Printable View
Вчера поймал этого троянчика, не получается ничего сделать. Касперский не лечит и страшно тормозит. В итоге удаляет его, но после ребута он появляется снова. Если не успеть за несколько секунд залезть в C:\WINDOWS\file.bat и удалить его, то комп виснет.. после удаления вручную появляется возможность даже зайти в интернет, до этого же попытки были тщетны. Установить DrWeb не удалось, выполнил проверку касперским.
Спасибо.
Пофиксите в HijackThis:
[code]
F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,C:\WINDOWS\system32\twext.exe,
O2 - BHO: Rmn plugin - {D21D9540-6415-4288-BDD0-4453088D9D38} - pns32.dll (file missing)
O4 - HKLM\..\Policies\Explorer\Run: [services] C:\WINDOWS\services.exe
O20 - Winlogon Notify: pcixmm - pcixmm.dll (file missing)
O20 - Winlogon Notify: subsys - subsys.dll (file missing)
[/code]
Выполните скрипт в AVZ:
[code]
begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('pns32.dll','');
QuarantineFile('subsys.dll','');
QuarantineFile('pcixmm.dll','');
QuarantineFile('C:\WINDOWS\system32\twext.exe','');
QuarantineFile('C:\WINDOWS\system32\drivers\srtqnsqt.sys','');
QuarantineFile('C:\WINDOWS\system32\drivers\oreans32.sys','');
QuarantineFile('C:\WINDOWS\services.exe','');
DeleteFile('C:\WINDOWS\services.exe');
DeleteFile('C:\WINDOWS\system32\drivers\oreans32.sys');
DeleteFile('C:\WINDOWS\system32\drivers\srtqnsqt.sys');
DeleteFile('C:\WINDOWS\system32\twext.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]
Компьютер перезагрузится.
Пришлите карантин согласно приложению 2 правил
(загружать тут: [url]http://virusinfo.info/upload_virus.php?tid=30779[/url]).
Сделайте новые логи (только п.2 и 3 раздела Диагностика).
Я сейчас вообще без антивируса, Касперского отключил совсем. Он не даёт даже папку открыть. Хотя и не находит больше тот вирус. А я его нахожу вручную по прежнему. В общем что-то не так явно. Высылаю то, что вы просили. Карантин тоже отправил
Пофиксите в HijackThis:
[code]
F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,C:\WINDOWS\system32\twext.exe,
O4 - HKLM\..\Run: [BLGELOLO] %systemroot%\BLGELOLO.exe
[/code]
Выполните скрипт в AVZ:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
ClearQuarantine;
QuarantineFile('C:\WINDOWS\system32\drivers\ssotqsqr.sys','');
DeleteFile('C:\WINDOWS\system32\drivers\ssotqsqr.sys');
DeleteFile('C:\WINDOWS\system32\twext.exe');
DeleteFile('C:\WINDOWS\BLGELOLO.exe');
BC_ImportALL;
BC_DeleteSvc('ssotqsqr');
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]
Компьютер перезагрузится.
Пришлите новый карантин согласно приложению 2 правил
(если будет не пуст).
Сделайте новые логи (только п.2 и 3 раздела Диагностика).
Долго выполняется сбор данных о карантине, около 2-х часов.
Ничего плохого.
Удалите Bonjour - в Чаво есть руководство.
Установите Сервис Пак 3, возможно потребуется активация системы.
Вы большие молодцы. Даже Касперский теперь не грузит систему как раньше:) На WM было немножко денюшек, хотел вас поблагодарить..а кипер ругается(((
[quote]На вашем компьютере обнаружены потенциально опасные программы (AdWare, SpyWare и т.д.). Функционирование кипера невозможно. Удалите опасные программы или используйте другие версии.[/quote]
Как с этим бороться? я таких программ не ставил(
Кипер переустановите.
Ставил даже ранние версии - не помогает.
[QUOTE=S_n_a_k_e;288417]Ставил даже ранние версии - не помогает.[/QUOTE]Проверьте систему антивирусом со свежими баэами. Еще есть такая дурноватая прога, но кое-что находит: Malwarebytes Antimalware.
Да проверял же сегодня. Просто видите ли в чём дело.. получается это софт какой-то вредный установлен. Я даже о таких программах ничего не слышал. Попробую тем, что вы предложили.
Зы. Запустил, посмотрим что получится:)
вот лог Malwarebytes Antimalware.
Чего-то она понаписала там,выполните проверку CureIT...
Проверку CureITом выполнял вчера. Мне посоветовал Rene-gad эту программу, вот я выложил лог.
Скачайте [URL="http://virusinfo.info/showthread.php?t=17109"]IceSword [/URL], поищите и скопируйте файлы:
[CODE]QuarantineFile('C:\WINDOWS\system32\WinNt32.dll
QuarantineFile('C:\WINDOWS\system32\WinNt32.bak
QuarantineFile('C:\WINDOWS\system32\WinNt32.dl_
[/CODE]
Скопированные с помощью IceSword файлы сохраните в карантине ..avz\quarantine
Потом удалите их с помощью [URL="http://virusinfo.info/showthread.php?t=17228"]force delete[/URL]
Если Вы какие-то файлы не обнаружите - переходите к следующему шагу.
Выполните скрипт в AVZ:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
ClearQuarantine;
QuarantineFile('C:\WINDOWS\system32\twain_32\local.ds','');
QuarantineFile('C:\WINDOWS\system32\twain_32\user.ds','');
QuarantineFile('C:\WINDOWS\system32\basebjl32.dll','');
QuarantineFile('C:\WINDOWS\system32\basexmt32.dll','');
QuarantineFile('C:\WINDOWS\system32\WinNt32.dll','');
QuarantineFile('C:\WINDOWS\system32\baseopbl32.dll','');
QuarantineFile('C:\WINDOWS\system32\basepfev32.dll','');
QuarantineFile('C:\WINDOWS\system32\cs.dat','');
QuarantineFile('C:\WINDOWS\system32\rc.dat','');
QuarantineFile('C:\WINDOWS\system32\ps1.dat','');
QuarantineFile('C:\WINDOWS\system32\alog.txt','');
QuarantineFile('C:\WINDOWS\system32\wininet.exe','');
DeleteFile('C:\WINDOWS\system32\twain_32\local.ds');
DeleteFile('C:\WINDOWS\system32\twain_32\user.ds');
DeleteFile('C:\WINDOWS\system32\basebjl32.dll');
DeleteFile('C:\WINDOWS\system32\basexmt32.dll');
DeleteFile('C:\WINDOWS\system32\WinNt32.dll');
DeleteFile('C:\WINDOWS\system32\baseopbl32.dll');
DeleteFile('C:\WINDOWS\system32\basepfev32.dll');
DeleteFile('C:\WINDOWS\system32\cs.dat');
DeleteFile('C:\WINDOWS\system32\rc.dat');
DeleteFile('C:\WINDOWS\system32\ps1.dat');
DeleteFile('C:\WINDOWS\system32\alog.txt');
DeleteFile('C:\WINDOWS\system32\wininet.exe');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]
Пришлите новый карантин согласно приложению 2 правил
(если будет не пуст).
Сделайте новые логи.
Сделал. Отправил карантин. Простите, а логи после проверки какой программой?
Имелись в виду логи AVZ и HJT
Карантин высылал ранее.
А почему в АВЗ опять базы от 06.04.08? :O
Переделать.
И лог Малваребайтс тоже прилепите.
Готово
Ничего плохого не видно.
Сервис пак 3 поставьте, возможно потребуется активация системы.
Спасибо! а обязательно? я помню как-то ставил, были определённые проблемы с выходом в сеть
[QUOTE=S_n_a_k_e;289506]я помню как-то ставил, были определённые проблемы с выходом в сеть[/QUOTE]Сервис Пак как правило не виноват в проблемах. Ну а если не поставите, то дадите хорошую возможность для нехороших ребят, использовать Ваш комп в своих целях 8)
Благодарю! за всё
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]3[/B][*]Обработано файлов: [B]41[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\windows\\system32\\basebjl32.dll - [B]Trojan.Win32.Agent.aeua[/B] (DrWEB: Trojan.Okuks.43)[*] c:\\windows\\system32\\baseopbl32.dll - [B]Trojan.Win32.Agent.aeub[/B] (DrWEB: Trojan.Okuks.49)[*] c:\\windows\\system32\\basepfev32.dll - [B]Trojan.Win32.Agent.aeuc[/B] (DrWEB: Trojan.Okuks.44)[*] c:\\windows\\system32\\basexmt32.dll - [B]Trojan.Win32.Agent.aety[/B] (DrWEB: Trojan.Okuks.53)[*] c:\\windows\\system32\\drivers\\ssotqsqr.sys - [B]Trojan.Win32.Pakes.kpe[/B] (DrWEB: Trojan.Sentinel.based)[*] c:\\windows\\system32\\twext.exe - [B]Trojan-Spy.Win32.Zbot.fah[/B] (DrWEB: Trojan.PWS.Panda.18)[*] c:\\windows\\system32\\wininet.exe - [B]Trojan.Win32.Pakes.ked[/B] (DrWEB: BackDoor.Dld.1180)[*] c:\\windows\\system32\\winnt32.dll - [B]Trojan-Downloader.Win32.Mutant.xd[/B] (DrWEB: Trojan.DownLoader.59773)[*] \\quarantine\\winnt32 - [B]Trojan-Downloader.Win32.Mutant.xd[/B] (DrWEB: Trojan.DownLoader.59773)[/LIST][/LIST]