amvo

Printable View

Показывать 40 сообщений этой темы на одной странице

29.03.2008, 21:07
alexsmf

amvo

help please
29.03.2008, 21:09
Alex Plutoff

[url]http://virusinfo.info/showthread.php?t=1235[/url]
29.03.2008, 21:16
alexsmf

сделал все по правилам, только не прикрепляются файлы к сообщению, выдает ошибку загрузки(
29.03.2008, 21:20
Alex Plutoff

-выложите всё в одном архиве на стороннем хостинге... ссылку сюда
29.03.2008, 21:58
alexsmf

вот логи
[url]http://ifolder.ru/5935962[/url]

[size="1"][color="#666686"][B][I]Добавлено через 33 минуты[/I][/B][/color][/size]

получилось скачать?
29.03.2008, 22:05
Alex Plutoff

-выполнить скрипт [code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True)
TerminateProcessByName('c:\windows\system32\cssrss.exe');
QuarantineFile('H:\jiwsxh39.exe','');
QuarantineFile('H:\autorun.inf','');
QuarantineFile('D:\jiwsxh39.exe','');
QuarantineFile('D:\autorun.inf','');
QuarantineFile('C:\jiwsxh39.exe','');
QuarantineFile('C:\autorun.inf','');
QuarantineFile('C:\WINNT\system32\runas.exe','');
QuarantineFile('C:\WINNT\system32\amvo1.dll','');
QuarantineFile('C:\WINNT\system32\cssrss.exe','');
QuarantineFile('C:\WINNT\system32\amvo.exe','');
QuarantineFile('C:\WINNT\system32\amvo0.dll','');
BC_QrFile('C:\WINNT\System32\Drivers\Tetri5.sys');
BC_DeleteFile('C:\WINNT\system32\amvo0.dll');
BC_DeleteFile('C:\WINNT\system32\amvo.exe');
BC_DeleteFile('C:\WINNT\system32\cssrss.exe');
BC_DeleteFile('C:\WINNT\system32\amvo1.dll');
BC_DeleteFile('C:\autorun.inf');
BC_DeleteFile('C:\jiwsxh39.exe');
BC_DeleteFile('D:\autorun.inf');
BC_DeleteFile('D:\jiwsxh39.exe');
BC_DeleteFile('H:\autorun.inf');
BC_DeleteFile('H:\jiwsxh39.exe');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code] ...карантин на [url]http://virusinfo.info/upload_virus.php?tid=20653[/url]

-[URL="http://virusinfo.info/showthread.php?t=4491"]пофиксить[/URL] в HijackThis строки
[code]O4 - HKLM\..\Run: [WMDM PMSP Service] C:\WINNT\system32\cssrss.exe
O4 - HKCU\..\Run: [amva] C:\WINNT\system32\amvo.exe[/code]
30.03.2008, 00:15
alexsmf

не выходит

Ошибка скрипта: ';' expected, позиция [4:2]

это может быть связано с вытаскиванием флешки?
30.03.2008, 00:26
Rene-gad

[QUOTE=alexsmf;208294]
Ошибка скрипта: ';' expected, позиция [4:2]
это может быть связано с вытаскиванием флешки?[/QUOTE]
нет, точку с запяотй вирусом смыло ;)
Подправил скрипт:
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
TerminateProcessByName('c:\windows\system32\cssrss.exe');
QuarantineFile('H:\jiwsxh39.exe','');
QuarantineFile('H:\autorun.inf','');
QuarantineFile('D:\jiwsxh39.exe','');
QuarantineFile('D:\autorun.inf','');
QuarantineFile('C:\jiwsxh39.exe','');
QuarantineFile('C:\autorun.inf','');
QuarantineFile('C:\WINNT\system32\runas.exe','');
QuarantineFile('C:\WINNT\system32\amvo1.dll','');
QuarantineFile('C:\WINNT\system32\cssrss.exe','');
QuarantineFile('C:\WINNT\system32\amvo.exe','');
QuarantineFile('C:\WINNT\system32\amvo0.dll','');
BC_QrFile('C:\WINNT\System32\Drivers\Tetri5.sys');
BC_DeleteFile('C:\WINNT\system32\amvo0.dll');
BC_DeleteFile('C:\WINNT\system32\amvo.exe');
BC_DeleteFile('C:\WINNT\system32\cssrss.exe');
BC_DeleteFile('C:\WINNT\system32\amvo1.dll');
BC_DeleteFile('C:\autorun.inf');
BC_DeleteFile('C:\jiwsxh39.exe');
BC_DeleteFile('D:\autorun.inf');
BC_DeleteFile('D:\jiwsxh39.exe');
BC_DeleteFile('H:\autorun.inf');
BC_DeleteFile('H:\jiwsxh39.exe');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]
30.03.2008, 00:51
alexsmf

Сделано, прислано, пофикшино.

что дальше?
30.03.2008, 00:56
Rene-gad

[QUOTE=alexsmf;208310]Сделано, прислано, пофикшино.[/QUOTE]Ну и зоопарк насобирали - во всех 9 фалах - [B]Trojan-PSW.Win32.OnLineGames.yoi[/B] ! Логи повторите
30.03.2008, 11:45
alexsmf

Вложений: 3

откуда только они берутся(

вот новые логи.
30.03.2008, 11:54
Гриша

[URL="http://virusinfo.info/showthread.php?t=7239"]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".[/URL]

[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\WINNT\system32\amvo0.dll');
DeleteFile('C:\WINNT\system32\amvo.exe');
DeleteFile('C:\WINNT\system32\amvo1.dll');
DeleteFile('C:\autorun.inf');
DeleteFile('C:\WINNT\system32\cssrss.exe');
DeleteFile('C:\jiwsxh39.exe');
DeleteFile('D:\autorun.inf');
DeleteFile('D:\jiwsxh39.exe');
DeleteFile('H:\autorun.inf');
DeleteFile('H:\jiwsxh39.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
ExecuteRepair(6 );
ExecuteRepair(8 );
RegKeyIntParamWrite( 'HKLM', 'SOFTWARE\Microsoft\Windows\CurrentVersion\policies\NonEnum', '{BDEADF00-C265-11D0-BCED-00A0C90AB50F}', 1);
RebootWindows(true);
end.[/CODE]

После выполнения скрипта компьютер перезагрузится.

AVZ => Файл => Мастер поиска и устранения проблем. Категория проблемы - поставьте "Системные проблемы", степень опасности - "Все проблемы". Нажмите "Пуск". Всё найденное следует пометить и пофиксить. Данную операцию повторить для категории "Настройки и твики браузера".

Повторите логи.
30.03.2008, 12:19
alexsmf

Вложений: 3

принимайте
30.03.2008, 12:39
Гриша

[URL="http://virusinfo.info/showthread.php?t=7239"]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".[/URL]

[CODE]begin
ClearQuarantine;
QuarantineFile(' C:\WINNT\system32\runas.exe ',' ');
end.[/CODE]

Карантин пришлите согласно приложению 3 правил.
30.03.2008, 19:07
alexsmf

в меню файл - просмотр карантина - папка от сегодня - пусто

[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]

скрытые файлы вижу. значит ли это что вирус побежден?
30.03.2008, 20:18
akok

Запустите поиск через AVZ
[quote]скрытые файлы вижу. значит ли это что вирус побежден?[/quote]
Похоже, но необходимо убедиться
30.03.2008, 23:29
alexsmf

Простите, а что собственно искать?
31.03.2008, 00:16
akok

:)

Ищите при помощи AVZ [b]runas.exe[/b] и пришлите по правилам на иследование.
31.03.2008, 20:17
alexsmf

пишет: Ошибка карантина файла, попытка прямого чтения (runas.exe)
Карантин с использованием прямого чтения - ошибка

карантин пуст.
31.03.2008, 21:03
Alex Plutoff

-а если такой[code]begin
BC_QrFile('C:\WINNT\system32\runas.exe');
BC_ImportQuarantineList
BC_Activate;
RebootWindows(true);
end.[/code]
31.03.2008, 21:50
alexsmf

Так получилось, высылаю.

PS точку с запяотй вирусом смыло (c)
31.03.2008, 23:13
Alex Plutoff

[quote=alexsmf;208938]Так получилось, высылаю.[/quote]-получилось, да не так... т.е. сам карантин то есть, но вот содержимого runas.exe в нем нет... ведь єтот скрипт даже C:\WINDOWS\explorer.exe в карантин помещает... ну, а это значит одно из двух, - либо runas.exe
уже нет по указанному адресу, либо он очень хорошо защищается от AVZ

[quote=alexsmf;208938] PS точку с запяотй вирусом смыло (c)[/quote]-пепел между клавиш попал (С) :)
31.03.2008, 23:18
alexsmf

в папке C:\WINNT\system32 есть runas.exe (
01.04.2008, 00:19
Rene-gad

[QUOTE=alexsmf;208979]в папке C:\WINNT\system32 есть runas.exe ([/QUOTE]
так поместите же его в карантин ([URL="http://virusinfo.info/showthread.php?t=1235"]Правила Приложение 2[/URL]) и закачайте его ([URL="http://virusinfo.info/showthread.php?t=1235"]Правила Приложение 3[/URL])
01.04.2008, 11:51
alexsmf

ситуация следующая:
поместить в карантин runas.exe получается только выполнив последний скрипт, выслал его вам.
в папке system32 он до сих пор есть.
01.04.2008, 12:01
Rene-gad

[QUOTE=alexsmf;209125]поместить в карантин runas.exe получается только выполнив последний скрипт, выслал его вам.
.[/QUOTE]
Файл в карантин не попал, попал только *.ini. Скопируйте файл куда-нибудь (напр. на десктоп) и закачайте согласно приложениям 2 и 3 Правил.
01.04.2008, 13:04
alexsmf

закачал файл runas.exe в архиве
01.04.2008, 13:11
Rene-gad

[QUOTE=alexsmf;209155]закачал файл runas.exe в архиве[/QUOTE]Чистый он, оригинальный от Мелкомягких. Еще какие-то проблемы есть?
01.04.2008, 20:34
alexsmf

к сожалению да, amvo не изчез, опять не вижу скрытых файлов((
наверное все флешки были заражены. щас протестю антивирусом еще разок

как защитить комп от вируса на флешке?
01.04.2008, 20:53
V_Bond

[url]http://virusinfo.info/showthread.php?t=20291[/url]
01.04.2008, 23:36
alexsmf

Вложений: 3

еще раз выполнил первоначальные действия, вот логи.
01.04.2008, 23:45
wise-wistful

Выполните в АВЗ
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\DOCUME~1\User\LOCALS~1\Temp\SANDRA.sys','');
RegKeyDel('HKLM','SOFTWARE\Microsoft\Code Store Database\Distribution Units\{33331111-1131-1111-1111-611111193428}');
RegKeyDel('HKLM','SOFTWARE\Microsoft\Code Store Database\Distribution Units\{33331111-1111-1111-1111-615111193427}');
RegKeyDel('HKLM','SOFTWARE\Microsoft\Code Store Database\Distribution Units\{33331111-1111-1111-1111-611111193429}');
RegKeyDel('HKLM','SOFTWARE\Microsoft\Code Store Database\Distribution Units\{33331111-1111-1111-1111-611111193423}');
QuarantineFile('C:\mvxm.cmd','');
QuarantineFile('C:\autorun.inf','');
QuarantineFile('C:\WINNT\system32\amvo1.dll','');
QuarantineFile('C:\WINNT\system32\amvo0.dll','');
QuarantineFile('C:\WINNT\system32\amvo.exe','');
DeleteFile('C:\WINNT\system32\amvo.exe');
DeleteFile('C:\WINNT\system32\amvo0.dll');
DeleteFile('C:\WINNT\system32\amvo1.dll');
DeleteFile('C:\autorun.inf');
DeleteFile('C:\mvxm.cmd');
DeleteFile('D:\autorun.inf');
DeleteFile('D:\mvxm.cmd');
DeleteFile('G:\autorun.inf');
DeleteFile('G:\mvxm.cmd');
DeleteFile('H:\autorun.inf');
DeleteFile('H:\mvxm.cmd');
BC_ImportAll;
ExecuteSysClean;
ExecuteRepair(6);
ExecuteRepair(8);
BC_Activate;
RebootWindows(true);
end.[/code]
Загрузите карантин согласно приложения 3 правил.
Повторите логи.
02.04.2008, 00:04
alexsmf

Вложений: 3

новые логи
02.04.2008, 00:11
Rene-gad

[QUOTE=alexsmf;209380]как защитить комп от вируса на флешке?[/QUOTE]запуститесь с Линукса-Live-CD (Knoppix, Mandriva etc.) и форматните все Ваши флешки под FAT32. Предварительно Вы можете перенести важную информацию напр. на компактдиск или чистую флешку.
02.04.2008, 00:15
alexsmf

[quote=Rene-gad;209472]запуститесь с Линукса-Live-CD (Knoppix, Mandriva etc.) [/quote]
простите за безграмотность, это как?
02.04.2008, 00:22
wise-wistful

SANDRA.sys - это Вам знакомо? Остальных удалили. Кстати все новые. Вы отключали автозапуск с флешек?
02.04.2008, 00:25
Rene-gad

[QUOTE=alexsmf;209474]простите за безграмотность, это как?[/QUOTE]скачиваем ISO-файл дистрибутива [url]http://www.knopper.net/knoppix-mirrors/index-en.html[/url] или [url]http://cgi.zdnet.de/c/?s=32&t=http%3A%2F%2Fwww.zdnet.de%2Fdownloads%2Fprg%2Fe%2Fn%2FdeVCEN_is-wc.html[/url] - язык системы можно выбрать при запуске, делаем компакт диск, вставляем в CD-драйв, перегружаемся, грузимся с CD, оказываемся в Линуксе, который этих зверей не боится.
Делаем , что надо, перегружаем ПК, загрузку с компактдиска не производим При этом запускается Винда, как обычно.
[QUOTE=wise-wistful;209479]SANDRA.sys - это Вам знакомо? [/QUOTE]
Угу, знакомо ;)
[url]http://www.softwaretipsandtricks.com/sys/1148-Sandrasys.html[/url]
02.04.2008, 00:35
alexsmf

sandra.sys не знакомо
не отключал, я их пока никуда в другие места не вставлял, они щас подключены к компу и тоже лечатся))

sandra.sys это вроде тест, или я ошибаюсь?

[size="1"][color="#666686"][B][I]Добавлено через 9 минут[/I][/B][/color][/size]

можно ли теперь считать вирус побежденным?
02.04.2008, 09:47
wise-wistful

Я же говорил, то врагов в логах нет. Как система поживает?
03.04.2008, 19:08
alexsmf

Спасибо, ребята! Все хорошо!!!

Показывать 40 сообщений этой темы на одной странице