Мог вирус отрубить CD-Drive и сервис UPDATE WINDOWS в win2k?

Printable View

18.02.2009, 12:34
Сергей Ш-в

Вложений: 3

Мог вирус отрубить CD-Drive и сервис UPDATE WINDOWS в win2k?

Помогите избавиться от заразы. :)
18.02.2009, 13:41
Гриша

Выполнить скрипт:

[CODE]procedure ParseString (S : TStringList; SS : String; SSS : String );
var i,l : integer;
begin
i := Pos(SSS,SS); l := Length(ss);
If l > 1 Then begin If i=0 Then S.Add(ss); If i>0 Then begin
s.Add(Copy(ss,1,i-1)); ParseString(S,Copy(ss,i+1,l-i+1),SSS) end; end;
end;
var SL,SF : TStringList; SS, SSS : String; i : integer;
begin
SS := ''; SSS := ''; SL := TStringList.Create; SF := TStringList.Create;
SS := RegKeyStrParamRead ('HKEY_LOCAL_MACHINE','SYSTEM\CurrentControlSet\Control\Session Manager\SubSystems','Windows');
ParseString (SL,SS,' ');
for i := 0 to SL.Count - 1 do Begin
SS := SL[i];
If Pos('ServerDll=base',SS) > 0 Then Begin
If SS <> 'ServerDll=basesrv,1' Then Begin
AddToLog('Infected "SubSystem" value : ' + SS);
if MessageDLG('Fix "SybSustem" parametrs ?', mtConfirmation, mbYes+mbNo, 0) = 6 then Begin
SSS := SL[i]; SL[i] := 'ServerDll=basesrv,1'; AddToLog('User select "Fix" option.'); end;
end;
end;
end;
SS := ''; for i := 0 to SL.Count - 1 do Begin SS := SS + SL[i]; If SL.Count - 1 > i Then SS := SS + ' '; end;
If SSS <> '' Then Begin
i := Pos(',',SSS); If i = 0 Then i := Length(SSS);
SSS := Copy(SSS, Pos('=',SSS) + 1, i - Pos('=',SSS)-1);
AddToLog('Infection name : ' + SSS + '.dll');
SetAVZGuardStatus(True);
If FileExists('%WinDir%' + '\system32\' + SSS + '.dll') = true then DeleteFile('%WinDir%' + '\system32\' + SSS + '.dll');
RegKeyParamWrite('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Control\Session Manager\SubSystems', 'Windows', 'REG_EXPAND_SZ', SS);
SaveLog(GetAVZDirectory + 'SubSystems.log');
RebootWindows(false);
end;
SL.Free; SF.Free;
End.[/CODE]

Затем этот скрипт:

[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\Documents and Settings\SY\Local Settings\Application Data\cftmon.exe','');
QuarantineFile('C:\WINNT\system32\DRIVERS\sf256pcr.sys','');
DeleteService('Schedule');
DeleteService('Google Online Services');
DeleteService('FCI');
DeleteService('CcEvtSvc');
QuarantineFile('C:\WINNT\system32\drivers\spools.exe','');
QuarantineFile('C:\Documents and Settings\SY\ie_updates3r.exe','');
QuarantineFile('C:\WINNT\system32\fci.exe','');
QuarantineFile('C:\WINNT\System32\CcEvtSvc.exe','');
DeleteFile('C:\WINNT\System32\CcEvtSvc.exe');
DeleteFile('C:\WINNT\system32\fci.exe');
DeleteFile('C:\Documents and Settings\SY\ie_updates3r.exe');
DeleteFile('C:\WINNT\system32\drivers\spools.exe');
DeleteFile('C:\Documents and Settings\SY\Local Settings\Application Data\cftmon.exe');
DeleteFile('C:\basexnco32.dll');
DeleteFile('C:\basexnco32.rar');
DeleteFile('C:\ASlim1200SE\basexnco32.dll');
BC_ImportALL;
ExecuteSysClean;
BC_DeleteSvc('Schedule');
BC_DeleteSvc('Google Online Services');
BC_DeleteSvc('FCI');
BC_DeleteSvc('CcEvtSvc');
BC_Activate;
SetAVZPMStatus(true);
RebootWindows(true);
end.[/CODE]

Пришлите карантин по правилам и повторите логи...
18.02.2009, 14:31
Сергей Ш-в

Вложений: 2

Сделал все, как вы сказали. Дисковода пока нет.
18.02.2009, 14:35
Гриша

Установите AVZPM и сделайте логи...
18.02.2009, 15:32
Сергей Ш-в

[quote=Гриша;350945]Установите AVZPM и сделайте логи...[/quote]
Это тоже, что и AVPM? Подскажите, где логи хранятся?

Если это не AVPM, то где взять AVPM?
18.02.2009, 15:33
Гриша

[url]http://virusinfo.info/showthread.php?t=12316[/url]
18.02.2009, 15:37
Сергей Ш-в

Я по незнанию сделал проверку при помощи AVPtool. Сейчас мне предлагают стереть троян, так как его невозможно вылечить. Соглашаться или сделать отказ и запустить AVZPM?
18.02.2009, 15:39
Гриша

Удалите что предлагают и запишите название, после этого установите AVZPM и сделайте логи AVZ..
18.02.2009, 16:26
Сергей Ш-в

Вложений: 2

Сделано!
18.02.2009, 17:32
Сергей Ш-в

Кстати, попробовал поставить нод32 - неуспешно.
19.02.2009, 23:39
Сергей Ш-в

Помощь все еще нужна :(
20.02.2009, 11:51
Гриша

Я просил установить AVZPM...
20.02.2009, 13:41
Сергей Ш-в

странно. я сделал все как в инструкции написано. установил драйвера, перезагрузил, сделал логи. По всей видимости что-то не получилось. Может дело вот в этой фразе:

[QUOTE]Необходимо запустить AVZ(с правами администратора).[/QUOTE]

Речь идет о правах админимтратора Виндовс или речь идет о запуске AVZ с каким то параметром? Если первое, то я так и сделал.
20.02.2009, 13:43
Гриша

У вас не Vista и UAC нет :) Установите еще раз и сделайте логи...
20.02.2009, 14:00
drongo

да чего вы мучаетесь, вот этот скрипт выполнить в avz, а не в аvptool-
[code]begin
SetAVZPMStatus(true);
RebootWindows(true);
end.[/code]
он и поставит avzpm, потом уже логи сделаете в том же avz
24.02.2009, 09:58
Сергей Ш-в

Как можно понять, что AVZPM установился? Я сделал снова установку, перегрузился, но AVZ по-прежнему в меню позволяет выбрать опцию "установить драйвер расширенного мониторинга процессов". Значит ли это, что AVZPM не установлен? Как можно заставить установиться этот режим, если он не хочет устанавливаться штатно?
24.02.2009, 11:41
Сергей Ш-в

Вложений: 2

сделал логи.
24.02.2009, 12:24
Гриша

Скачайте [URL="http://www.gmer.net/gmer.zip"]Gmer[/URL]. Запустите программу. После автоматической экспресс-проверки, отметьте галочкой все жесткие диски и нажмите на кнопку "Scan". После окончания проверки сохраните его лог (нажмите на кнопку Save) под каким хотите именем, например Gmer.log и прикрепите лог сюда.
24.02.2009, 13:33
Сергей Ш-в

ссылка на гмер битая. ;(
24.02.2009, 13:35
Rene-gad

[QUOTE=Сергей Ш-в;361378]ссылка на гмер битая. ;([/QUOTE]Ссылка рабочая - только что проверил. Возьмите в аттаче
24.02.2009, 13:54
Сергей Ш-в

Вложений: 1

[QUOTE]Скачайте Gmer. Запустите программу. После автоматической экспресс-проверки, отметьте галочкой все жесткие диски и нажмите на кнопку "Scan". После окончания проверки сохраните его лог (нажмите на кнопку Save) под каким хотите именем, например Gmer.log и прикрепите лог сюда. [/QUOTE]

сделано
24.02.2009, 14:26
Гриша

Лог HJT сделайте...
24.02.2009, 14:30
Сергей Ш-в

Вложений: 1

[quote=Гриша;361400]Лог HJT сделайте...[/quote]

сделано
24.02.2009, 14:33
Гриша

Проксик ваш?

[CODE]192.168.100.10:3128[/CODE]

[URL="http://virusinfo.info/showthread.php?t=4491"]Пофиксить[/URL]

[CODE]O17 - HKLM\System\CCS\Services\Tcpip\..\{4A6287A9-D1CA-4D12-A6CC-35749803E953}: NameServer = 85.255.116.154,85.255.112.155
O17 - HKLM\System\CCS\Services\Tcpip\..\{501F0568-EF24-429D-81E9-554D8F71FC70}: NameServer = 85.255.116.154,85.255.112.155
O17 - HKLM\System\CCS\Services\Tcpip\..\{548452E9-004F-463A-A8C1-FC68CB97AC13}: NameServer = 85.255.116.154,85.255.112.155
O17 - HKLM\System\CCS\Services\Tcpip\..\{DE5173D2-ABD6-4F26-9D9D-7F5305CE6F64}: NameServer = 85.255.116.154,85.255.112.155
O17 - HKLM\System\CS1\Services\Tcpip\Parameters: NameServer = 85.255.116.154 85.255.112.155
O17 - HKLM\System\CS1\Services\Tcpip\..\{4A6287A9-D1CA-4D12-A6CC-35749803E953}: NameServer = 85.255.116.154,85.255.112.155
O17 - HKLM\System\CS2\Services\Tcpip\Parameters: NameServer = 85.255.116.154 85.255.112.155
O17 - HKLM\System\CS2\Services\Tcpip\..\{4A6287A9-D1CA-4D12-A6CC-35749803E953}: NameServer = 85.255.116.154,85.255.112.155
O17 - HKLM\System\CS3\Services\Tcpip\Parameters: NameServer = 85.255.116.154 85.255.112.155
O17 - HKLM\System\CS3\Services\Tcpip\..\{4A6287A9-D1CA-4D12-A6CC-35749803E953}: NameServer = 85.255.116.154,85.255.112.155
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: NameServer = 85.255.116.154 85.255.112.155
O18 - Protocol: yandexcd - {E519DB43-CFF1-11D1-BE82-0000C0DF45F8} - D:\YandexCD.dll (file missing)
O20 - Winlogon Notify: partnershipreg - C:\WINNT\[/CODE]

Повторите лог HJT...
24.02.2009, 14:55
Сергей Ш-в

Вложений: 1

[quote=Гриша;361405]Проксик ваш?
[code]192.168.100.10:3128[/code]
[/quote]
Да, я через него в сеть хожу.

[quote][URL="http://virusinfo.info/showthread.php?t=4491"]Пофиксить[/URL][URL="http://virusinfo.info/showthread.php?t=4491"]
[/URL][/quote]

Пофиксил все кроме этого:

[quote]O18 - Protocol: yandexcd - {E519DB43-CFF1-11D1-BE82-0000C0DF45F8} - D:\YandexCD.dll (file missing)
[/quote]

Это не вирус. Это программка поисковая на диске с журналом (легальное издание). Но сейчас дисковод система не видит, вот и пишет, что файл миссинг. Или надо все равно удалить?

[quote]
Повторите лог HJT...
[/quote]
Сделано
24.02.2009, 15:39
Сергей Ш-в

Не знаю, насколько это важно, но ИЕ стал периодически открывать страницу urlseek20.vmn.net (не сам по себе, а когда не может открыть запрашиваемую страницу).
25.02.2009, 11:49
Гриша

Ничего плохого...
25.02.2009, 12:08
Сергей Ш-в

то есть вирусов нет? Странно сидюк так и не ставится.
25.02.2009, 12:11
Гриша

CureIT еще проверьтесь... в логах чисто...
25.02.2009, 12:49
Сергей Ш-в

Гриша, спасибо за вашу помощь. Курит ничего не нашел.
26.02.2009, 12:49
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]11[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\aslim1200se\basexnco32.dll - [B]Trojan.Win32.Subsys.gen[/B] (DrWEB: Trojan.Okuks.based)[*] c:\basexnco32.dll - [B]Trojan.Win32.Subsys.gen[/B] (DrWEB: Trojan.Okuks.based)[*] c:\basexnco32.rar - [B]Trojan.Win32.Subsys.gen[/B] (DrWEB: archive: Trojan.Okuks.based)[*] c:\winnt\system32\basexnco32.dll - [B]Trojan.Win32.Subsys.gen[/B][/LIST][/LIST]