Есть странности в поведении компа.

Printable View

19.11.2008, 17:33
Maslov

Есть странности в поведении компа.

Добрый вечер.

Пожалуйста гляньте мои логи, есть какое-то подтормаживание перед запуском любого приложения, как будто что-то он перед этим делает или записывает.

Да, еще утилитка Dr.Web пометила файлы в каталоге c:\windows\system32
admdll.dll
r_server.exe
srvany.exe
как потенциально опасные.
19.11.2008, 17:41
Rene-gad

Касперского доисторического удалить: лучше совсем не иметь никакого Антивируса, чем такой допотопный.

Закройте все открытые приложения, кроме АVZ и Internet Explorer.
Отключите
- ПК от интернета/локалки
- Антивирус и Файрвол.
- Системное восстановление.

- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт[/URL]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\services.exe','');
DeleteFile('C:\WINDOWS\services.exe');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/CODE]

После перезагрузки:
- [url="http://virusinfo.info/showthread.php?t=10025"] Очистите [/url]темп-папки, кэш проводников и корзину.
- Закройте все программы, включая Антивирус и Файрвол, Оставьте запущенным [B]только Internet Explorer[/B]. Если он не запущен - запустите!!!
- Сделайте повторные логи по правилам.
- Включите Антвирус и Файрволл
- Подключите ПК к интернету/локалке
- Закачайте карантин по ссылке [COLOR="Red"][B]Прислать запрошенный карантин[/B][/COLOR] вверху темы (Приложение 3 правил).
- Прикрепите логи к новому сообщению.
19.11.2008, 19:58
Maslov

Карантин закачал.
[B][SIZE=1]Результат загрузки[/SIZE][/B]

[SIZE=1]Файл сохранён как[/SIZE][SIZE=1]081119_105635_virus_49244543293d7.zip[/SIZE][SIZE=1]Размер файла[/SIZE][SIZE=1]2088219[/SIZE][SIZE=1]MD5[/SIZE][SIZE=1]e199f3eefa5a6ac7cc47aef741e605e8[/SIZE][B][SIZE=1]Файл закачан, спасибо![/SIZE][/B]

Логи повторяю.
19.11.2008, 21:47
V_Bond

выполните скрипт
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\SLB_REP\epl.exe','');
QuarantineFile('C:\WINDOWS\System32\drivers\hjbiyalwn.sys','');
QuarantineFile('C:\WINDOWS\ftpsconfig.dll','');
DeleteFile('C:\WINDOWS\ftpsconfig.dll');
DeleteFile('C:\WINDOWS\System32\drivers\hjbiyalwn.sys');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
пришлите карантин согласно приложения 3 правил
повторите логи
25.11.2008, 15:05
Maslov

Карантин закачал.

[QUOTE]Результат загрузки
Файл сохранён как 081125_060439_virus_492be9d7c884b.zip
Размер файла 287684
MD5 b55091bb8a513d69b277653f49020287

Файл закачан, спасибо![/QUOTE]
25.11.2008, 17:23
Rene-gad

[QUOTE=V_Bond;311714]повторите логи[/QUOTE]?????
25.11.2008, 17:35
akok

C:\WINDOWS\System32\drivers\hjbiyalwn.sys - [B]Trojan.Win32.Agent.aqlb[/B]

Логи надо повторить.
25.11.2008, 17:51
Maslov

Блин.
Два раза пытался получить логи AVZ (это первый вариант - лечение/сбор информации).
Не доходит он до конца проверку, закрывается на каком-то этапе.
Логи не создает.
Имеют ли смысл остальные логи без virusinfo_syscure.zip
25.11.2008, 18:41
Гриша

Делайте остальные логи...
26.11.2008, 14:28
Maslov

Вот удалось получить логи, когда удалил старые.
Не знаю, может просто совпало так.
26.11.2008, 21:46
Maslov

up
27.11.2008, 09:57
V_Bond

выполните скрипт
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteService('ikveztky');
BC_DeleteSvc('ikveztky');
DeleteFile('C:\WINDOWS\System32\drivers\hjbiyalwn.sys');
DeleteFile('C:\WINDOWS\services.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
повторите логи
28.11.2008, 10:51
Maslov

Повторяю логи.
28.11.2008, 13:35
Гриша

[URL="http://virusinfo.info/showthread.php?t=7239"]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".[/URL]

[CODE]begin
ClearQuarantine;
QuarantineFile('C:\WINDOWS\ftpsconfig.dll','');
QuarantineFile('C:\WINDOWS\System32\svchstb.dll','');
end.[/CODE]

Загрузите карантин...
01.12.2008, 09:40
Maslov

Карантин получить не удалось.Файл C:\WINDOWS\System32\svchstb.dll антивирус удалил при перезагрузке, не успел я выполнить скрипт.Там было вот что: C:\WINDOWS\SYSTEM32\SVCHSTB.DLL;заражен вирусом Trojan-Downloader.Win32.BHO.aad;01.12.2008 9:21:26Этот файл почему не попал в карнтин не знаю. C:\WINDOWS\ftpsconfig.dllА еще в логах Антивируса увидел, что каждый раз при старте он удаляет вот этоresetservice.exe\resetservice.exe;является троянской программой Trojan.Win32.Agent.anck;28.11.2008 10:36:45resetservice.exe\resetservice.exe;удален;28.11.2008 10:36:45
01.12.2008, 09:46
Гриша

Сделайте тогда новые логи AVZ...
01.12.2008, 15:13
Maslov

почему-то не дает вложить файлы форма ответа
и переадресация после логина перестала работать
01.12.2008, 15:48
Гриша

Удалите старые логи через "Мой кабинет"=>"Управление вложениями"
01.12.2008, 16:44
Maslov

очистил, не помогло кнопка управление вложениями недоступна мож у меня какие-то настройки браузера IE сбились

[SIZE=1][COLOR=#666686][B][I]Добавлено через 48 минут[/I][/B][/COLOR][/SIZE]

virusinfo_syscure.zip - Ссылка для скачивания файла: [URL]http://ifolder.ru/9334808[/URL]
virusinfo_syscheck.zip - Ссылка для скачивания файла: [URL]http://ifolder.ru/9335220[/URL]
hijackthis.log - Ссылка для скачивания файла: [URL]http://ifolder.ru/9335371[/URL]
02.12.2008, 14:32
Maslov

up

[size="1"][color="#666686"][B][I]Добавлено через 5 часов 56 минут[/I][/B][/color][/size]

up
02.12.2008, 14:51
akok

[URL="http://virusinfo.info/showthread.php?t=7239"]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".[/URL]

[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
DeleteFile('C:\WINDOWS\System32\svchstb.dll');
DelBHO('{ABADC07C-9990-405a-AA24-2C209B50AE79}');
DeleteFile('svchstb.dll');
DeleteFile('C:\Program Files\\WinMessenger\Setup\Setup.exe');
DeleteFile('C:\WINDOWS\ftpsconfig.dll');
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
BC_Activate;
BC_ImportALL;
ExecuteSysClean;
RebootWindows(true);
end.
[/code]
После выполнения скрипта компьютер перезагрузится.

[URL="http://virusinfo.info/showthread.php?t=4491"]Пофиксить в HijackThis следующие строчки[/URL]
[CODE] O2 - BHO: Rmn plugin - {ABADC07C-9990-405a-AA24-2C209B50AE79} - svchstb.dll (file missing) [/CODE]

Повторите логи.

[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]

resetservice.exe - это "кряк" для SP1.

обновить бы систему до SP3+IE7+хотфиксы
02.12.2008, 18:07
Maslov

Вложений: 3

Новые логи.
02.12.2008, 19:30
V_Bond

кроме сп1 - ничего плохого ...
03.12.2008, 08:44
Maslov

Спасибо ОГРОМНОЕ всем принимавшим участие.Будем теперь апгрейдить систему. :)
22.02.2009, 08:54
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]5[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\windows\\system32\\drivers\\hjbiyalwn.sys - [B]Trojan.Win32.Agent.aqlb[/B] (DrWEB: Trojan.Spambot.3548)[/LIST][/LIST]