Printable View
Добрый день!
При каждой загрузке ноутбука NOD32 очищает удалением - изолирует некий файл C:\x.bat Антивирус распознает его как Win32/AutoRun.IRCBot.BJ червь. Вдобавок, при запуске флешки загружается файл Autorun/INF, который NOD32 убивает, но флешкой после этого нельзя пользоваться - приходится перезагружать ноут... После перезагрузки иногда флешка нормально открывается, а иногда - нет... :-((( Помогите пожалуйста.
Вот логи
Поставьте надежный пароль на учетные записи с правами Администратора.
Установите обновления безопасности на Windows.
Закройте все программы. Запустите AVZ.
Выполните скрипт через меню Файл:
[code]
begin
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\usbmngr.exe','');
QuarantineFile('C:\WINDOWS\usb_drv.exe','');
ExecuteRepair(1);
ExecuteRepair(13);
RegKeyIntParamWrite('HKLM','SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer','NoDriveTypeAutoRun', 221);
RebootWindows(true);
end.
[/code]
Компьютер перезагрузится.
Пришлите карантин через ссылку [b][color=red]Прислать запрошенный карантин [/color][/b] вверху темы, как написано в приложении 3 Правил.
Сделайте новый лог по пункту 2 Диагностики и приложите к этой теме.
Скрипт выполнил, винда еще не обновилась.... после перезагрузки NOD32 опять завел старую песню про Win32/AutoRun.IRCBot.BJ.... карантин выслал, вот новый лог:
[B]Выполните скрипт в AVZ[/B] (AVZ, Меню Файл\Выполнить скрипт. [URL="http://virusinfo.info/showthread.php?t=7239"]Подробнее...[/URL]):
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
DelBHO('{A55F9C95-2BB1-4EA2-BC77-DFAAB78832CE}');
TerminateProcessByName('c:\windows\usbmngr.exe');
TerminateProcessByName('c:\windows\usb_drv.exe');
DeleteFile('c:\windows\usb_drv.exe');
DeleteFile('c:\windows\usbmngr.exe');
DeleteFile('C:\Documents and Settings\Артём\Application Data\Microsoft\Internet Explorer\qipsearchbar.dll');
BC_ImportDeletedList;
ExecuteSysclean;
Executerepair(13);
BC_Activate;
RebootWindows(true);
end.
[/code]
После выполнения скрипта компьютер перезагрузится.
Повторите лог.
Большое спасибо, NOD32 больше не ругается :-) Вот новый лог:
[B]Выполните скрипт в AVZ [/B](AVZ, Меню Файл\Выполнить скрипт. [URL="http://virusinfo.info/showthread.php?t=7239"]Подробнее...[/URL]):
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
DelBHO('{A55F9C95-2BB1-4EA2-BC77-DFAAB78832CE}');
DeleteFile('C:\Documents and Settings\Артём\Application Data\Microsoft\Internet Explorer\qipsearchbar.dll');
DeleteFileMask('%Tmp%', '*.*', true);
BC_ImportDeletedList;
ExecuteSysclean;
ExecuteRepair(13);
BC_Activate;
SetAVZPMStatus(true);
RebootWindows(true);
end.
[/code]
После выполнения скрипта компьютер перезагрузится.
Повторите лог.
Скрипт выполнил, после перезагрузки винда якобы нашла новое оборудование... наверное надо его удалить в диспетчере устройств? вот новый лог:
Выполните [URL="http://virusinfo.info/showthread.php?t=7660"]это[/URL].
Выполнил вариант Олега Зайцева (скрипт в AVZ)
Сделайте новый лог.
Сделал, вот новый лог:
Попробуйте [URL="http://virusinfo.info/showpost.php?p=454125&postcount=2"]этот метод[/URL].
вроде сделал, написанный вариант скопировал в "блокнот" в windows XP и сохранил без расширения. когда винда спросила "заменить имеющийся файл", нажал "да"
Удалите все файлы из папки LOG в директории AVZ и сделайте новый лог virusinfo_syscheck.zip.
Файлы удалил, вот новый лог:
[ATTACH]158304[/ATTACH]
Удалите Spybot Search and Destroy - он переписывает hosts файл на основе активированной иммунизации.
Потом повторите: [url]http://virusinfo.info/showpost.php?p=454125&postcount=2[/url]
Spybot удалил, код выполнил
Лог по п.2 Диагностики повторите, плыыз :)
Сделал, вот новый лог:
[ATTACH]158355[/ATTACH]
[QUOTE=gingerboy;459463]код выполнил[/QUOTE]какой код? Нужно ЗАМЕНИТЬ файл c:\windows\system32\drivers\etc\hosts по образцу отсюда: [url]http://virusinfo.info/showpost.php?p=454125&postcount=2[/url]
[size="1"][color="#666686"][B][I]Добавлено через 29 секунд[/I][/B][/color][/size]
Потом повторите лог по п.2 Диагностики.
Извиняюсь за глупый вопрос, но как замаркировать в блокноте код, написанный здесь: [url]http://virusinfo.info/showpost.php?p=454125&postcount=2[/url] ?
[size="1"][color="#666686"][B][I]Добавлено через 2 минуты[/I][/B][/color][/size]
я делал так: открывал блокнот, копировал туда код отсюда [url]http://virusinfo.info/showpost.php?p=454125&postcount=2[/url], потом "сохранить как", "тип файла" - все файлы; и в папку C:\WINDOWS\system32\drivers\etc... винда спрашивает "заменить существующий файл", жму "да"...
[QUOTE=gingerboy;459586]
я делал так: открывал блокнот,
....; и в папку C:\WINDOWS\system32\drivers\etc... винда спрашивает "заменить существующий файл", жму "да"...[/QUOTE]Супер. Теперь:
1. Удостоверьтесь, что у Вас включен показ расширений файлов известных типов.
2. Зайдите в эту папку и откройте файл [B]C:\WINDOWS\system32\drivers\etc\hosts[/B] двойным щелчком.
3. На запрос Какой программой... выберите Реадктор, поле Всегда этой программой... не маркируйте.
4. Посмотрите, что находится в этом файле.
страшное дело в нем находится.... зашел в него и нажал "выделить все", потом удалил и вставил код отсюда [url]http://virusinfo.info/showpost.php?p=454125&postcount=2[/url]... винда не дает сохранить изменения... штука в том, что поставить галочку "использовать эту прогу для всех файлов такого типа" вообще нельзя... ((((
А вы администратор? В тот каталог только администраторам да системе писать дозволено.
попробовал еще раз - ни в какую не удаляется... винда дает только создать новый документ с таким же именем в формате блокнота ((( причем тот файл hosts, в котором куча всего сидит "доступен тока ля чтения и заменять его низззя"... примерно так винда и пишет....
[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]
а в ХР разве пользователь не становится администратором по умолчанию? еще раз извиняюсь за глупый вопрос.... если я заблуждаюсь, то подскажите пожалуйста, как стать администратором...
В XP какого пользователя создалите, такой и будет. Тот, что был создан при установке - тот да, администратор.
Проверьте атрибуты и установки безопасности файла. Может, он и в самом деле только для чтения?
Кстати, да, посмотрел у себя - Readonly. Снимите этот атрибут.
снял флажок "только чтение" и заменил содержимое файла hosts. вот новый лог:
[ATTACH]158383[/ATTACH]
[QUOTE=gingerboy;459646]снял флажок "только чтение" и заменил содержимое файла hosts.[/QUOTE]Вот видите как все просто :)
Жалобы есть?
[size="1"][color="#666686"][B][I]Добавлено через 2 минуты[/I][/B][/color][/size]
[QUOTE=pig;459639]
Кстати, да, посмотрел у себя - Readonly. .[/QUOTE]А у меня стоит [B]архивный[/B], причем и на рабочей, и на домашней системе (соотв. XP Pro и XP Home).
да вроде все работает :-) даже пошустрее стало )))) БОЛЬШУЩЕЕ СПАСИБО :)
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]2[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\windows\usb_drv.exe - [B]Net-Worm.Win32.Kolab.dqp[/B] ( DrWEB: BackDoor.IRC.Sdbot.5226, BitDefender: Trojan.Generic.2322529, AVAST4: Win32:Trojan-gen {Other} )[*] c:\windows\usbmngr.exe - [B]Net-Worm.Win32.Kolab.dpt[/B] ( DrWEB: Trojan.DownLoad.45172, BitDefender: Trojan.Generic.2348950, AVAST4: Win32:Trojan-gen {Other} )[/LIST][/LIST]