Подозрение на ПО Hidden Object

Printable View

19.02.2008, 14:31
SIMA

Вложений: 3

Подозрение на ПО Hidden Object

Антивмрус Каспер находил Hidden Object в карантин не отправлял, при завершение процесса закрывал программу в которой работаешь на данный момент.Далее удалили касперского. Установили Norton350. Теперь не работает диспечер задач(отключен администратором).
19.02.2008, 14:47
Bratez

Пофиксите в HijackThis:
[code]
R3 - URLSearchHook: (no name) - {855F3B16-6D32-4fe6-8A56-BBB695989046} - (no file)
[/code]
Выполните скрипт в AVZ:
[code]
begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('c:\docume~1\тома~2.nic\applic~1\greydr~1\Intra gram film.exe','');
QuarantineFile('C:\WINDOWS\TEMP\winlogon.exe','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Yfl17.sys','');
QuarantineFile('c:\windows\system32\mssrv32.exe','');
QuarantineFile('C:\WINDOWS\system32\winlagons.exe','');
DeleteFile('C:\WINDOWS\system32\winlagons.exe');
DeleteFile('c:\windows\system32\mssrv32.exe');
DeleteFile('C:\WINDOWS\System32\Drivers\Yfl17.sys');
DeleteFile('C:\WINDOWS\TEMP\winlogon.exe');
BC_ImportALL;
BC_DeleteSvc('Yfl17');
BC_DeleteSvc('Isj51');
BC_DeleteSvc('asc3550p');
BC_DeleteSvc('msupdate');
BC_DeleteSvc('Google Online Search Service');
ExecuteSysClean;
ExecuteRepair(11);
BC_Activate;
RebootWindows(true);
end.[/code]
Компьютер перезагрузится.
Пришлите карантин согласно приложению 3 правил
(загружать тут: [url]http://virusinfo.info/upload_virus.php?tid=18289[/url]).
Сделайте новые логи.
19.02.2008, 19:44
SIMA

Вложений: 3

Когда делали логи не отключили Norton 360(незнаем как).Диспечер задач не работает и панель задач не скрывает неиспользуемые значки.
19.02.2008, 21:00
V_Bond

c:\windows\system32\mssrv32.exe - Backdoor.Win32.Kbot.bv (свежий)
задания в планировщике ваши ?
выполните скрипт ...
[code]
begin
ExecuteRepair(1);
ExecuteRepair(6);
ExecuteRepair(8);
ExecuteRepair(9);
ExecuteRepair(16);
ExecuteRepair(11);
RebootWindows(true);
end.
[/code]
19.02.2008, 21:32
SIMA

Задание в планировщике???? - что это
скрипты выполнили
диспечер задач не работает
19.02.2008, 21:43
V_Bond

пуск - панель управления - назначенные задания ....
скрипт - выполните еще раз .... строчку добавил ...
19.02.2008, 22:02
SIMA

в назначение задание.. оно не может выполнится т.к. не удается установить учетную запись и пишет ошибку 0x80041315.
скрипт выпонила.
как проверить есть ли еще что-нибудь вредоносное мне кажется, что нортон360 не видет.
19.02.2008, 22:21
Синауридзе Александр

[QUOTE=SIMA;190368]как проверить есть ли еще что-нибудь вредоносное мне кажется, что нортон360 не видет.[/QUOTE]
Сделайте новые логи.
19.02.2008, 22:24
V_Bond

раз задание в планировщике не ваше и не нортона удалите его ...
19.02.2008, 23:54
SIMA

Вложений: 3

Только не очень понятно у меня не работает диспечер задач и яне знаю что делать..., пуск -панель управление- назначение задания мне выдало ошибку...:( такое ощкщение кнопки не реогируют на эту команду
19.02.2008, 23:56
V_Bond

почле этого скрипта диспетчер задач доолжен заработать ...
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('Isj51.sys','');
SetServiceStart('Isj51', 4);
DeleteService('Isj51');
DeleteFile('C:\WINDOWS\System32\Drivers\Isj51.sys');
DeleteFile('c:\docume~1\тома~2.nic\applic~1\greydr~1\Intra gram film.exe');
BC_DeleteSvc('asc3550p');
BC_DeleteSvc('Isj51');
BC_ImportDeletedList;
ExecuteRepair(11);
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
пришлите карантин согласно приложения 3 правил ...
повторите логи начиная с пункта 10 правил ....
20.02.2008, 00:27
SIMA

Вложений: 2

диспечер отказывается работать!:( после скрипта комп сразу перезагрузился и нортон что -то там ругалсяю..
20.02.2008, 00:40
V_Bond

отключайте нортон ... правой кнопкой по иконке антивируса в трее ... и выполняйте последний скрипт заново ...
20.02.2008, 01:14
SIMA

Вложений: 1

все сделала!!!:)
20.02.2008, 04:03
Bratez

Пофиксите в HijackThis:
[code]
O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Program Files\ICQLite\ICQLite.exe (file missing)
O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Program Files\ICQLite\ICQLite.exe (file missing)
O9 - Extra button: ShopperReports - Compare product prices - {C5428486-50A0-4a02-9D20-520B59A9F9B2} - shell32.dll (file missing)
O9 - Extra button: ShopperReports - Compare travel rates - {C5428486-50A0-4a02-9D20-520B59A9F9B3} - shell32.dll (file missing)
[/code]
Выполните скрипт в AVZ:
[code]begin
SetAVZGuardStatus(True);
DeleteFile('c:\docume~1\тома~2.nic\applic~1\greydr~1\Intra gram film.exe');
DeleteFile('c:\windows\tasks\A76A55599195D135.job');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]
Сделайте еще раз логи, начиная с п.10 правил.
20.02.2008, 10:29
SIMA

Вложений: 2

что-то вчера не то прислала!!:? Диспечер задач не хочет работать!!!:(
20.02.2008, 10:37
V_Bond

логи старые !!! переделать ...
что по вашему "Диспечер задач не хочет работать" - он не вызывается ? что пишет ?
сделайте принтскрин ошибки ....
20.02.2008, 10:50
SIMA

Вложений: 2

диспечер задач не вызввается Cntr+ALt+Delete!!!
20.02.2008, 11:05
V_Bond

попробуйте вызвать диспетчер ctrl+shift+esc ...
в логах все на месте ... вы антивирус выключали ?
20.02.2008, 11:13
SIMA

Да выключала!!:)Спасибо! Даже этими кнопками не включается, даже если на панель инструментов нажимаю правой кнопкой мыши тоже не реагирует и так странно у меня опять не скрываются не испорльзуемые значки, хотя галочка стоит в свойствах.
20.02.2008, 12:42
V_Bond

taskmgr.exe - присутствует на диске ?
попробуйте выполнить скрипт из поста 11 в safe mode
20.02.2008, 13:42
SIMA

taskmgr.exe-20256C55.pf
непонятно на счет save mode это куда?????
20.02.2008, 13:52
V_Bond

[QUOTE=SIMA;190642]taskmgr.exe-20256C55.pf
[/QUOTE]
вижу что дрвеб сказал что файл нормальный ... но путь к нему полный какой ?
[URL="http://virusinfo.info/showthread.php?t=9279"]как загрузится Safe Mode[/URL]
20.02.2008, 13:53
pig

[QUOTE=SIMA;190642]taskmgr.exe-20256C55.pf[/QUOTE]
Это не то.

[QUOTE=SIMA;190642]непонятно на счет save mode это куда?????[/QUOTE]
При загрузке системы (в самом-самом начале) нажмите F8 (может, не один раз) - там увидите.
20.02.2008, 20:00
SIMA

ничего не получается! а возможно такое, что вирус поменял настройки реестора. При самой первой проверке AVZ там было написано диспечер задач отключен администратором.
20.02.2008, 20:02
V_Bond

что не получается ... ? в Safe Mode зайти или файлик найти ?
20.02.2008, 21:05
SIMA

После скрипта в безопасном режиме при нажатии клавиш диспечер задач не появляется. А файл, котор нашла taskmgr.exe-20256C55.pf и всё и не скрываются неиспользуемые значки:(
20.02.2008, 21:10
V_Bond

taskmgr.exe- где находится ?
20.02.2008, 21:23
SIMA

C/WINDOWS/Prefetch
20.02.2008, 21:34
V_Bond

пришлите его согласно приложения 3 правил...
.... должен лежать c:\WINDOWS\system32\
20.02.2008, 22:42
SIMA

Этого файла там нет.
На загрузочном диске от Windows есть?
До этой катастрофы был.Его можно скачать?
21.02.2008, 01:42
pig

Вложений: 1

Получите.
21.02.2008, 12:00
SIMA

Большое спасибо!!!!!:) только диспечер задач не вызввается Cntr+ALt+Delete!!!
21.02.2008, 13:34
pig

Попробуйте такой скрипт:
[code]begin
ExecuteRepair(6);
RebootWindows(true);
end.[/code]
22.02.2009, 04:00
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]5[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\windows\\system32\\mssrv32.exe - [B]Backdoor.Win32.Kbot.bv[/B] (DrWEB: Trojan.DownLoader.26661)[/LIST][/LIST]