Замучали трояны Pandex и др.

Помогите разобраться, пожалуйста! У меня 2 антивируса и оба находят разные вирусы. В изоляторе одного, Downloader ftpdll.dll путь c/ windows/system32/, C/Document and Settining/Local/ дальше путь не указан, и Trojan Pandex WLCtrl32.dll путь C/Windows/sistem32/. В хранилище другого: Win32:Small-JMK A0009256.exe путь С:/System Volume Information/_restove{0437CDC8-56FB... , Win32:Agent-QOV nkv.sys путь C/windows/system32/drivers/... Как понять заражены системные файлы или нет? И если это системные , то как их удалять, а потом востановить? Попыталась сделать логи, надеюсь получились. Два до перезагрузки и два после. Заранее благодарю всех, кто попытается мне помоч!

Я посмотрел логи и ничего интересного кроме двух антивирусов не увидел.:) Они мешают друг другу работать. Настоятельно рекомендую оставить один из них.

[URL="http://virusinfo.info/showthread.php?t=4491"]Пофиксите[/URL] в HijackThis:

[QUOTE]O20 - Winlogon Notify: sysfldr - sysfldr.dll (file missing)
O20 - Winlogon Notify: WLCtrl32 - WLCtrl32.dll (file missing)
O9 - Extra button: Cтатистика Веб-Антивируса - {1F460357-8A94-4D71-9CA3-AA4ACF32ED8E} - C:\Program Files\Kaspersky Lab\Kaspersky Internet Security 7.0\SCIEPlgn.dll (file missing)[/QUOTE]

Дело в том, что одна антивирусная программа была установлена недавно, а до нее уже выявлялись вирусы, рассылался спам с моего компа, но мой антивирус его не видел, пришлось установить другой, который инашел еще 2 зловреда. Один вирус вылезает вновь и вновь, не смотря на отключение востановление.Но самое главное, что делать с зараженными файлами, как узнать системные ли они или нет? А если системные, то к чему приведет их удаление?

А вы пришлите подозреваемых по правилам. Скорее всего, не системные, раз сейчас система работает, хотя файлы точно в карантинах антивирусов.

virusinfo_cure - это карантин, его к теме цеплять не надо.

Спасибо за ответ! AVZ файлы не находит, по маске тоже не находит, но ведь эти файлы точно есть в изоляторе, как же так? У Avast в изоляторе: Win32:Small-JMK, Win32:Agent-QOV. У Simantec в изоляторе Downloader и Pandex. Pandex регулярно вылавливается Simantec и "частично изолируется", а Avast его просто никогда не видел! Как же справится с этой заразой? Вопрос, системные это файлы или нет остается открытым т.к AVZ их не нашел и мне нечего отослать. И это меня беспокоит.:(

Это не системные файлы. Очистите карантины антивирусов.
Сделайте новый лог HijackThis.

Карантин очистила. Вот новый лог. Есть еще одна проблема: подключение к интернету не отсоединяется. Чтоб отсоединится приходится отключать питание модема или весь комп.:(

А чему тут удивляться, ещё и не такое бывает когда несколько антивиров вместе поставишь ;)
Даю установку : удаляй один из антивирусов.Потом надо следы чистить после удаления. В Чаво есть ссылка. Я бы обоих удалил и поставил другой, но это уже каждому своё ;)

Повторюсь еще раз, вирусы определялись еще до установки 2 антивируса!

[size="1"][color="#666686"][B][I]Добавлено через 1 час 35 минут[/I][/B][/color][/size]

Simantec вновь и вновь находит Pandex tgk14 и частично изолирует. Путь С:\Windows\System32\drivers\tgk14\. При попытке что нибудь сделать с этим файлом, Windows выдает сообщение: "Нет доступа. Файл занят другим преложением". Системный или нет? Можно ли как то удалить?

[quote]Повторюсь еще раз, вирусы определялись еще до установки 2 антивируса![/quote]
Пусть определялись, но удалять совместно антивирусы то не могут. Оставьте один

[QUOTE=grom.acc;193173]Simantec вновь и вновь находит Pandex tgk14 и частично изолирует. Путь С:\Windows\System32\drivers\tgk14\. При попытке что нибудь сделать с этим файлом, Windows выдает сообщение: "Нет доступа. Файл занят другим преложением". Системный или нет? Можно ли как то удалить?[/QUOTE]
Нет, не системный. Удалить можно, если Symantec его отпустит, - я так понимаю, он файл заблокировал.

Заплатки на Windows последний раз когда ставили? Локальная сеть есть? Системный диск в сеть случайно не открыт?

А как сделать, чтобы Simantec его отпустил, может быть отключить "защиту от изменений"? Заплатки не разу не ставила, не знаю как. Локальное подключение в наличее. Системный диск-сеть? Не знаю,как это узнать? Появилась новая гадость С:\Windows\svchost\. AVZ ее нашел. Что делать? Вот новые логи.:(

Извеняюсь, я не нарочно!

Выполните скрипт в AVZ:
[code]
begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
StopService('Tgk14');
SetServiceStart('Tgk14', 4);
QuarantineFile('C:\WINDOWS\System32\WLCtrl32.dll','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Tgk14.sys','');
QuarantineFile('c:\windows\system32\..\svchost.exe','');
DeleteFile('c:\windows\system32\..\svchost.exe');
DeleteFile('C:\WINDOWS\System32\Drivers\Tgk14.sys');
DeleteFile('C:\WINDOWS\System32\WLCtrl32.dll');
DeleteFile('C:\WINDOWS\svchost.exe');
BC_ImportALL;
BC_DeleteSvc('Tgk14');
BC_DeleteSvc('msupdate');
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]
Компьютер перезагрузится.
Пришлите карантин согласно приложению 3 правил
(загружать тут: [url]http://virusinfo.info/upload_virus.php?tid=18565[/url]).
Сделайте лог syscheck (п.10 правил).

Автоматическое обновление Windows включено?
Правой кнопкой мыши по иконке системного диска - Свойства - Что там у вас на закладке Доступ (или Безопасность и общий доступ)?

Где virusinfo_syscheck?

Простите, я не поняла, как выполнить скрипт!

[size="1"][color="#666686"][B][I]Добавлено через 4 минуты[/I][/B][/color][/size]

"Удаленный доступ к этому компютеру отключен"

[url=http://virusinfo.info/showthread.php?t=7239]Как выполнить скрипт в AVZ[/url].

[size="1"][color="#666686"][B][I]Добавлено через 52 секунды[/I][/B][/color][/size]

[QUOTE=grom.acc;193362]"Удаленный доступ к этому компютеру отключен"[/QUOTE]
Хорошо. Правильно.

Скрипт выполнила. Столкнулась с такой проблемой: когда началась перезагрузка, пропали значки, послеэтого комп завис с заставкой на экране. Пришлось нажать кнопку перезагрузки. Что делать дальше?

Но после этого таки загрузился?

Да, а то сейчас бы меня здесь не было. :-)))) Выслала карантин.

Делайте лог п.10 правил. Я через часик подойду.

Вот лог. Спасибо, что возитесь со мной!

Не дождалась.....Все равно,спасибо.

В карантине svchost.exe - [b]Trojan.Win32.Inject.xy[/b]

[b]grom.acc[/b], извините, пришлось уехать надолго по работе ;)

Выполните такой скрипт:
[code]
begin
DelWinlogonNotifyByKeyName( 'WLCtrl32');
RegKeyIntParamWrite('HKLM', 'SYSTEM\CurrentControlSet\Hardware Profiles\0001\System\CurrentControlSet\Enum\ROOT\LEGACY_Tgk14\0000', 'CSConfigFlags', '1');
BC_QrFile('C:\WINDOWS\System32\drivers\Tgk14.sys');
BC_DeleteSvc('Tgk14');
BC_DeleteFile('C:\WINDOWS\System32\drivers\Tgk14.sys');
BC_Activate;
RebootWindows(true);
end.[/code]
Сделайте еще раз лог syscheck и HijackThis.

Спасибо, Bratez! Благодаря вам, вирусы похоже сгинули!:D Не пойму, почему мой компьютер стал так уязвим для всякой заразы? AVZ определяет программу-переводчик(причем лицензионную), как возможный троян, почему так? Новые логи:

А что делать с архивом карантина AVZ? Просто в карзину удалить?

Бяку убили, все чисто.
Архив карантина: в AVZ Файл - Просмотр карантина - Очистить карантин - и все почистится.

На Lingvo ругался эвристик - переживать не о чем.

Осталась одна проблема: соединение с интернетом не отключается (при нажатии на значек подключения, в правом нижнем углу - отключить). Выдается такое сообщение: "Не возможно отключить подключение в данный момент. Возможно, данное подключение использует один из протоколов, которые не поддерживают "Plug and Play", либо оно было инициировано другим пользователем или системной учетной записью".

Попробуйте отключить еще раз.
Если не получится, то AVZ - Сервис - Открытые порты TCP\UDP
Лог прикрепите

Я зашла в AVZ - открытые порты, но как сделать с этого лог?

Нажать значок в виде дискетки.

Это я уже делала, но при отправке сюда, надпись "некорректный файл".

[size="1"][color="#666686"][B][I]Добавлено через 2 часа 0 минут[/I][/B][/color][/size]

[B]Порты TCP/UDP[/B]

[B][COLOR=white]Порт[/COLOR][/B] [B][COLOR=white]Статус[/COLOR][/B] [B][COLOR=white]Remote Host[/COLOR][/B] [B][COLOR=white]Remote Port[/COLOR][/B] [B][COLOR=white]Приложение[/COLOR][/B] [B][COLOR=white]Примечания [/COLOR][/B][B]Порты TCP [/B]135 LISTENING 0.0.0.0 10269 [COLOR=#0000ff][1216] c:\windows\system32\svchost.exe[/COLOR] Microsoft NET 139 LISTENING 0.0.0.0 36986 [COLOR=#0000ff][4] System[/COLOR] Microsoft NET 445 LISTENING 0.0.0.0 2109 [COLOR=#0000ff][4] System[/COLOR] Microsoft NET 1033 LISTENING 0.0.0.0 2048 [COLOR=#0000ff][1884] c:\program files\common files\symantec shared\ccapp.exe[/COLOR] 2666 ESTABLISHED 127.0.0.1 12080 [COLOR=#0000ff][1708] c:\program files\internet explorer\iexplore.exe[/COLOR] 2667 CLOSE_WAIT 216.246.90.119 80 [COLOR=#0000ff][2464] c:\program files\alwil software\avast4\ashwebsv.exe[/COLOR] 2668 ESTABLISHED 127.0.0.1 12080 [COLOR=#0000ff][1708] c:\program files\internet explorer\iexplore.exe[/COLOR] 2669 CLOSE_WAIT 216.246.90.119 80 [COLOR=#0000ff][2464] c:\program files\alwil software\avast4\ashwebsv.exe[/COLOR] 12025 LISTENING 0.0.0.0 57478 [COLOR=#0000ff][2376] c:\program files\alwil software\avast4\ashmaisv.exe[/COLOR] 12080 LISTENING 0.0.0.0 2240 [COLOR=#0000ff][2464] c:\program files\alwil software\avast4\ashwebsv.exe[/COLOR] 12080 TIME_WAIT 127.0.0.1 2660 [COLOR=#0000ff][0] [/COLOR] 12080 TIME_WAIT 127.0.0.1 2662 [COLOR=#0000ff][0] [/COLOR] 12080 TIME_WAIT 127.0.0.1 2664 [COLOR=#0000ff][0] [/COLOR] 12080 ESTABLISHED 127.0.0.1 2666 [COLOR=#0000ff][2464] c:\program files\alwil software\avast4\ashwebsv.exe[/COLOR] 12080 ESTABLISHED 127.0.0.1 2668 [COLOR=#0000ff][2464] c:\program files\alwil software\avast4\ashwebsv.exe[/COLOR] 12110 LISTENING 0.0.0.0 2176 [COLOR=#0000ff][2376] c:\program files\alwil software\avast4\ashmaisv.exe[/COLOR] 12119 LISTENING 0.0.0.0 63499 [COLOR=#0000ff][2376] c:\program files\alwil software\avast4\ashmaisv.exe[/COLOR] 12143 LISTENING 0.0.0.0 2272 [COLOR=#0000ff][2376] c:\program files\alwil software\avast4\ashmaisv.exe[/COLOR] [B]Порты UDP [/B]123 LISTENING -- -- [COLOR=#0000ff][1368] c:\windows\system32\svchost.exe[/COLOR] 123 LISTENING -- -- [COLOR=#0000ff][1368] c:\windows\system32\svchost.exe[/COLOR] 137 LISTENING -- -- [COLOR=#0000ff][4] System[/COLOR] Microsoft NET 138 LISTENING -- -- [COLOR=#0000ff][4] System[/COLOR] Microsoft NET 445 LISTENING -- -- [COLOR=#0000ff][4] System[/COLOR] 500 LISTENING -- -- [COLOR=#0000ff][1000] c:\windows\system32\lsass.exe[/COLOR] 1030 LISTENING -- -- [COLOR=#0000ff][1444] c:\windows\system32\svchost.exe[/COLOR] 1079 LISTENING -- -- [COLOR=#0000ff][1444] c:\windows\system32\svchost.exe[/COLOR] 1483 LISTENING -- -- [COLOR=#0000ff][1444] c:\windows\system32\svchost.exe[/COLOR] 1484 LISTENING -- -- [COLOR=#0000ff][1444] c:\windows\system32\svchost.exe[/COLOR] 1900 LISTENING -- -- [COLOR=#0000ff][1496] c:\windows\system32\svchost.exe[/COLOR] 1900 LISTENING -- -- [COLOR=#0000ff][1496] c:\windows\system32\svchost.exe[/COLOR] 2611 LISTENING -- -- [COLOR=#0000ff][1708] c:\program files\internet explorer\iexplore.exe[/COLOR] 4500 LISTENING -- -- [COLOR=#0000ff][1000] c:\windows\system32\lsass.exe[/COLOR]

Надо было его заархивировать в zip.

Вот архив.

symantec и avast - надо оставить что-то одно

Bratez, а вы что думаете?

1. Удалите один из антивирусов.
2. Посмотрите, нужно ли вам что-то из этого списка:
[code]
>> Службы: разрешена потенциально опасная служба RemoteRegistry (Удаленный реестр)
>> Службы: разрешена потенциально опасная служба TermService (Службы терминалов)
>> Службы: разрешена потенциально опасная служба SSDPSRV (Служба обнаружения SSDP)
>> Службы: разрешена потенциально опасная служба mnmsrvc (NetMeeting Remote Desktop Sharing)
>> Службы: разрешена потенциально опасная служба RDSessMgr (Диспетчер сеанса справки для удаленного рабочего стола)
>> Безопасность: разрешен автозапуск программ с CDROM
>> Безопасность: разрешен административный доступ к локальным дискам (C$, D$ ...)
>> Безопасность: к ПК разрешен доступ анонимного пользователя
>> Безопасность: Разрешена отправка приглашений удаленному помошнику
[/code]
Лишнее отключим.
Дальше будем посмотреть ;)

:?На счет служб, у меня нет мнения, я в этом совсем не разбираюсь, даже не знаю за что они отвечают. Если эти службы не нужны, рядовому пользователю, то полагаюсь на ваш выбор. По поводу безопасности, оставим все пункты, кроме последнего( я не очень понимаю о чем речь). Вы, тоже думаете, что интернет не отключить из-за 2 антивирусов? Тогда оставлю Simantec.

Вот скрипт для отключения ненужных сервисов:
[code]
begin
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Control\Terminal Server','fAllowToGetHelp', 0);
SetServiceStart('RDSessMgr', 4);
SetServiceStart('mnmsrvc', 4);
SetServiceStart('SSDPSRV', 4);
SetServiceStart('TermService', 4);
SetServiceStart('RemoteRegistry', 4);
RebootWindows(true);
end.[/code]

[quote=grom.acc;194389]Вы, тоже думаете, что интернет не отключить из-за 2 антивирусов? Тогда оставлю Simantec.[/quote]
Может и не из-за этого. Но два активных антивируса - в любом случае лишние тормоза и глюки. Выбор одобряю, главное обновляйте базы почаще.