Win32.Banker.FS - Диспетчер задач!!!

Printable View

11.03.2008, 12:02
Alfonso

Win32.Banker.FS - Диспетчер задач!!!

В одноименной теме нашел выход, как избавиться от этого злого троянчика ... но параллельно возникла другая проблема - не могу включить "Диспетчер задач" через сочетание всем нам известных клавиш. Пишет что "Диспетчер задач" отключен администратором. Но я его не отключал ... как его включить вручную.
11.03.2008, 12:05
akok

[url]http://virusinfo.info/showthread.php?t=1235[/url]
11.03.2008, 12:30
Alfonso

[quote=akoK;200226][URL]http://virusinfo.info/showthread.php?t=1235[/URL][/quote]

Ты предлагаешь мне все это сделать, лишь для того, чтобы узнать, как вручную включить диспетчер???
11.03.2008, 12:39
akok

Если АБСОЛЮТНО уверен, что ВСЕ ок.
То прийми эту пилюлю, на свой страх и риск
[CODE]begin
ExecuteRepair(6);
ExecuteRepair(8);
RebootWindows(true);
end.[/CODE]

[quote=Alfonso]В одноименной теме нашел выход[/quote]
[quote=Правила][color=red]У нас запрещено выполнять скрипты написанные для других! Каждый случай уникален.Вы можете тем самым нанести не поправимый вред вашему компьютеру и нашему сервису.[/color][/quote]

Это еще одна причина прочитать правила, но я сегодня в хорошем настроении
11.03.2008, 12:50
XP user

[quote=Alfonso;200224]В одноименной теме нашел выход, как избавиться от этого злого троянчика ... но параллельно возникла другая проблема - не могу включить "Диспетчер задач" через сочетание всем нам известных клавиш. Пишет что "Диспетчер задач" отключен администратором. Но я его не отключал ... как его включить вручную.[/quote]
Рекомендую всё-таки выполнить правила, [b]Alfonso[/b]. У вас 'самолечение' неудачно прошло. Возможно находится в машине ещё зверь. Попытки восстановить ваши админ права могут кончиться не очень хорошо...

Paul
11.03.2008, 13:26
Alfonso

У меня много всего в системе ... но оно мне не мешает :) :) :)
Держите ...
11.03.2008, 13:40
akok

.[url=http://virusinfo.info/showthread.php?t=7239]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Надать кнопку "Запустить".[/url]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
QuarantineFile('WLCtrl32.dll','');
QuarantineFile('C:\DOCUME~1\Dima\LOCALS~1\Temp\wndutl32.dll','');
QuarantineFile('C:\DOCUME~1\Dima\LOCALS~1\Temp\Fadpu16E.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Fko15.sys','');
DeleteFile('WLCtrl32.dll');
DeleteFile('C:\DOCUME~1\Dima\LOCALS~1\Temp\wndutl32.dll');
BC_ImportALL;
BC_Activate;
ExecuteSysClean;
RebootWindows(true);
end.[/CODE]
После выполнения скрипта компьютер перезагрузится.
Прислать карантин согласно [b]приложения 3 [url=http://virusinfo.info/showthread.php?t=1235]правил [/url][/b].
Загружать по ссылке: [url]http://virusinfo.info/upload_virus.php?tid=19534[/url]

[size="1"][color="#666686"][B][I]Добавлено через 59 секунд[/I][/B][/color][/size]

Пофиксить в HijackThis следующие строчки ( [url]http://virusinfo.info/showthread.php?t=4491[/url] )
[CODE] O20 - Winlogon Notify: WLCtrl32 - WLCtrl32.dll (file missing)[/CODE]

Повторите логи
11.03.2008, 14:32
Alfonso

Папка карантина за сегодняшнее число пустая ... поэтому карантина не будет ...
Но зато я сделал скрин окна своего анти-вируса при первом и втором создании логов.

Получается AVZ не удалила этот (WLCtrl32.dll) файл ...
11.03.2008, 14:36
XP user

[quote=Alfonso;200282]Папка карантина за сегодняшнее число пустая ... поэтому карантина не будет ...
Но зато я сделал скрин окна своего анти-вируса при первом и втором создании логов.

Получается AVZ не удалила этот (WLCtrl32.dll) файл ...[/quote]
@ [b]Alfonso[/b]:

Рекомендую отключить этот 'анти-вирус' во время лечения; кроме показа красивых (но печальных) картинок, он в данном деле пользы никакой не приносит; он только мешает лечению... ;)

Paul
11.03.2008, 15:29
Alfonso

Выключил анти-вирус, создал лог-файл, перезагрузился, создал второй лог-файл включил анти-вирус, перезагрузился. Появилось снова окно об этом файле ... анти-вирус тут не причем ... :)
11.03.2008, 15:57
XP user

[quote=Alfonso;200318]анти-вирус тут не причем ... :)[/quote]
С вами спорить не собираюсь, но он мешает. Причём, у вас: [B]Восстановление системы: включено[/b]
Вы должны отключить эту фичу как сказано в инструкциях, потому что это значит, что у вас всё, что удаляется, сразу же восстанавливается.
@ [b]akoK[/b]:
Готовьте скрипт, пожалуйста. :)

Paul
11.03.2008, 16:00
akok

[QUOTE=p2u;200334]
@ [b]akoK[/b]:
Готовьте скрипт, пожалуйста. :)
Paul[/QUOTE]
:) Запросто, что нам винт "форматнуть";)

[url=http://virusinfo.info/showthread.php?t=7239]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".[/url]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
SetServiceStart('Fko15', 4);
QuarantineFile('WLCtrl32.dll','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Fko15.sys','');
DeleteFile('C:\WINDOWS\System32\Drivers\Fko15.sys');
DeleteFile('WLCtrl32.dll');
DeleteService('Fko15');
BC_ImportALL;
BC_QrSvc('Fko15');
BC_DeleteSvc('Fko15');
BC_DeleteFile('C:\WINDOWS\System32\Drivers\Fko15.sys');
BC_Activate;
ExecuteSysClean;
RebootWindows(true);
end.[/CODE]
После выполнения скрипта компьютер перезагрузится.
Прислать карантин согласно [b]приложения 3 [url=http://virusinfo.info/showthread.php?t=1235]правил [/url][/b].
Загружать по ссылке: [url]http://virusinfo.info/upload_virus.php?tid=19534[/url]

Повторите логи
11.03.2008, 16:18
Alfonso

Выключил восстановление системы, анти-вирус. Запустил скрипт. Включил анти-вирус, перезагрузился, снова он ...
11.03.2008, 16:20
V_Bond

virusinfo_syscheck.zip - сделайте ...
11.03.2008, 16:20
akok

Логи дайте посмотрим удалось ли снести драйвер....
11.03.2008, 16:23
PavelA

Пока драйвер Fko15 не удалится, этот будет вас мучать.
11.03.2008, 16:24
Alfonso

Fko15 все еще лежит в папке drivers - не получилось ...

З.Ы.
Устал создавать логи по 45 мин :)

З.З.Ы.

Скажите название службы, я ее руками выключу, удалю из папки Fko15 и перезагружусь ... или так не получится ?? И еще какой скрипт отвечает за check, а какой за cure?
11.03.2008, 16:29
V_Bond

ничего не нужно "руками" ... ;) -
virusinfo_syscheck.zip - сделайте ... он быстро делается ...
11.03.2008, 16:32
Alfonso

Вот ...
11.03.2008, 16:41
PavelA

Скачать [url]http://www.wasm.ru/baixado.php?mode=tool&id=392[/url]

- отключить антивирус и фаервол
- оключиться от интернета
tools - wipe/copy file - browse и находим файл C:\WINDOWS\System32\Drivers\Fko15.sys... - direct file content wiping - do opperation - закрыть программу.. - перезагрузится ...

Выполнить скрипт:
[CODE]
begin
SetAVZGuardStatus(True);
BC_DeleteFile('C:\WINDOWS\system32\Drivers\Fko15.sys');
BC_Activate;
end.[/CODE]
11.03.2008, 16:57
Alfonso

[quote=PavelA;200374]Скачать [URL]http://www.wasm.ru/baixado.php?mode=tool&id=392[/URL]

- отключить антивирус и фаервол
- оключиться от интернета
tools - wipe/copy file - browse и находим файл C:\WINDOWS\System32\Drivers\Fko15.sys... - direct file content wiping - do opperation - закрыть программу.. - перезагрузится ...

Выполнить скрипт:
[code]
begin
SetAVZGuardStatus(True);
BC_DeleteFile('C:\WINDOWS\system32\Drivers\Fko15.sys');
BC_Activate;
end.[/code][/quote]

Все еще живой зараза ...

З.Ы.
Зато теперь *.dll анти-вирус не видит, видик кое-что другое ... Я включил очередной раз анти-вирус и начал перезагружать комп ... и после нажатия на кнопку "перезагрузка" анти-вирус выдал еще что-то но имя разглядеть не успел :(
11.03.2008, 17:11
PavelA

Не-а. Он уже почти мертвый, раз виден в проводнике.

[CODE]begin
SetAVZGuardStatus(True);
BC_DeleteFile('C:\WINDOWS\system32\Drivers\Fko15.sys');
BC_Activate;
RebootWindows(true);
end.[/CODE]

Поспешил, забыл строчку о перезагрузке вставить.

После скрипта сделай лог из п.10 syscheck.
11.03.2008, 17:16
Alfonso

[quote=PavelA;200407]Не-а. Он уже почти мертвый, раз виден в проводнике.

[code]begin
SetAVZGuardStatus(True);
BC_DeleteFile('C:\WINDOWS\system32\Drivers\Fko15.sys');
BC_Activate;
RebootWindows(true);
end.[/code]

Поспешил, забыл строчку о перезагрузке вставить.

После скрипта сделай лог из п.10 syscheck.[/quote]

Щас попробуем, но он и до этого был виден ...
11.03.2008, 17:34
Alfonso

Вложений: 4

Смотрим ... на скринах таблички Windows, которые вылезают при загрузке системы. Они начали вылезать еще до того как я подцепил вирус. Еще такая же табличка с именем [B]pr2ajq4b.exe [/B]тоже появляется.

З.Ы.
Эти файлы sfrem'ы я видел в каком-то из логов ...

З.З.Ы.
sfrem01 и 02 Какие-то службы ...
11.03.2008, 17:57
V_Bond

выполните скрипт ....
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
BC_DeleteSvc('Fko15');
DeleteFile('C:\WINDOWS\System32\Drivers\Fko15.sys');
DeleteFile('WLCtrl32.dll');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
повторите ... virusinfo_syscheck.zip
11.03.2008, 18:10
Alfonso

Вложений: 1

Вроде бы все, нет файла Fko15 ...

[QUOTE]7. Эвристичеcкая проверка системы
>>> Обратите внимание - заблокирован диспетчер задач
>>> Обратите внимание - заблокирован редактор реестра[/QUOTE]

Что с этим делать ????
11.03.2008, 18:18
V_Bond

выполните скрипт ...
[code]
begin
ExecuteRepair(11);
ExecuteRepair(17);
RebootWindows(true);
end.
[/code]
больше ничего зловредного ...
11.03.2008, 18:28
PavelA

[QUOTE=Alfonso;200423]Смотрим ... на скринах таблички Windows, которые вылезают при загрузке системы. Они начали вылезать еще до того как я подцепил вирус. Еще такая же табличка с именем [B]pr2ajq4b.exe [/B]тоже появляется.

З.Ы.
Эти файлы sfrem'ы я видел в каком-то из логов ...
[/QUOTE]

Это драйвера защиты от установленных игрушек. Если игрушки уже снесены, то драйвера можно удалить. Раньше этим страдали диски от 1С.
11.03.2008, 18:29
Alfonso

[SIZE=-2]Служба: [URL="javascript:add_scr_s1("][COLOR=#0000ff]Стоп[/COLOR][/URL], [URL="javascript:add_scr_s2("][COLOR=#0000ff]Удалить[/COLOR][/URL], [URL="javascript:add_scr_s3("][COLOR=#0000ff]Отключить[/COLOR][/URL][/SIZE] Guild 2 Drivers Auto Removal (pr2ajq4b) Не запущен [COLOR=#800080]C:\WINDOWS\system32\pr2ajq4b.exe[/COLOR]
[SIZE=-2]Скрипт: [URL="javascript:add_scr_k("][COLOR=#0000ff]Kарантин[/COLOR][/URL], [URL="javascript:add_scr_d("][COLOR=#0000ff]Удалить[/COLOR][/URL], [URL="javascript:add_scr_db("][COLOR=#0000ff]Удалить через BC[/COLOR][/URL][/SIZE] pr2ajtsb
[SIZE=-2]Служба: [URL="javascript:add_scr_s1("][COLOR=#0000ff]Стоп[/COLOR][/URL], [URL="javascript:add_scr_s2("][COLOR=#0000ff]Удалить[/COLOR][/URL], [URL="javascript:add_scr_s3("][COLOR=#0000ff]Отключить[/COLOR][/URL][/SIZE] Stalker (Pro) Drivers Auto Removal (pr2ajtsb) Не запущен [COLOR=#800080]C:\WINDOWS\system32\pr2ajtsb.exe[/COLOR]
[SIZE=-2]Скрипт: [URL="javascript:add_scr_k("][COLOR=#0000ff]Kарантин[/COLOR][/URL], [URL="javascript:add_scr_d("][COLOR=#0000ff]Удалить[/COLOR][/URL], [URL="javascript:add_scr_db("][COLOR=#0000ff]Удалить через BC[/COLOR][/URL][/SIZE] pr2ajtsc
[SIZE=-2]Служба: [URL="javascript:add_scr_s1("][COLOR=#0000ff]Стоп[/COLOR][/URL], [URL="javascript:add_scr_s2("][COLOR=#0000ff]Удалить[/COLOR][/URL], [URL="javascript:add_scr_s3("][COLOR=#0000ff]Отключить[/COLOR][/URL][/SIZE] Stalker (Pro) Drivers Auto Removal (pr2ajtsc) Не запущен [COLOR=#800080]C:\WINDOWS\system32\pr2ajtsc.exe[/COLOR]
[SIZE=-2]Скрипт: [URL="javascript:add_scr_k("][COLOR=#0000ff]Kарантин[/COLOR][/URL], [URL="javascript:add_scr_d("][COLOR=#0000ff]Удалить[/COLOR][/URL], [URL="javascript:add_scr_db("][COLOR=#0000ff]Удалить через BC[/COLOR][/URL][/SIZE] sfrem01
[SIZE=-2]Служба: [URL="javascript:add_scr_s1("][COLOR=#0000ff]Стоп[/COLOR][/URL], [URL="javascript:add_scr_s2("][COLOR=#0000ff]Удалить[/COLOR][/URL], [URL="javascript:add_scr_s3("][COLOR=#0000ff]Отключить[/COLOR][/URL][/SIZE] SF FrontLine Drivers Auto Removal (v1) Не запущен [COLOR=#800080]C:\WINDOWS\system32\sfrem01.exe[/COLOR]
[SIZE=-2]Скрипт: [URL="javascript:add_scr_k("][COLOR=#0000ff]Kарантин[/COLOR][/URL], [URL="javascript:add_scr_d("][COLOR=#0000ff]Удалить[/COLOR][/URL], [URL="javascript:add_scr_db("][COLOR=#0000ff]Удалить через BC[/COLOR][/URL][/SIZE] sfrem02
[SIZE=-2]Служба: [URL="javascript:add_scr_s1("][COLOR=#0000ff]Стоп[/COLOR][/URL], [URL="javascript:add_scr_s2("][COLOR=#0000ff]Удалить[/COLOR][/URL], [URL="javascript:add_scr_s3("][COLOR=#0000ff]Отключить[/COLOR][/URL][/SIZE] FrontLine Drivers Auto Removal (v2) Не запущен [COLOR=#800080]C:\WINDOWS\system32\sfrem02.exe[/COLOR]
[SIZE=-2]Скрипт: [URL="javascript:add_scr_k("][COLOR=#0000ff]Kарантин[/COLOR][/URL], [URL="javascript:add_scr_d("][COLOR=#0000ff]Удалить[/COLOR][/URL], [URL="javascript:add_scr_db("][COLOR=#0000ff]Удалить через BC[/COLOR][/URL][/SIZE] SNDSrvc
[SIZE=-2]Служба: [URL="javascript:add_scr_s1("][COLOR=#0000ff]Стоп[/COLOR][/URL], [URL="javascript:add_scr_s2("][COLOR=#0000ff]Удалить[/COLOR][/URL], [URL="javascript:add_scr_s3("][COLOR=#0000ff]Отключить[/COLOR][/URL][/SIZE] Symantec Network Drivers Service Не запущен [COLOR=#800080]C:\Program Files\Common Files\Symantec Shared\SNDSrvc.exe[/COLOR]
[SIZE=-2]Скрипт: [URL="javascript:add_scr_k("][COLOR=#0000ff]Kарантин[/COLOR][/URL], [URL="javascript:add_scr_d("][COLOR=#0000ff]Удалить[/COLOR][/URL], [URL="javascript:add_scr_db("][COLOR=#0000ff]Удалить через BC[/COLOR][/URL][/SIZE]

Что с этими службами, сейчас после загрузки системы быстро зашел в диспетчер спалил их там, потом они сами выгрузились!! Что за службы такие? Видимо драйвера защиты от игр??
11.03.2008, 18:33
PavelA

Да, смотри я выше написал. :)

Последний, правда, от антивируса, его трогать не надо.
11.03.2008, 18:38
Alfonso

Все понял, всем спасибо за помощь! Будут вопросы - обращусь ...

З.Ы.

Игрушки еще установлены! :)