t=1235]правил [/url][/b].
Загружать по ссылке: [url]http://virusinfo.info/upload_virus.php?tid=16672[/url]
Повторите логи для контроля
20.01.2008, 16:17
Palya

Повторил

Вот опять
20.01.2008, 16:29
akok

Ничего больше подозрительного не вижу....какие проблемы еще остались?
У Вас был [b]Trojan-Spy.Win32.Banker.hnv[/b]
20.01.2008, 16:42
Palya

Надеюсь, что здесь больше никаких, спасибо!

[size="1"][color="#666686"][B][I]Добавлено через 6 минут[/I][/B][/color][/size]

Что надо сделать, чтобы завершить процесс? (Карантин, логи)
20.01.2008, 17:29
rubin

Что из этого не нужно?
>> Службы: разрешена потенциально опасная служба RemoteRegistry (Удаленный реестр)
>> Службы: разрешена потенциально опасная служба TermService (Службы терминалов)
>> Службы: разрешена потенциально опасная служба SSDPSRV (Служба обнаружения SSDP)
>> Службы: разрешена потенциально опасная служба Schedule (Планировщик заданий)
>> Службы: разрешена потенциально опасная служба mnmsrvc (NetMeeting Remote Desktop Sharing)
>> Службы: разрешена потенциально опасная служба RDSessMgr (Диспетчер сеанса справки для удаленного рабочего стола)
> Службы: обратите внимание - набор применяемых на ПК служб зависит от области применения ПК (домашний, ПК в ЛВС компании ...)!
>> Безопасность: разрешен автозапуск программ с CDROM
>> Безопасность: разрешен административный доступ к локальным дискам (C$, D$ ...)
>> Безопасность: к ПК разрешен доступ анонимного пользователя
21.01.2008, 18:08
Palya

Завершение

Что из этого не нужно?
>> Службы: RemoteRegistry (Удаленный реестр) [COLOR=red]Не знаю что такое[/COLOR]
>> Службы: ermService (Службы терминалов) [COLOR=red]Не знаю что такое[/COLOR]
>> Службы: SSDPSRV (Служба обнаружения SSDP) [COLOR=red]Не знаю что такое[/COLOR]
>> Службы: Schedule (Планировщик заданий) [COLOR=red]Я ничего не планирую[/COLOR]
>> Службы: mnmsrvc (NetMeeting Remote Desktop Sharing) [COLOR=red]Я не использую[/COLOR]
>> Службы: RDSessMgr (Диспетчер сеанса справки для удаленного рабочего стола) [COLOR=red]Я не использую[/COLOR]
> Службы: обратите внимание - набор применяемых на ПК служб зависит от области применения ПК (домашний, [COLOR=red]ПК в ЛВС компании[/COLOR] ...)!

>> Безопасность: разрешен автозапуск программ с CDROM
>> Безопасность: разрешен административный доступ к локальным дискам (C$, D$ ...)
>> Безопасность: к ПК разрешен доступ анонимного пользователя
24.01.2008, 22:20
Palya

Обо мне забыли
24.01.2008, 22:24
wise-wistful

Мы не забыли, просто Вы как-то не совсем определились, что нужно отключить, что оставить.
24.01.2008, 22:29
Palya

Я ответил, просто в большинстве случаев я не знаю что это такое. Как можно проверить что делает та или иная служба?
24.01.2008, 22:30
V_Bond

лучше так ...
компьютер рабочий \домашний ?
локальная сеть есть \ нет ?
24.01.2008, 22:32
Palya

Компьютер рабочий в составе локальной сети
24.01.2008, 22:36
V_Bond

тогда все нужно согласовывать с вашим местным сисадмином ...
24.01.2008, 22:40
Palya

Я за него. Сеточка маленькая - всего 3 машины. Используется в основном для общего доступа в интернет и обмена файлами. Никаких сетевых программ не стоит.
24.01.2008, 22:50
V_Bond

тогда выполните скрипт ...
[code]
begin
SetServiceStart('mnmsrvc', 4);
SetServiceStart('Schedule', 4);
SetServiceStart('SSDPSRV', 4);
SetServiceStart('TermService', 4);
SetServiceStart('RemoteRegistry', 4);
RebootWindows(true);
end.
[/code]
25.01.2008, 00:32
Palya

[FONT=Arial CYR]AUTORUN.FCB;C:\;VBS.Igidak;Удален.;[/FONT][FONT=Arial CYR]GameSetup.exe;C:\Documents and Settings\All Users\Документы;Win32.HLLP.Whboy;Исцелен.;[/FONT][FONT=Arial CYR]GameSetup.exe;C:\Documents and Settings\All Users\Документы;Win32.HLLP.Whboy;Неизлечим.;[/FONT][FONT=Arial CYR]qmgndnon.exe;C:\WINDOWS\system32;Trojan.DownLoader.33221;Удален.;[/FONT][FONT=Arial CYR]qmhnkhea.exe;C:\WINDOWS\system32;Trojan.DownLoader.33221;Удален.;[/FONT][FONT=Arial CYR]qmjckjmb.exe;C:\WINDOWS\system32;Trojan.DownLoader.33221;Удален.;[/FONT][FONT=Arial CYR]qmjomogh.exe;C:\WINDOWS\system32;Trojan.DownLoader.33221;Удален.;[/FONT][FONT=Arial CYR]qmmknpdk.exe;C:\WINDOWS\system32;Trojan.DownLoader.33221;Удален.;[/FONT][FONT=Arial CYR]qmobcfmc.exe;C:\WINDOWS\system32;Trojan.DownLoader.33221;Удален.;[/FONT][FONT=Arial CYR]Restart.exe;C:\WINDOWS\system32\Tools;Tool.Destart;;[/FONT]

Вот что мне выдал DWeb после проверки

[size="1"][color="#666686"][B][I]Добавлено через 47 секунд[/I][/B][/color][/size]

Не ожидал такого показа
25.01.2008, 01:24
pig

Полная проверка была? Глядя на Igidak и Whboy, я бы для надёжности повторил. Ползучая гадость.
25.01.2008, 02:06
Palya

Полная, повторю. Но что сделать с ToolRestart и GameSetup?
25.01.2008, 03:13
pig

GameSetup, если это Whboy (мало ли, вдруг ещё что найдётся), - убивать. Restart - переместите куда-нибудь, это, скорее всего, от какого-нибудь доморощенного инсталлятора.
04.02.2008, 18:53
Palya

меня не было 10 дней
04.02.2008, 21:02
wise-wistful

Мы заметили. Если есть подозрения давайте новый комплект логов.
04.02.2008, 21:14
Palya

Новые логи

Выкладываю результат
04.02.2008, 21:33
V_Bond

выполните скрипт ...
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\Documents and Settings\All Users\Документы\GameSetup.exe','');
DeleteFile('C:\Documents and Settings\All Users\Документы\GameSetup.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
пришлите карантин согласно приложения 3 правил ....
повторите логи ...
05.02.2008, 15:42
Palya

А вот и логи

Пожалуйста
05.02.2008, 15:48
V_Bond

в логах чисто ...
какие-то проблемы остались ?
05.02.2008, 19:15
Palya

Вроде все в порядке.
Что делать с карантином?
Один файл вроде как относится к мыши - его удалять?
05.02.2008, 19:18
V_Bond

карантин avz можно удалять ... больше ничего не трогать ;)
05.02.2008, 19:20
Palya

Большое спасибо!!!

Тема закрыта