Printable View
Здравствуйте,прошу вас помоч мне с вирусом z-connect (так же есть подозрения на вирус х-connect),читал что этот вирус рвет связь с интернетом ,раньше рвалась связь, сейчас нет почему то,но место этого в D:\Documents and Settings\Sergei и D:\Documents and Settings\Nik создаются различные файлы типа "dxate" "w71y5",удаляю их а они появляются снова,также появилось подключение с именем z-connect,раньше был x-connect,прошу вас помочь решить данную проблему.Заранее спасибо:)
Выполните скрипт в AVZ
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('D:\Documents and Settings\Nik\Local Settings\Temporary Internet Files\Content.IE5\GHIRGDQN\cdial[1].exe','');
DeleteFile('D:\Documents and Settings\Nik\Local Settings\Temporary Internet Files\Content.IE5\GHIRGDQN\cdial[1].exe');
DelCLSID('{77BCK2V0-3HKJ-89VV-XAF2-88KL5R9896622}');
DelCLSID('{18B0E5C0-4FCB-11CF-AAX5-004016608512}');
DelCLSID('{12LOP3S8-1VRX-81VS-JKL6-61OP5G7774441}');
QuarantineFile('c:\RE\BACK\BcK.exe','');
QuarantineFile('C:\RECYCLER\S-1-5-21-1482476501-1644491937-682003330-1113\iuhi32.exe','');
QuarantineFile('C:\WIN\DOWS\LAX.exe','');
DelBHO('{95289393-33EA-4F8D-B952-483415B9C955}');
QuarantineFile('mswrwin32.exe','');
QuarantineFile('c:\windows\system\svcl32.vbs','');
DeleteFile('19537.dll');
DeleteFile('22943.dll');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\19537','DLLName');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\22943','DLLName');
DeleteFile('c:\windows\system\svcl32.vbs');
DeleteFile('mswrwin32.exe');
DeleteFile('D:\Documents and Settings\Nik\Application Data\Microsoft\Internet Explorer\qipsearchbar.dll');
DeleteFile('C:\WIN\DOWS\LAX.exe');
DeleteFile('C:\RECYCLER\S-1-5-21-1482476501-1644491937-682003330-1113\iuhi32.exe');
DeleteFile('c:\RE\BACK\BcK.exe');
DeleteFileMask('C:\WIN', '*.*', true);
DeleteDirectory('C:\WIN');
DeleteFileMask('c:\RE', '*.*', true);
DeleteDirectory('c:\RE');
DeleteFileMask('D:\Documents and Settings\Nik\Local Settings\Temporary Internet Files\Content.IE5', '*.*', true);
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
ExecuteRepair(8);
ExecuteRepair(16);
RebootWindows(true);
end. [/code]Компьютер перезагрузится.
Пришлите карантин согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы
Сделайте новые логи
карантин прислал,логи сделал
[QUOTE=korst;460797]логи сделал[/QUOTE]
Логи - в студию!
вот логи
Пофиксите в HijackThis:
[code]
O20 - Winlogon Notify: 19537 - D:\WINDOWS\
O20 - Winlogon Notify: 22943 - D:\WINDOWS\
[/code]
Больше ничего плохого не видно.
Что с проблемами?
извините за тупой вопрос а как фиксить в HijackThis?
[URL="http://virusinfo.info/showthread.php?t=4491"]Как пофиксить в HjT[/URL]
ну вообщем профиксил я,файлы с именами типа "w71y5" "dxate" до сих пор остались в D:\Documents and Settings\Sergei ,и ещё подключение z-connect из списка подключения не удалился
Если подключение руками прибить - восстановится или нет?
да в том то и дело что инет работает(без разрывов) нормально,а подключение появляется снова и снова,и файлы создает свои которые тоже если их прибить появляются заново
Папка, в которой эти файлы появились не расшарена случайно?
нет не расшарена
[size="1"][color="#666686"][B][I]Добавлено через 1 час 18 минут[/I][/B][/color][/size]
иногда когда вручную прибиваешь подключение оно появляется,бывает что появляется не сразу после перезагрузки а например на следущий день,вообщем по разному
не доктор веб,не нод,вируса не видит
люди помогите же кто нибудь,вирус уже заел
Сделайте новый комплект логов.
вот логи
Восстановление системы: включено - отключать будем? или религия не позволяет.
да я думаю стоит отключить если это как то поможет справится с вирусом
Это оттуда восстанавливаться может. Заново скрипт будем писать и выполнять.
хорошо,давайте скрипт
Выполнить скрипт:
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
ClearQuarantine;
DelCLSID('12LOP3S8-1VRX-81VS-JKL6-61OP5G7774441');
QuarantineFile('c:\KALBA\MAAFENA\LAXOURY.exe','');
QuarantineFile('D:\WINDOWS\system32\Drivers\iqvw32.sys','');
QuarantineFile('D:\WINDOWS\System32\Drivers\HOSTNT.SYS','');
QuarantineFile('\Device\HarddiskVolume1\Temp\WinXP\RarSFX3\m998k.exe','');
DeleteFile('\Device\HarddiskVolume1\Temp\WinXP\RarSFX3\m998k.exe');
DeleteFile('c:\KALBA\MAAFENA\LAXOURY.exe');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]
Сделать логи.
Прислать карантин по Правилам.
карантин прислал
[size="1"][color="#666686"][B][I]Добавлено через 36 секунд[/I][/B][/color][/size]
з-коннект до сих пор остался в подлкючениях
[size="1"][color="#666686"][B][I]Добавлено через 4 часа 36 минут[/I][/B][/color][/size]
выполнил все скрипты,з-коннект до сих пор остался =(
Если руками удалить - восстанавливается?
да,и ещё непонятные файлы появляются в D:\Documents and Settings\Sergei и D:\Documents and Settings\Nik
[b]Обновите базы AVZ[/b].
Сделайте новый лог из пункта 2 Диагностики и приложите к этой теме.
вот логи по второму пункту диагностики,базы обновил
C:\KALBA\MAAFENA\LAXOURY.exe >>>>> Trojan.Win32.VB.uzo
C:\MAD\TRACK\mad.exe >>>>> Trojan.Win32.VB.vhu
Установите надежные пароли на учетные записи пользователей с правами администратора.
Установите обновления безопасности на Windows.
[b]Отключите восстановление системы![/b] См. Приложение 1 Правил.
Сделайте новый лог из пункта 1 Диагностики и приложите к этой теме.
установить обновление виндоус неполучилось
востановление системы отключил
вот лог
Без обновлений Windows вы будете ловить z-connect и ему подобных регулярно.
После перезагрузки z-connect перестал восстанавливаться?
опять восстановился =(
[size="1"][color="#666686"][B][I]Добавлено через 35 минут[/I][/B][/color][/size]
нужен скрипт я думаю
Закройте все программы. Запустите AVZ. Выполните скрипт через меню Файл:
[code]
begin
SetAVZGuardStatus(True);
DelCLSID('67MAD3M8-3MAD-81AD-MAD6-78OP5G1234521');
DelCLSID('12LOP3S8-1VRX-81VS-JKL6-61OP5G7774441');
DeleteFile('C:\KALBA\MAAFENA\LAXOURY.exe');
DeleteFile('C:\MAD\TRACK\mad.exe');
ExecuteRepair(1);
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
Компьютер перезагрузится.
Сделайте новый лог из пункта 2 Диагностики и приложите к этой теме.
вот сделал логи,з коннект кстати до сих пор торчит в подключениях
что делать дальше?
Трояна, который создал подключение, больше нет.
Само это подключение вам надо удалить вручную.
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]24[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\kalba\maafena\laxoury.exe - [B]Trojan.Win32.VB.uzo[/B] ( DrWEB: Win32.HLLW.Autoruner.7448, BitDefender: Trojan.Generic.2454630, NOD32: Win32/AutoRun.KS worm, AVAST4: Win32:Trojan-gen )[*] c:\win\dows\lax.exe - [B]Trojan.Win32.VB.umo[/B] ( DrWEB: Dialer.Siggen.121, BitDefender: Dialer.Generic.47681, NOD32: Win32/AutoRun.KS worm, AVAST4: Win32:Dialer-gen [Trj] )[/LIST][/LIST]