Printable View
[FONT=Times New Roman][SIZE=3]Приболел, отличил Касперским, порядка 100 файлов, решил, что все нормально. [/SIZE][/FONT]
[FONT=Times New Roman][SIZE=3]А сейчас у меня прямо на рабочем столе что-то живет а именно: через каждые 3-5 минут на рабочем столе появляется «произвольная цифра или буква».tmp фаил, а время от времени появляется и исчезает 1.exe фаил. [/SIZE][/FONT]
1.[url=http://virusinfo.info/showthread.php?t=7239]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".[/url]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
ClearQuarantine;
DelCLSID('08B0E5C0-4FCB-11CF-AAX5-00401C608512');
QuarantineFile('C:\WINDOWS\system32\drivers\services.exe','');
QuarantineFile('C:\Documents and Settings\Admin\svchost.exe','');
DeleteService('Microsoft Memory Driver');
QuarantineFile('C:\RECYCLER\S-1-5-21-1482476501-1644491937-682003330-1015\svchost.exe','');
DeleteFile('C:\RECYCLER\S-1-5-21-1482476501-1644491937-682003330-1015\svchost.exe');
DeleteFile('C:\Documents and Settings\Admin\svchost.exe');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]
После выполнения скрипта компьютер перезагрузится.
Прислать карантин согласно [b]приложения 3 [url=http://virusinfo.info/showthread.php?t=1235]правил [/url][/b].
Загружать по ссылке: [url]http://virusinfo.info/upload_virus.php?tid=31183[/url]
2.Пофиксить в HijackThis следующие строчки ( [url]http://virusinfo.info/showthread.php?t=4491[/url] )
[CODE]O2 - BHO: (no name) - AutorunsDisabled - (no file) [/CODE]
Повторите логи
[quote=wise-wistful;290939]1.[URL="http://virusinfo.info/showthread.php?t=7239"]AVZ, меню "Файл - Выполнить скрипт" [/URL]После выполнения скрипта компьютер перезагрузится.
[/quote]
Сделал
[quote=wise-wistful;290939]
Прислать карантин согласно [B]приложения 3 [URL="http://virusinfo.info/showthread.php?t=1235"]правил [/URL][/B].
Загружать по ссылке: [URL]http://virusinfo.info/upload_virus.php?tid=31183[/URL]
[/quote]
Сделал, последний карантин был пустым, оправил предпоследний.
[quote=wise-wistful;290939]
2.Пофиксить в HijackThis следующие строчки ( [URL]http://virusinfo.info/showthread.php?t=4491[/URL] )
[code]O2 - BHO: (no name) - AutorunsDisabled - (no file) [/code]
[/quote]
Сделал
[quote=wise-wistful;290939]
Повторите логи[/quote]
Сделал
Фаил 1.ехе появился в каталогах AVZ
Отключите Восстановление системы.
1.[url=http://virusinfo.info/showthread.php?t=7239]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".[/url]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\RECYCLER\S-1-5-21-1482476501-1644491937-682003330-1015\svchost.exe');
BC_ImportDeletedList;
BC_DeleteSvc('Microsoft Memory Driver');
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]
После выполнения скрипта компьютер перезагрузится.
Повторите логи, только все 3 лога.
Сделал
tmp файлы продолжают плодиться
В АВЗ выполните:
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\RECYCLER\S-1-5-21-1482476501-1644491937-682003330-1015\svchost.exe');
DeleteFile('C:\Documents and Settings\Admin\svchost.exe');
DeleteFile('C:\WINDOWS\system32\drivers\services.exe');
BC_ImportDeletedList;
BC_DeleteSvc('Microsoft Memory Driver');
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]
Повторите логи.
Из 'C:\RECYCLER файлы нельзя удалить даже если загрузился с CD. Я их удаляю а они тутже появляються с новым именем
[QUOTE=ivanof;291208]Из 'C:\RECYCLER файлы нельзя удалить[/QUOTE]Можно : [url]http://virusinfo.info/showthread.php?t=30250[/url] Или отключите корзину (Свойства/Файлы удалять немедленно,,,)
-[URL="http://virusinfo.info/showthread.php?t=4491"]Пофиксите[/URL]
[CODE]O9 - Extra button: (no name) - AutorunsDisabled - shell32.dll (file missing)
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - shell32.dll (file missing)
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - shell32.dll (file missing)
O9 - Extra button: Create Mobile Favorite - {2EAF5BB1-070F-11D3-9307-00C04FAE2D4F} - shell32.dll (file missing)
O9 - Extra button: (no name) - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - shell32.dll (file missing)
O9 - Extra 'Tools' menuitem: Добавить в избранное мобильного устройства... - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - shell32.dll (file missing)
O16 - DPF: {1D4DB7D2-6EC9-47A3-BD87-1E41684E07BB} - http://ak.exe.imgfarm.com/images/nocache/funwebproducts/ei/SmileyCentralFWBInitialSetup1.0.0.15.cab
[/CODE]
Повторите логи по п.2 и 3 Диагностики.
[FONT=Times New Roman][SIZE=3]Все продолжается, нервы сдают, я уже близок к format C:[/SIZE][/FONT]
Залил к вам через [URL]http://virusinfo.info/upload_virus.php?tid=31183[/URL] появляющийся на рабочем толе фаил 1.exe может в нем что-то увидите.
1. Запуститесь с дистрибутива.
2. При загрузке давите на клавишу R. Попадете в косоль восстановления.
3. Пройдите к Вашему рабочему столу. Внимание!!! В консоли восстановления доступны имена/пути только в формате DOS8.3 , т.е.
[CODE]C:\dokume~1\<<имя учетки>>\Desktop[/CODE], выполните команду [CODE]dir[/CODE], найдите и удалите файл командой [CODE]del[/CODE] или переименуйте его в 1.txt комадой [CODE]ren[/CODE]
[COLOR=black][FONT=Verdana]В этом нет смысла, поскольку он и сам удаляется через несколько секунд после появления.[/FONT][/COLOR]
[COLOR=black][FONT=Verdana]Он появляется и исчезает. Я могу его подловить и удалить и в обычном сеансе но он снова появится.[/FONT][/COLOR]
[COLOR=black][FONT=Verdana] [/FONT][/COLOR]
[COLOR=black][FONT=Verdana]Или вы считаете, что в консоли восстановления он проста будет и после удаления не всплывет?[/FONT][/COLOR]
Выполните лечение от файловых вирусов: [url]http://virusinfo.info/showthread.php?t=15927[/url]
Записал на диск проверил в сейвмоде, найден один скрипт вирус, удалил не помогло.
- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт[/URL]
[CODE]
begin
SetAVZPMStatus(true);
RebootWindows(true);
end.
[/CODE]
После перезагрузки повторите логи.
[COLOR=black][FONT=Verdana]Сделал. [/FONT][/COLOR]
[COLOR=black][FONT=Verdana]Учитывая, что выскакивают новые зловреды, думаю что что-то их подтягивает.[/FONT][/COLOR]
Не знаю, как Вы, но я в последних логах ничего подозрительного не обнаружил.
Я и предыдущих ничего не видел. Я не большой специалист, но симптомы остались те же:
На рабочем столе плодятся .tmp (прилагаю), появляется и пропадает 1.exe.
Интернет экстлорер самопроизвольно закрывается,
Обновление с майкрософта – ошибка,
Онлайн проверка Касперского ошибка.
Все это явно нездоровье и длиться уже неделю, странно что никто из антивирусов еще не научился это лечить.
Спасибо за попытку, может из tmp что то удастся понять
Добавлено через 32 минуты
Касперский нашел в файле 1.exe вирус Trojan.Win32.Agent.aeuq.
Как его победить?
Давайте рассуждать логически (с).
У Вас сидит зараза. АВЗ ее не видит, т.к. это файловый вирус. Файловые антивирусы ее так же устранить не могут.
Вывод:
- либо жить с заразой дальше либо переустановить систему.
Какие будут у Вас еще предложения?
Кажется Касперский убил его. Его звали Trojan.Win32.Agent.aeuq. Кстати он был и в карантине avz00013.dat, думаю я вам его присылал.
Спасибо за помощь.
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]3[/B][*]Обработано файлов: [B]51[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\program files\\internet explorer\\setupapi.dll - [B]Trojan.Win32.Agent.aeuq[/B] (DrWEB: Trojan.DownLoad.5782)[*] \\1.exe - [B]Trojan.Win32.Agent.aeuq[/B][*] \\841.tmp - [B]Trojan.Win32.Agent.aeuq[/B] (DrWEB: Trojan.DownLoad.5782)[/LIST][/LIST]