Лечил WLCtrl32 как написано. Плз гляньте на рез-т

Printable View

26.03.2008, 16:00
iog-bach

Вложений: 3

Лечил WLCtrl32 как написано. Плз гляньте на рез-т

Лечил WLCtrl32 как написано. Плз гляньте на рез-т
Логи приложил.
Опасаюсь, что не долечил :)

Было: Xej73.sys и WLCtrl32.DLL
Лечил, как написано в [URL]http://virusinfo.info/showthread.php?t=18618&highlight=txb60[/URL] (поменял txb60 на xej73)

Не понятно, что убивает команда BC_DeleteSvc('Chk04') .. возможно у меня chk04 называется по-другому..

На следующий день после лечения при получении первого лога (лечение/карантин) был Access Violation. Оторвал провод от сетевой карты, запустил снова - все прошло Ок.

Спасибо.
26.03.2008, 16:01
Rene-gad

[QUOTE=iog-bach;206983]Лечил WLCtrl32 как написано.[/QUOTE]Вы Правила читали? :rtfm:
[QUOTE]У нас запрещено выполнять скрипты написанные для других! Каждый случай уникален.Вы можете тем самым нанести не поправимый вред вашему компьютеру и нашему сервису.
За последствия, наступившие в случае невыполнения данного пункта, портал Virusinfo ответственности не несёт![/QUOTE]
Пофиксите
[CODE]O2 - BHO: cj helper - {F10587E9-0E47-4CBE-84AE-7DD20B8684BB} - C:\Program Files\IE Extensions\cj.v2.dll
O16 - DPF: {2AF0C7B1-9389-11D8-869A-0020ED529CEE} (HTTPFileCtl Class) - http://servw0:17300/RSPortal/StartHTML/HTTPFile.cab
O22 - SharedTaskScheduler: App reset - {A25849C4-93F3-429D-FF34-260A2068897C} - (no file)[/CODE]
Выполните скрипт
[CODE]begin
SetAVZGuardStatus(True);
SearchRootkit(true, true);
QuarantineFile('C:\WINDOWS\system32\vpnapi.dll','');
QuarantineFile('C:\WINDOWS\system32\Drivers\FE250.sys','');
QuarantineFile('C:\WINDOWS\system32\drivers\grande48.sys','');
QuarantineFile('C:\Documents and Settings\LocalService\Local Settings\Application Data\explores.exe','');
QuarantineFile('C:\WINDOWS\Installer\{b92bd029-d955-4ca8-8e0c-26073eaf1fa8}\zip.dll','');
QuarantineFile('C:\WINDOWS\Installer\{e4b496d3-0caf-4400-947d-a6f9cda12054}\RamService.dll','');
QuarantineFile('C:\WINDOWS\system32\drivers\winupdat.exe','');
QuarantineFile('C:\Program Files\IE Extensions\cj.v2.dll','');
DelBHO('{F10587E9-0E47-4CBE-84AE-7DD20B8684BB}');
QuarantineFile('C:\WINDOWS\DOWNLO~1\HTTPFile.dll','');
QuarantineFile('C:\WINDOWS\Downloaded Program Files\ieatgpc.dll','');
BC_ImportQuarantineList;
BC_Activate;
RebootWindows(true);
end.[/CODE]
После ребута закачайте карантин и повторите логи.
26.03.2008, 16:09
iog-bach

Сорри.. читал невнимательно :(
26.03.2008, 16:33
kps

После того, как загрузите карантин, выполните еще такой [url=http://virusinfo.info/showthread.php?t=7239]скрипт в AVZ[/url]:
[code]begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DelBHO('{2EAF5BB2-070F-11D3-9307-00C04FAE2D4F}');
DelBHO('{2EAF5BB1-070F-11D3-9307-00C04FAE2D4F}');
QuarantineFile('C:\WINDOWS\Help\oqtxde.chm','');
QuarantineFile('C:\WINDOWS\Explorer.EXE','');
BC_ImportQuarantineList;
BC_QrSvc('oqtxde');
BC_Activate;
RebootWindows(true);
end.[/code]

Компьютер перезагрузится.

Пришлите карантин согласно приложению №3 [url=http://virusinfo.info/showthread.php?t=1235]правил[/url] (загружать здесь: [url]http://virusinfo.info/upload_virus.php?tid=20463[/url] ).
26.03.2008, 18:03
iog-bach

Вложений: 2

Отправил карантин после 1-го скрипта и повторил логи, которые аттачу.
Кажется sys_cure не смог приаттачиться..

Сейчас буду делать 2-й скрипт .. после него отправлю еще карантин и логи.

Спасибо.
26.03.2008, 19:15
iog-bach

Вложений: 3

1. Отправил карантин после 2-го скрипта. Архив делал через AVZ..не понятно где вставлять пароль virus
2. Логи после 2-го скрипта.
26.03.2008, 19:50
PavelA

AVZ сам вставляет пароль.
26.03.2008, 20:28
Rene-gad

Пофиксите
[CODE] O20 - AppInit_DLLs:[/CODE]
Выполните скрипт
[CODE]begin
SetAVZGuardStatus(True);
SearchRootkit(true, true);
StopService('oqtxde');
DeleteFile('C:\WINDOWS\Help\oqtxde.chm');
DeleteService('oqtxde');
BC_ImportDeletedList;
BC_Activate;
RebootWindows(true);
end.[/CODE]
После ребута повторите логи.
26.03.2008, 21:20
iog-bach

Закачал карантин. Запустил скрипты для логов.
26.03.2008, 21:51
Rene-gad

[QUOTE=iog-bach;207101]Закачал карантин.[/QUOTE]Сорри, про карантин я был не прав :) А логи ждем-с...
26.03.2008, 22:10
iog-bach

Вложений: 3

Вот и логи
сорри, что так долго.. пока AVZ папку с дистр просмотрит..
1. Был Access Violation на runscan
2. После того, как закончил делать логи включил Symantec и только потом броузер.
Получил сообщение:

Осмотр: Auto-Protect
Событие: Обнаружена угроза!
Угроза: Trojan Horse
Файл: C:\WINDOWS\system32\Drivers\vdeznza5.sys
Путь: Изолировать
Компьютер: C-OBER0AU
Пользователь:
Действие: Изолировать удалось: Доступ закрыт
Дата обнаружения: 26 марта 2008 г. 22:02:34
26.03.2008, 22:40
V_Bond

C:\WINDOWS\Explorer.EXE,C:\WINDOWS\Downloaded Program Files\ieatgpc.dll - чистые ...

попробуйте поискать через авз - сервис - поиск файлов на диске .....
1 C:\WINDOWS\system32\drivers\grande48.sys,
2C:\Documents and Settings\LocalService\Local Settings\Application Data\explores.exe,
3 С:\WINDOWS\Installer\{b92bd029-d955-4ca8-8e0c-26073eaf1fa8}\zip.dll ,
4 C:\WINDOWS\Installer\{e4b496d3-0caf-4400-947d-a6f9cda12054}\RamService.dll
если найдутся ... пришлите согласно приложения 3 правил ...
26.03.2008, 22:56
akok

vdeznza5.sys - драйвер AVZ
[url=http://virusinfo.info/showthread.php?t=7239]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".[/url]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
SetServiceStart('FE250', 4);
BC_DeleteSvc('FE250');
SetServiceStart('oqtxde', 4);
SetServiceStart('grande48', 4);
StopService('grande48');
StopService('oqtxde');
QuarantineFile('C:\WINDOWS\system32\drivers\winupdat.exe','');
QuarantineFile('C:\Documents and Settings\LocalService\Local Settings\Application Data\explores.exe','');
QuarantineFile('C:\WINDOWS\Installer\{e4b496d3-0caf-4400-947d-a6f9cda12054}\RamService.dll','');
QuarantineFile('C:\WINDOWS\Installer\{b92bd029-d955-4ca8-8e0c-26073eaf1fa8}\zip.dll','');
QuarantineFile('C:\WINDOWS\system32\drivers\grande48.sys','');
QuarantineFile('C:\WINDOWS\Help\oqtxde.chm','');
QuarantineFile('C:\WINDOWS\system32\Drivers\FE250.sys','');
DeleteFile('C:\WINDOWS\system32\Drivers\FE250.sys');
DeleteFile('C:\WINDOWS\Help\oqtxde.chm');
DeleteFile('C:\WINDOWS\system32\drivers\grande48.sys');
DeleteFile('C:\WINDOWS\Installer\{b92bd029-d955-4ca8-8e0c-26073eaf1fa8}\zip.dll');
DeleteFile('C:\WINDOWS\Installer\{e4b496d3-0caf-4400-947d-a6f9cda12054}\RamService.dll');
DeleteFile('C:\Documents and Settings\LocalService\Local Settings\Application Data\explores.exe');
DeleteService('grande48');
DeleteService('oqtxde');
BC_ImportALL;
BC_Activate;
ExecuteSysClean;
RebootWindows(true);
end.[/CODE]
После выполнения скрипта компьютер перезагрузится.
Прислать карантин согласно [b]приложения 3 [url=http://virusinfo.info/showthread.php?t=1235]правил [/url][/b].
Загружать по ссылке: [url]http://virusinfo.info/upload_virus.php?tid=20463[/url]

Повторите логи
26.03.2008, 23:28
iog-bach

Карантин отправил. Запустил скрипт для логов. (думаю через час будут готовы)..

а если этот FE250 будет инфицирован, нужно будет новый переустановить? (он от LG mp3 плейра USBшный драйвер)?

[size="1"][color="#666686"][B][I]Добавлено через 16 минут[/I][/B][/color][/size]

Зашел в безопасном режиме и получил более правильный карантин. Загружаю файл virus4.zip
27.03.2008, 00:56
iog-bach

Вложений: 3

Вот и логи.

наиболее содержательный карантин послан по праилу 3 в файле virus4.zip

Спасибо
27.03.2008, 01:04
wise-wistful

[b]winupdat.exe[/b] - поищите при помощи АВЗ-сервис--поиск файлов на диске и пришлите согласно приложения 2 правил
27.03.2008, 01:14
iog-bach

он должен быть в карантине virus4.zip как bcqr00001.dat И bcqr00002.dat, но я поищу еще

[size="1"][color="#666686"][B][I]Добавлено через 4 минуты[/I][/B][/color][/size]

поиск по диску С (за искл папки где дистриб виндовс) результатов не дал. Просмотрено 30266, найдено 0
Искал winu*
27.03.2008, 09:14
V_Bond

повторите логи ...
28.03.2008, 19:26
iog-bach

Вложений: 3

Сорри.. раньше прийти не мог. :(
Вот логи.
28.03.2008, 21:02
V_Bond

выполните скрипт ...
[code]
begin
DeleteFile('C:\WINDOWS\system32\drivers\winupdat.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
повторите логи начиная с пункта 10 правил ...
28.03.2008, 21:35
iog-bach

Вложений: 2

Логи с п.10
28.03.2008, 21:39
Гриша

Чисто,жалобы есть?

AVZ => Файл => Мастер поиска и устранения проблем. Категория проблемы - поставьте "Системные проблемы", степень опасности - "Все проблемы". Нажмите "Пуск". Всё найденное следует пометить и пофиксить. Данную операцию повторить для категории "Настройки и твики браузера".

Решите свои проблемы.
28.03.2008, 23:30
iog-bach

Нет, жалоб нет
Спасибо за помощь и за то, что вы, ребята, есть!
29.03.2008, 00:12
kps

Нам интересно [url=http://virusinfo.info/showthread.php?t=19883]Ваше мнение[/url] о нашем ресурсе. Будем очень благодарны за отзыв, он может помочь нам улучшить ресурс.

Советуем прочитать электронную [url=http://security-advisory.virusinfo.info/]книгу[/url] "Безопасный Интернет. Универсальная защита для Windows ME - Vista".
22.02.2009, 04:35
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]5[/B][*]Обработано файлов: [B]28[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]