Авз не отправляет в карантин подозритель

Printable View

21.10.2008, 04:02
paulani

Авз не отправляет в карантин подозритель

Проверяю компюьтер знакомого. Огромное количество вирусов, рекламы, троянов. Все попытки авз закарантинить что-нибудь успешно пресекаются машиной. Хотелось бы узнать, как поступать в таком случае? На данный момент проводится вторая попытка сканирования компьютера программой Авз, первая благополучно прервалась при достижении прогресса 96 %.
21.10.2008, 09:49
Bratez

[quote]Все попытки авз закарантинить что-нибудь успешно пресекаются машиной.[/quote]
Это пока не важно, главное - сделать логи.

Если вторая попытка сканирования также будет неудачной, сделайте логи хотя бы по п.2 и 3 раздела Диагностика.
23.10.2008, 00:37
paulani

Вложений: 2

Here are my logs. Check it out please.
P.s. couldn't find first file - virusinfo_syscure.zip. I wonder - why.....
23.10.2008, 01:06
paulani

Прошу прощения за английский язык, машина американская - русский в ней не предусмотрен, обещаю большие послания и объяснения писать со своего ноута, как делаю это сейчас. Так вот, оставил машину с работающим авз на ночь, утром обнаружил перезагруженый компьютер, подумал, что все операции успешно завершены, а когда собрался отправить логи, не нашел первого. Вот, как-то так.
Да, по совету P2U диагностику выполнял в безопасном режиме...
23.10.2008, 01:52
Bratez

[b]Отключите восстановление системы![/b]
Пофиксите в HijackThis:
[code]
O3 - Toolbar: (no name) - {bf1ced2c-4b3f-4079-a330-864eda5a4cff} - (no file)
O4 - HKLM\..\Run: [legfkhjsnzl] C:\WINDOWS\System32\regsvr32.exe /s "C:\WINDOWS\system32\rswosgesnt.dll"
O4 - HKLM\..\Run: [brastk] brastk.exe
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O9 - Extra button: (no name) - {CD67F990-D8E9-11d2-98FE-00C0F0318AFE} - (no file)
O20 - AppInit_DLLs: karna.dat
O22 - SharedTaskScheduler: hemine - {9d6fac42-a7be-4702-87ef-75d8dc14249e} - C:\WINDOWS\system32\tahxqcj.dll (file missing)
[/code]
Выполните скрипт в AVZ:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('setupx.dll','');
QuarantineFile('karna.dat','');
QuarantineFile('C:\WINDOWS\winstart.bat','');
QuarantineFile('C:\WINDOWS\system32\tahxqcj.dll','');
QuarantineFile('C:\WINDOWS\system32\brastk.exe','');
QuarantineFile('C:\WINDOWS\system32\rswosgesnt.dll','');
DeleteFile('C:\WINDOWS\system32\rswosgesnt.dll');
DeleteFile('C:\WINDOWS\system32\brastk.exe');
DeleteFile('C:\WINDOWS\system32\tahxqcj.dll');
DeleteFile('C:\WINDOWS\winstart.bat');
DeleteFile('C:\WINDOWS\karna.dat');
DeleteFile('C:\WINDOWS\system32\karna.dat');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]
Компьютер перезагрузится.
Пришлите карантин согласно приложению 2 правил
(загружать тут: [url]http://virusinfo.info/upload_virus.php?tid=32415[/url]).
Сделайте новые логи, в нормальном режиме.
23.10.2008, 10:50
paulani

Вложений: 3

Here are new logs.
23.10.2008, 10:51
paulani

By the way how is my quarantine? Hope you get it...
23.10.2008, 11:22
akok

[QUOTE]By the way how is my quarantine? Hope you get it...[/QUOTE]

Immediately delete the quarantine!!!

[URL="http://virusinfo.info/upload_virus.php?tid=32415"]Download quarantine here[/URL]
23.10.2008, 11:28
drongo

поздно, уже удалил. пришлите как полагается
23.10.2008, 11:29
paulani

Не понял последнего поста. Я отсылал карантин, как просили. Спрашиваю, как он прошел проверку. Новый карантин присылать? Доступа к зараженной машине не имею на данный момент, будет через десять - 12 часов...
23.10.2008, 11:33
akok

C:\WINDOWS\system32\rswosgesnt.dll - [B]not-a-virus:AdWare.Win32.Agent.gcd[/B]
C:\Documents and Settings\Gateway User\Local Settings\Temp\xxx580.exe - [B]Trojan.Win32.Agent.aid[/B]
C:\Documents and Settings\Gateway User\Local Settings\Temp\xxx8486.exe - [B]Trojan.Win32.Agent.aidf[/B]
C:\Program Files\Zango\bin\10.3.37.0\HostOE.dll - [B]AdWare.Win32.HotBar.ck[/B]
C:\WINDOWS\NDNuninstall5_40.exe - [B]AdWare.Win32.NewDotNe[/B]
C:\WINDOWS\SYSTEM32\entry.dll - [B]Trojan.Win32.Agent.qg[/B]
C:\WINDOWS\SYSTEM32\rjutetab.dll - [B]AdWare.Win32.Look2Me.ab[/B]
C:\WINDOWS\ZIIMG001.exe - [B]AdWare.Win32.ZenoSearch.o[/B]

[size="1"][color="#666686"][B][I]Добавлено через 2 минуты[/I][/B][/color][/size]

Карантин нужно присылать по ссылке, [color=Red][b]Прислать запрошенный карантин[/b][/color], пытаться выложить его (карантин) в открытой ветке это риск получить обвинение в распостранении вредоносных программ.
23.10.2008, 11:38
paulani

Прошу пояснить последний пост. Это список того, что я должен прислать?

[size="1"][color="#666686"][B][I]Добавлено через 3 минуты[/I][/B][/color][/size]

Я не пытался выложить карантин, я не думал, что это есть карантин, это было в папке с логами, название схоже с названиями двух других папок, поэтому и прислал. Прошу прощения, в предь буду аккуратнее. Карантин я присылал до этого, согласно правилам, до того, как повторно проверил компьютер. Про него и шла речь.
23.10.2008, 11:54
akok

[QUOTE]Прошу пояснить последний пост. Это список того, что я должен прислать?[/QUOTE]

Нет, просто я успел скачать Ваш карантин и это результат поверхностного анализа

[size="1"][color="#666686"][B][I]Добавлено через 10 минут[/I][/B][/color][/size]

[B]paulani[/B], я закачал Ваш карантин.
23.10.2008, 11:56
paulani

Благодарю, жду дальнейших указаний...
23.10.2008, 12:17
akok

AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".
[CODE]begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(true);
DeleteFile('C:\WINDOWS\system32\rswosgesnt.dll');
QuarantineFile('setupx.dll','');
QuarantineFile('C:\Program Files\PornPass Manager\isamonitor.exe','');
QuarantineFile('C:\Program Files\Viewpoint\Common\ViewpointService.exe','');
DeleteFile('C:\Program Files\Zango\bin\10.3.37.0\HostIE.dll');
DeleteFile('C:\Documents and Settings\Gateway User\Local Settings\Temp\xxx580.exe');
DeleteFile('C:\Documents and Settings\Gateway User\Local Settings\Temp\xxx8486.exe');
DeleteFile('C:\Program Files\Zango\bin\10.3.37.0\HostOE.dll');
DeleteFile('C:\WINDOWS\NDNuninstall5_40.exe');
DeleteFile('C:\WINDOWS\SYSTEM32\entry.dll');
DeleteFile('C:\WINDOWS\SYSTEM32\rjutetab.dll');
DeleteFile('C:\WINDOWS\ZIIMG001.exe');
DelBHO('CmdMapping');
DelBHO('{90B8B761-DF2B-48AC-BBE0-BCC03A819B3B}');
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
BC_ImportALL;
SetAVZGuardStatus(true);
BC_Activate;
ExecuteSysClean;
RebootWindows(true);
end.[/CODE]
После выполнения скрипта компьютер перезагрузится.

Пришлите карантин согласно приложению 3 правил

Пофиксить в HijackThis следующие строчки
[CODE]
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = file:///C:/Program%20Files/Internet%20Explorer/local/W5%20launch.htm
O24 - Desktop Component 0: (no name) - http://photos.getauto.com/photos/4D7SW009722.jpg [/CODE]
Повторите логи в обычном режиме
24.10.2008, 00:23
paulani

Вложений: 3

New logs:
24.10.2008, 07:09
AndreyKa

Закройте все программы.
Запустите AVZ.
Выполните скрипт через меню Файл:
[code]
begin
SetAVZGuardStatus(True);
ClearQuarantine;
DelCLSID('CA0A4247-44BE-11d1-A005-00805F8ABE06');
QuarantineFile('C:\WINDOWS\system32\_scui.cpl','');
QuarantineFile('C:\WINDOWS\system32\drivers\svchost.exe','');
DeleteFile('C:\WINDOWS\system32\drivers\svchost.exe');
DeleteFile('C:\Program Files\Zango\bin\10.3.37.0\firefox\extensions\plugins\npclntax_ZangoSA.dll');
DeleteFile('C:\Program Files\Mozilla Firefox\plugins\npclntax_ZangoSA.dll');
SysCleanAddFile('C:\Program Files\PornPass Manager\isamonitor.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
Компьютер перезагрузится.
Пришлите файлы из карантина AVZ (см. приложение 3 Правил) используя ссылку [color=red][b][u]Прислать запрошенный карантин[/u][/b][/color] верху этой темы.

Сделайте новый лог из пункта 2 Диагностики и приложите к этой теме.

PS Пора уже Service Pack 3 на Windows устанавливать (может потребоваться активация).
24.10.2008, 07:16
AndreyKa

[url=http://virusinfo.info/showthread.php?t=4491]Пофиксте[/url] в HijackThis следующие строки:
[quote]
O4 - HKCU\..\Run: [SVCHOST.EXE] C:\WINDOWS\system32\drivers\svchost.exe
O4 - HKCU\..\Run: [brastk] C:\WINDOWS\system32\brastk.exe
O15 - Trusted Zone: httр://click.getmirar.com (HKLM)
O15 - Trusted Zone: httр://click.mirarsearch.com (HKLM)
O15 - Trusted Zone: httр://redirect.mirarsearch.com (HKLM)
[/quote]
24.10.2008, 07:28
paulani

Вложений: 1

Thank you. I already send my quarantine, here is the syscheck log.
24.10.2008, 08:12
AndreyKa

Запустите AVZ.
Выполните скрипт через меню Файл:
[code]
begin
ClearQuarantine;
DeleteFile('C:\WINDOWS\system32\_scui.cpl');
end.
[/code]

Какие-либо проблемы есть?
24.10.2008, 12:58
paulani

Да. Запустил только что cure it, проверено на данный момент не более десяти процентов диска, обнаружено 18 вредоносных радостей.

[size="1"][color="#666686"][B][I]Добавлено через 4 часа 21 минуту[/I][/B][/color][/size]

Что мне дальше делать? Стоит ли делать новые логи? Когда я оставил машину с запущеным на ней cure it, было обнаружено 45 вредоносных объектов - правда порядка 40 это файлы карантина самой программы, однако же помимо карантина был так же обнаружен и троян - даунлодер, было обнаружено подозрение на бэкдор, несколько адваров... Неужели avz все это проигнорировал?
Кстати, заметил еще странность - количество файлов, проверяемых cure it - более 400 тысяч, avz проверяет только около 100000, не разьясните - почему?
24.10.2008, 15:33
PavelA

AVZ делает проверку не всех типов файлов для ускорения процесса. Можно ручками задать полную проверку всех файлов на диске.

Куреит смотрит все подряд. Кстати, он мог еще и карантин АВЗ почистить.
24.10.2008, 19:51
AndreyKa

В Cureit есть в меню пункт Файл-Сохранить список отчета. Если бы был отчет то было бы что обсуждать.
25.10.2008, 09:21
paulani

Не получается скинуть логи cureit'овские. Тот, что через меню файловое сохраняется - сохраняется в недопустимом формате csv, есть еще cureit.log, но он - размера дюже приличного - 17 мегабайт. В логе дрвеба не нравятся записи "возможно бэкдор, троян" и с десяток адвэров, все остальное, что выявляется - из карантина, который я уже удалил. Кстати, почему-то проверяется менее половины всех файлов...
25.10.2008, 10:50
AndreyKa

[quote=paulani]Тот, что через меню файловое сохраняется - сохраняется в недопустимом формате csv[/quote]
О нем и речь.
В zip можно поместить файл с любым расширением. :)
[quote=paulani]почему-то проверяется менее половины всех файлов... [/quote]
Не все файлы при полной проверке? Наверное от того, что СureIt не проверяет архивы.
25.10.2008, 11:47
paulani

Странно, думал, что отправил архив с логом. Теперь только завтра получится.
Запустил экспресс-проверку куритом на зараженной машине - самую последнюю к настоящему моменту, опять обнаружилась пакость. Три вируса, два из которых - win32.SQL.Slammer.376, и один - адвэр... Такие пироги.
26.10.2008, 10:47
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]6[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]