В ифрейме скачивается pdf и что-то запустилось

На зараженном сайте 8352.su в конце index.htm приписан код ифрейма, который ведет на другие ифреймы, в том числе с закодированным на скрипте адресом. Что в итоге: при заходе на этот сайт Оперой 9 и Firefox 1.5 у меня начал закачиваться автоматически файл pdf.pdf, закачку я прекратил, но открылось дос-окно, в котором что-то выполнилось и окно закрылось. Увидеть что выполнилось я не успел. При потворном заходе уже это окно не открывалось.
Что я подхватил ?
будет ли лечение в обновлениях avz ?
И еще, заметил сервис wmiprvse.exe, который то появляется, то исчезает. Он безопасный ?

[url]http://virusinfo.info/showthread.php?t=1235[/url]

Avz ничего не ловит.

Нам нужны логи...

Ок. Сейчас сделаю. Так ведь и на зараженном сайте можно посмотреть, что он всовывает ?

Сайты это не наша забота...

Сделал логи. ДР. Веб в краткой проверке ничего не нашел. Помимо того, что что-то запустилось в дос окне, меня беспокоит wmiprvse.exe, который то пояаляется, то исчезает из процессов.

Так что я подхватил ? Посмотите мои логи.

пофиксите ...
[code]
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - (no
file)
[/code]
выполните скрипт ...
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DelBHO('{86C510E9-97EF-4749-914F-0280247BE3A6}');
QuarantineFile('F:\WINDOWS\VirtualDNS.dll','');
DeleteFile('F:\WINDOWS\VirtualDNS.dll');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
пришлите карантин согласно приложения 3 правил ....
повторите логи ...

[QUOTE=V_Bond;260411]пофиксите ...
[code]
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - (no
file)
[/code][/QUOTE]

А как это пофиксить ?

Скрипт сейчас выполню.

[url=http://virusinfo.info/showthread.php?t=4491]Что значит "пофиксить с помощью HijackThis"?[/url]

Делаю Delete an NT Service 08B0E5C0-4FCB-11CF-AAA5-00401C608501
Он такой сервис не находит.
В списке процессов такой или похожей строчки тоже нет.
Как фиксить ?

какой сервис , кто говорил про сервис .... ?
нужно просто поставить галку напротив нужной строки и нажать Fix Checked ...

с помощью HijackThis" пофиксил. При выполнении скрипта выдает ошибку и в карантин ничего не помещается. А файла VirtualDNS.dll нет на диске.

[quote]1.5 Проверка обработчиков IRP
Проверка завершена
Ошибка карантина файла, попытка прямого чтения (F:\WINDOWS\VirtualDNS.dll)
Карантин с использованием прямого чтения - ошибка
Ошибка карантина файла, попытка прямого чтения (F:\WINDOWS\VirtualDNS.dll)
Карантин с использованием прямого чтения - ошибка
Удаление файла:F:\WINDOWS\VirtualDNS.dll
>>>Для удаления файла F:\WINDOWS\VirtualDNS.dll необходима перезагрузка[/quote]


Я вспомнил, что около года назад удалил этот файл, т.к. Антивирус его назвал трояном. Неужели он опять появился или это старые следы ?

PS Так что за вирус загружается на 8352.su ?

Сделал новые логи. И через regedit удалил все упоминания о virtualdns.dll
Файл VirtualDNS.dll так в карантине и не появился. поэтому приложить нечего.
Все у меня в порядке ?
Появляющийся и исчезающий процесс wmiprvse.exe безопасен ? что это ?

выполните скрипт ....
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteService('Schedule');
QuarantineFile('F:\WINDOWS\F:\WINDOWS\System32\svchost.exe','');
DeleteFile('F:\WINDOWS\F:\WINDOWS\System32\svchost.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
пришлите карантин согласно приложения 3 правил ...
повторите логи

F:\WINDOWS\F:\WINDOWS\System32\svchost.exe

может правильно F:\WINDOWS\System32\svchost.exe ?

делайте как написано и [U]без смолечения [/U]... а то систему свалите ....

Опять ошибку выдает. В карантин ничего не попало - высылать нечего. Делать логи снова ?

[quote]1.5 Проверка обработчиков IRP
Проверка завершена
Удаление службы/драйвера: Schedule
Ошибка карантина файла, попытка прямого чтения (F:\WINDOWS\F:\WINDOWS\System32\svchost.exe)
Карантин с использованием прямого чтения - ошибка
Ошибка карантина файла, попытка прямого чтения (F:\WINDOWS\F:\WINDOWS\System32\svchost.exe)
Карантин с использованием прямого чтения - ошибка
Удаление файла:F:\WINDOWS\F:\WINDOWS\System32\svchost.exe
>>>Для удаления файла F:\WINDOWS\F:\WINDOWS\System32\svchost.exe необходима перезагрузка[/quote]

[size="1"][color="#666686"][B][I]Добавлено через 8 минут[/I][/B][/color][/size]

Что мне делать ?

Выполните скрипт
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteService('Schedule');
BC_ImportDeletedList;
ExecuteSysClean;
BC_DeleteSvc('Schedule');
BC_Activate;
RebootWindows(true);
end.[/CODE]
Повторите логи.

[QUOTE=Rene-gad;260574]Выполните скрипт

Повторите логи.[/QUOTE]

Выполнил. Повторяю.

И еще, может это не имеет значение: у меня адсл через лан-модем, но кнопка на рабочем столе "подключение к локальной сети" перестала загораться синим цветом и остается бледно-серой, хотя подключение происходит.

В логах чисто, но это
[QUOTE]Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)[/QUOTE]
форменное безобразие. Обновить до Сервис Пак 3 немедленно.
[QUOTE=logos;260595]
И еще, может это не имеет значение: у меня адсл через лан-модем, но кнопка на рабочем столе "подключение к локальной сети" перестала загораться синим цветом и остается бледно-серой, хотя подключение происходит.[/QUOTE]
Проверьте какое именно подключение у Вас выведено в трей.

[QUOTE=Rene-gad;260597]В логах чисто, но это[/QUOTE]

А что у меня тогда запустилось с сайта 8352.su ? Явно что-то устанавливалось. Есть возможность такого заражения ?
И сервис wmiprvse.exe безопасный ?


[QUOTE=Rene-gad;260597]форменное безобразие. Обновить до Сервис Пак 3 немедленно.[/QUOTE]

А 2 сп перед 3 надо ставит ?
Так пиратская винда перестает работать без активации с 3 сервис паком. А Эксплорером я почти не пользуюсь. Опера и Firefox.

[QUOTE=Rene-gad;260597]Проверьте какое именно подключение у Вас выведено в трей.[/QUOTE]

Подключение через АДСЛ. Просто раньше подключение к локально сети (на самом деле к модему ADSL подключенному вместо локально сети) подсвечивалось, а теперь нет. Это важно ?

[QUOTE=logos;260601]А что у меня тогда запустилось с сайта 8352.su ? [/QUOTE]Сорри, но гадание - это не наш профиль. Мы можем только проанализировать логи. В них я ничего плохого, включая сервис wmiprvse.exe , не обнаружил.
[QUOTE]А 2 сп перед 3 надо ставит ?[/QUOTE]Нет.
[QUOTE]Так пиратская винда перестает работать без активации с 3 сервис паком.[/QUOTE] Активировать придется по новой -это верно. Но кряки - это опять таки не наш профиль.;)
[QUOTE]Подключение через АДСЛ. [/QUOTE]Я в общем хотел уточнить - это единственное подключение в списке сетевых подключений?

[QUOTE=Rene-gad;260603]Сорри, но гадание - это не наш профиль. Мы можем только проанализировать логи. В них я ничего плохого, включая сервис wmiprvse.exe , не обнаружил.[/QUOTE]
Я этот подозрительный УРЛ отправил создателю aVZ ччерез форму добавления подозрительных УРЛ. Могу я быть уверен, что его проверят и троян внесут в базу ?

[QUOTE=Rene-gad;260603]Я в общем хотел уточнить - это единственное подключение в списке сетевых подключений?[/QUOTE]

Да.

[QUOTE=logos;260612]Могу я быть уверен, что его проверят и троян внесут в базу ?[/QUOTE]В базу-то его внесут, но АВЗ не имеет такого монитора, который может заменить монитор антивируса. Поэтому здравйй смысл при гулянии по сети выключать нельзя ;)
Насчет сетевого подключения: Попробуйте отключить символ в трее, перегрузитесь и включите, предварительно выполните очистку значков в трее: [url]http://virusinfo.info/showthread.php?t=20712[/url]