Научите McAfee лечить вирусы

У меня есть даже вирус, который меня заразил в натуральном виде...

Поскольку заразился с доступного мне по ФТП сайта.

У меня полноценная версия Макафи, недавно установленная после переустановки виндуса. То есть Макафи пасёт эту установку с нуля

Вчера тем не менее подцепил заразу. Вирус макафи продетектировал при обращении странице. Тело вируса приатачено

Вчера Макафи вычистил во что:
w/s32/C++.exe Generic.yy
w/s32/drivers/ip6fw.sys Generic.RootKit.a
w/s32/drivers/protect.sys Generic.dx

[COLOR=blue][B]При повторном сканировании больше вирусов обнаружено не было.[/B][/COLOR]

Сегодня при подключении к интернету вирус тем не менее ожил:
C:\WINDOWS\TEMP\BN1E.tmp Spy-Agent.bv
Троян

И сейчас уже нашёл два вирусевича, но сомневаюсь, что этим дело кончится. Порносайты и хакерские сайты и всё такого типа — не посещаю.

Ну не совсем же плохой этот Макафи?

Файл нужно высылать через ссылку вверху темы!

По поводу лечения: Не плохо бы ознакомится с [URL="http://virusinfo.info/showthread.php?t=1235"]правилами[/URL], анализ ПК находящегося за несколько сот километров [B]без логов[/B] невозможен.

Сейчас Макафи закончит работу, может я и его лог найду.

Хотя зачем он? В оперативке Макафи вируса не находит. Тело этого вируса приатачено к первому посту.

В усерской временной директории нашёл SVC32_2.EXE SpyAgent.bv.gen
И в интернет хрнилище CONTENT.IE5\KT4V8NVZ\1[2].EXE SpyAgent.bv.gen
Макафи поставил их на карантин.

Пытаюсь удалить все файлы из временной усерской директории. Не удаляется файл с нулевым размером
sqlite_fIy3COew4DDOPkE

В виндусовой временной директории также не удалятся похожие файлы с нулевым размером
mcmsc_IcqZiiFHf3sZljJ и такой
sqlite_kWDCetKDy9tXo5P

Из временной усерской директории удалил два экзешника. Теперь не удаётся освободить корзину. Сейчас еще попробую, боюсь пока отключать Макафи. И затем буду действовать по описанной процедуре :):):)

Напоминает топик одного актера....дайте логи и мы присоеденимся к обсуждению\лечению если нет, то зачем вы сюда пишете?

[quote=akoK;187610]Напоминает топик одного актера....дайте логи и мы присоеденимся к обсуждению\лечению если нет, то зачем вы сюда пишете?[/quote]
Интиресно. Тело вируса я прислал. Если кто-то может это анализировать — значит что-то скажет.

CureIt — я и сам пользоваться умею.

И пишу совсем не для развлечения. Пока вирус активный — стоит мне отключить МакАфии — и там уже нечего будет лечить (это вполне реально, не так ли?) всё будет загажено и испорчено

Если бы оно делало логи при включенном Макафи — я бы их сразу и сделал.

А сейчас просканирую компьютер последний раз. Отключу интернет. Еще раз удалю всё содержимое всех временных (TEMP) директорий, весь Temporary Internet Files, всё содержимое всех System Volume Information (защита уже отключена на всех дисках). Всё удалю с помощью макафьевского шрёдера (то есть, чтобы и места такого где были эти файлы не осталось)

И затем буду подключать ваши сканеры. Ничего не найдут — и слава богу! Я просто сообщил название вирусов, дал их предполагаемое тело (или что там). И теперь сделаю всё как нужно для наилучшего лечения, обязательно строго выполнив все ваши рекомендации

[quote]Научите McAfee лечить вирусы [/quote]
Это к разработчикам McAfee.
[quote]Сейчас Макафи закончит работу, может я и его лог найду. [/quote]
Его лог не нужен.
[quote]Тело вируса я прислал. Если кто-то может это анализировать — значит что-то скажет.[/quote]
То, что McAfee уже детектирует и успешно удаляет анализировать бесполезно.
[quote]Пока вирус активный — стоит мне отключить МакАфии — и там уже нечего будет лечить (это вполне реально, не так ли?) всё будет загажено и испорчено[/quote]
От интернета на это время надо отключиться и тогда хуже не будет.

[quote=AndreyKa;187694]Это к разработчикам McAfee.
Его лог не нужен.
То, что McAfee уже детектирует и успешно удаляет анализировать бесполезно.
От интернета на это время надо отключиться и тогда хуже не будет.[/quote]

благодарю за разъяснения. Сюда прикрепил лог, как положено.

И еще Доктор Веб у меня что-то нашёл, я сначала поленился его грузить... Чего Макафи-то ни черта не ищет?

Кто-то мне вылечил McAfee совсем, не находит он своих компонентов. Придётся переустановить

Форум Файлы загружать больше не хочет. И прав у меня таких вроде нет пишет.

Но почему постоянно исчезает русская кодировка — непонятно. Раз уж оно здесь по русски?

Но ответа жду

[quote]Сюда прикрепил лог, как положено.[/quote]
Сюда это куда?;)

[quote=akoK;187731]Сюда это куда?;)[/quote]
Форум у меня перестал действовать, то есть перестал загружать файлы, хотя загружено было очень мало байт...

Мак Афи у меня вылетел после сканирования полностью.

Но всего 50 мегабайт, так что перезагрузить удалось за минуту...

Долго работал Доктор Веб, хотя дополнительно ничего не нашёл (к тому, что нашёл при предварительном сканировании)

Кажется теперь лог загрузился

А логи AVZ?

[size="1"][color="#666686"][B][I]Добавлено через 14 минут[/I][/B][/color][/size]

svchost.exe:ext.exe - знакомо?

[quote=akoK;187806]А логи AVZ?
svchost.exe:ext.exe - знакомо?[/quote]

Я их честно вгрузил всё по верхней ссылке (над темой которая), но мне не жалко повторить, хотел сделать всё предельно правильно..

:)

Теперь наверно, то что нужно? Последние логи прикреплены чуть выше

svchost.exe:ext.exe - помню что там был удалён вирус, более не знаю ап чём речь

virusinfo_cure - это карантин и его надо грузить по ссылке...отсюда удалите

[size="1"][color="#666686"][B][I]Добавлено через 6 минут[/I][/B][/color][/size]

1.[url=http://virusinfo.info/showthread.php?t=7239]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".[/url]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
SetServiceStart('protect', 4);
StopService('protect');
QuarantineFile('c:\windows\system32\svchost.exe:ext.exe:$DATA','');
QuarantineFile('C:\WINDOWS\system32\LogCrypt.dll','');
QuarantineFile('C:\WINDOWS\System32\drivers\protect.sys','');
QuarantineFile('C:\WINDOWS\system32\Drivers\Mep02.sys','');
DeleteFile('C:\WINDOWS\System32\drivers\protect.sys');
DeleteFile('C:\WINDOWS\system32\LogCrypt.dll');
DeleteFile('C:\78.tmp');
DeleteFile('c:\windows\system32\svchost.exe:ext.exe:$DATA');
DeleteService('protect');
DeleteService('FCI');
BC_Activate;
ExecuteSysClean;
RebootWindows(true);
end.[/CODE]
После выполнения скрипта компьютер перезагрузится.
Прислать карантин согласно [b]приложения 3 [url=http://virusinfo.info/showthread.php?t=1235]правил [/url][/b].
Загружать по ссылке: [url]http://virusinfo.info/upload_virus.php?tid=18051[/url]

[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]

2.Пофиксить в HijackThis следующие строчки ( [url]http://virusinfo.info/showthread.php?t=4491[/url] )
[CODE] O20 - Winlogon Notify: LogCrypt - C:\WINDOWS\SYSTEM32\LogCrypt.dll[/CODE]

Повторите логи

[quote=akoK;187822]...
1.[URL="http://virusinfo.info/showthread.php?t=7239"]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".[/URL]
... ... ...
После выполнения скрипта компьютер перезагрузится.
Прислать карантин согласно [B]приложения 3 [URL="http://virusinfo.info/showthread.php?t=1235"]правил [/URL][/B].
Загружать по ссылке: [URL]http://virusinfo.info/upload_virus.php?tid=18051[/URL]

[SIZE=1][COLOR=#666686][B][I]Добавлено через 1 минуту[/I][/B][/COLOR][/SIZE]

2.Пофиксить в HijackThis следующие строчки ( [URL]http://virusinfo.info/showthread.php?t=4491[/URL] )
[code] O20 - Winlogon Notify: LogCrypt - C:\WINDOWS\SYSTEM32\LogCrypt.dll[/code]

Повторите логи[/quote]
Скрипт выполнил. И опять он мне что-то там нашёл. Я бы снёс виндус на фиг, но каждый раз сносить его не будешь...

Тем не менее в карантине — пусто. Папку Infected мне почистил Доктор Веб. Папка Quarantine вроде оборзовалась только после запуска последнего скрипта... Но в ней, кроме сегодняшнего числа ни черта нету...

Дальше собирался пофиксить LogCrypt, но HijackThis.exe его не нашёл.

Есть довольно странная служба:
##Id_String1.6844F930_1628_4223_B5CC_5BB94B879762##
"C:\Program Files\Bonjour\mDNSResponder.exe"

Вроде эта прелесть грузилась вместе с Фотошопом. Но странно, что фотошоп запускает какой-то ответчик DNS. Может это и есть вирус?

Загружать логи оно мне опять не даёт. Пишет:
[B]McAfee[/B], you do not have permission to access this page. This could be due to one of several reasons:
[LIST=1][*]Your user account may not have sufficient privileges to access this page. Are you trying to edit someone else's post, access administrative features or some other privileged system?[*]If you are trying to post, the administrator may have disabled your account, or it may be awaiting activation.[/LIST]

[quote]Загружать логи оно мне опять не даёт.[/quote]
Загрузите их на сайт а тут ссылку приведите.

##Id_String1.6844F930_1628_4223_B5CC_5BB94B879762##
"C:\Program Files\Bonjour\mDNSResponder.exe"

Остановил эту службу недоделанную. И переместил файлы в другое место. Может это новый вид шпиона?

Буду ждать ответа позднее тогда...

Логи грузить не даёт, пишет, что я их уже загрузил: You have already attached this file in thread

Затем я долго искал как мне их загрузить, и сумел только в архиве с паролем: [B][COLOR=red]McAfee[/COLOR][/B] (это пароль)

А логи я могу грузить на дружественный сайт с FTP доступом или прямо из инета. Мне проще FTP сляпать на скорую руку, чем изучать доступы и регистрации... Могу и передать этот доступ по внутренней форумной почте или как?

Выполните:
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
QuarantineFile('C:\WINDOWS\system32\Drivers\Mep02.sys','');
QuarantineFile('C:\WINDOWS\system32\LogCrypt.dll','');
DeleteFile('C:\WINDOWS\system32\Drivers\Mep02.sys');
DeleteFile('c:\windows\system32\svchost.exe:ext.exe:$DATA');
DeleteFile('C:\WINDOWS\system32\LogCrypt.dll');
DeleteFile('C:\78.tmp');
BC_ImportAll;
BC_DeleteFile('C:\WINDOWS\system32\Drivers\Mep02.sys');
BC_DeleteSvc('Mep02');
BC_DeleteSvc('FCI');
BC_Activate;
ExecuteSysClean;
RebootWindows(true);
end.[/code]
Карантин загрузите - [url]http://virusinfo.info/upload_virus.php?tid=18051[/url]
Повторите логи с п.10 Правил

Образовалась новая корзина для удалённых файлов на диске С
C:\RECYCLER.SH!
Выглядит как обычная корзинка. В ней файлы логов, которые я выбросил (уже грузил их)

Ни одного из указанных вами файлов в системе вроде нет (я их не вижу). Хотя у меня всегда и системные и спрятанные файлы доступны для просмотра. Но я понимаю, что я недостаточно квалифицирован, чтобы всё видеть.

И потому сейчас сделаю написанный скрипт, отключив все службы МакАфи...

Есть только svchost.exe
Есть ещё файл mem.exe, который не пишет ничего при наведении на него мышки (обычно пишется типа Мокросох Корпорейшн). Может стереть ему всю внутренность фаром?

Делаю скрипт и шлю. Можно со мной связаться по аське, если время найдется

[quote]svchost.exe:ext.exe:$DATA[/quote] - это поток в NTFS

Сечас если загрузятся логи загрузятся без переименования — то загружу их без переименования.

Иначе архивирую с паролем прямо в зипах раром.

Всё грузится отлично, спасибо (могу пихать их на сайт со ссылкой, если нужно). В Infected и в Quarantine ничего кроме пустой директории не наблюдается

C:\Program Files\Bonjour\mDNSResponder.exe
Пришлите сюда - [url]http://virusinfo.info/upload_virus.php?tid=18051[/url]

К сожалению, только что уничтожил этот файл шрёдером.

Я-то вроде признаков вирусов сейчас не наблюдаю... Но есть ли они на самом деле — я не знаю.

Также остановил, а затем уничтожил в реестре службу
[CODE]##Id_String1.6844F930_1628_4223_B5CC_5BB94B879762##
"C:\Program Files\Bonjour\mDNSResponder.exe"[/CODE]
Правда, некоторые записи реестра уничтожить не удалось.

Вирусы всё-таки остаются?

Скачайте [url="http://www.tacktech.com/pub/winsockfix/WinsockFix.zip"]WinSocksXPFix[/url]
Запустите скачанную программу, запишите сетевые настройки, нажмите Fix и по надобности восстановите сетевые настройки.

Благодарю ещё раз. Может оно всё-таки вылечилось окончательно?

Программку запустил. Даже что-то там из регистров сохранил, сетевые настройки она уничтожила, но, поскольку у меня два провайдера интернета — я помню сетевые настройки каждого.

Всё сразу стало снова работать. [COLOR=navy][B]Если есть существенные подозрения на вирусы — я буду продолжать вас мучать.[/B][/COLOR]

Мне легче уничтожить установку виндус со всеми дисками, чем неожиданно получить известие о новой заразе. Уничтожаю я винду надёжно старым дисковым редактором, записываю всё на диски по 8.5 гига. Уничтожаю на этих дисках всё имеющее малейшее подозрение на вирус — и долго, конечно, ставлю снова.

То есть восстанавливаю программы с ноля. Если есть мало-мальски существенные подозрения на вирус — мне легче сегодня посохранять данные — и уничтожить винт (информацию, конечно, на нём)

И ставить всё снова. По интернету я шастаю мало. И мне совсем не нужны сайты, которые не рекомендованы дитям или прочее в этом роде. Зараза возникла совершенно случайно

Больше ничего плохого нет...

[quote] Зараза возникла совершенно случайно[/quote]

Никто не застрахован...

D:\System Volume Information\_restore{A4AAEC95-4646-4877-9450-C5B955178201}\RP2

Скажите, а разве должны быть в таких папках пакие-то экзешники?

Откуда там у меня взялся A0000038.exe размером 158 килобайт?

Или это просто архив самораспоковывающийся? А откуда оно взялось? Так и должно быть? Я честно говоря никогда туда не заглядывал

Там храняться точки востановления, Вашей системы...

[quote=akoK;188290]Там храняться точки востановления, Вашей системы...[/quote]
Это-то как раз очевидно, но не было там вроде экзешников никогда.

System Volume Information вроде файлы без расширения хранит

С расширением...

[quote=rubin;188304]С расширением...[/quote]
Все равно непонятно.
[CODE]D:\System Volume Information\_restore{A4AAEC95-4646-4877-9450-C5B955178201}\RP2\A0000038.exe [/CODE]
- откуда там такой файл? Тем более судя по содержимому — это самораспаковывающийся архив RAR

Что там делать такому файлу? Как он туда попал?
[CODE]Том в устройстве D имеет метку IBM
Серийный номер тома: 78CE-1932
Содержимое папки D:\System Volume Information\_restoreA4AAEC95-4646-4877-9450-C5B955178201\RP2
02/15/2008 00:06 <DIR> .
02/15/2008 00:06 <DIR> ..
01/31/2007 17:52 161 280 A0000038.exe
02/15/2008 00:09 1 212 change.log.1
02/15/2008 12:20 972 change.log.2
02/15/2008 13:34 654 change.log.3
02/15/2008 16:40 616 change.log.4
02/15/2008 16:55 432 change.log.5
02/15/2008 17:43 1 158 change.log.6
02/15/2008 17:47 8 RestorePointSize
02/15/2008 21:19 0 save.txt
9 файлов 166 332 байт
2 папок 14 025 195 520 байт свободно[/CODE]
save.txt — это тот файл куда я сохранил содержиммое директории.

Предельно странный файл, нигде рядом нет ничего сколько-нибудь похожего

Отключите восстановление, контрольные точки сотрутся, все что было плохого (если было) - сотрется. Затем можно включать обратно

Если посмотреть закладку "восст. системы", то там видно какие диски наблюдает эта штука. Сколько дисков, столько и System Volume Information будет.

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]0[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]