Printable View
После запуска компьютера, через несколько минут, вылазит окно с названием svchost.exe, после чего пропадает звук, после перезагрузки таже история, а на днях Nod32 обнаружил win32 conficker.ae. После я нашол Вас и обращаюсь за помощью.
Заранее благодарен!
Активного заражения в логах не видно.
Пофиксите в HijackThis:
[code]
R3 - URLSearchHook: (no name) - - (no file)
O2 - BHO: XTTBPos00 - {055FD26D-3A88-4e15-963D-DC8493744B1D} - C:\PROGRA~1\ICQTOO~1\toolbaru.dll (file missing)
O2 - BHO: BitAccelerator module - {92860A02-4D69-48c1-82D7-EF6B2C609502} - C:\Program Files\BitAccelerator\BitAccelerator.dll (file missing)
O4 - HKLM\..\Run: [servises] C:\WINDOWS\system32\servises.exe
O4 - HKCU\..\Run: [servises] C:\WINDOWS\system32\servises.exe
O4 - HKLM\..\Policies\Explorer\Run: [servises] C:\WINDOWS\system32\servises.exe
O4 - HKCU\..\Policies\Explorer\Run: [servises] C:\WINDOWS\system32\servises.exe
[/code]
Перезагрузите компьютер и лог HijackThis повторите.
Для полной уверенности сделайте такой лог:
[url]http://virusinfo.info/showthread.php?t=40118[/url].
А основная причина проблемы вот:
[QUOTE]Platform: Windows XP SP2 (WinNT 5.01.2600)[/QUOTE]
Ставьте SP3 + последующие обновления.
Вот результат.
В логе чисто. Что с проблемой?
Я еще просил лог Хиджака повторить.
пока все по старому вылазит svchost.exe - ошибка приложения и пропадает звук
Выполните скрипт АВЗ
[code]begin
SearchRootkit(true,true);
SetAVZGuardStatus(true);
QuarantineFile('C:\RECYCLER\S-1-5-21-0243936033-3052116371-381863308-1811\vsbntlo.exe','');
QuarantineFile('C:\RECYCLER\S-1-5-21-0243336031-4052116379-881863308-0851\vse432.exe','');
QuarantineFile('C:\WINDOWS\avdrive32.exe','');
DeleteFile('C:\RECYCLER\S-1-5-21-0243936033-3052116371-381863308-1811\vsbntlo.exe');
DeleteFile('C:\RECYCLER\S-1-5-21-0243336031-4052116379-881863308-0851\vse432.exe');
DeleteFile('C:\WINDOWS\avdrive32.exe');
BC_ImportALL;
ExecuteSysClean;
BC_LogFile(GetAVZDirectory + 'boot_cleaner.log');
BC_Activate;
RebootWindows(true);
end.[/code]
Компьютер перезагрузится. Пофиксите в HijackThis строчки
[code]O4 - HKCU\..\Run: [12CFG214-K641-12SF-N85P] C:\RECYCLER\S-1-5-21-0243936033-3052116371-381863308-1811\vsbntlo.exe
O4 - HKCU\..\Run: [12CFG914-K641-26SF-N32P] C:\RECYCLER\S-1-5-21-0243336031-4052116379-881863308-0851\vse432.exe
O4 - HKLM\..\Policies\Explorer\Run: [Microsoft Driver Setup] C:\WINDOWS\avdrive32.exe[/code]
Закачайте полученный карантин по ссылке вверху страницы. Повторите все логи
Ошибка: Too many actual parameters в позиции 9:12
Поправил. После выполнения повторите все логи
карантин отправил
[QUOTE=vegas;462957]Поправил. После выполнения повторите все логи[/QUOTE]
это в смысле диагностику из правил?
Да, именно это.
vse432.exe - Trojan.Win32.Buzus.bxsy,
vsbntlo.exe - Trojan.Win32.Buzus.bxsx,
avdrive32.exe - Net-Worm.Win32.Kolab.dvg.
Где новые логи? Что с проблемами?
проблема еще осталась :(
Выполните скрипт в AVZ:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\RECYCLER\S-1-5-21-8428369585-2864944672-245526280-1501\csvcs.exe');
DeleteFile('C:\WINDOWS\avdrive32.exe');
DeleteFile('C:\WINDOWS\Temp\486.exe');
DeleteFile('C:\WINDOWS\Temp\616.exe');
DeleteFile('C:\WINDOWS\Temp\081.exe');
DeleteFile('C:\Documents and Settings\TimofeeF\Local Settings\Temporary Internet Files\Content.IE5\BHKUE7P2\pr3xy[1].exe');
DeleteFile('C:\RECYCLER\S-1-5-21-0243936033-3052116371-381863308-1811\vsbntlo.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]
Компьютер перезагрузится.
И обновляйте систему как можно скорее, а то так и будем лечить без конца: нос вытащил - хвост увяз...
а как ее обновить?
Автоматическое обновление включить.
Или сходит на windowsupdate.microsoft.com
Или руками отсюда: [url]http://www.microsoft.com/technet/security/current.aspx[/url]
заходил на сайт windowsupdate.microsoft.com
обновлялся до момента пока не написало что не подходит ключ продукта...
а изначальная проблема с svchost.exe - ошибка приложения и пропадает звук все еще осталась (((
Дальше руками тогда, что ёще остаётся. Через незакрытые дыры вас ломают.
как их закрыть или вычислить, неужели нет вариантов???
Я их не вычисляю. Я просто тупо ставлю все заплатки, про которые написано, что они для XP SP2. Предупреждаю сразу - их до фига. Можно поставить SP3 и затем заплатки, начиная с ноября 2006 (на самом деле там одна такая, потом одна от декабря 2007, остальные 2008 год и так далее), но система после этого может захотеть активации. Так что смотрите.
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]3[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\recycler\s-1-5-21-0243336031-4052116379-881863308-0851\vse432.exe - [B]Trojan.Win32.Buzus.bxsy[/B] ( DrWEB: Win32.HLLW.Recycler.6, BitDefender: Trojan.Generic.2378664, AVAST4: Win32:Trojan-gen {Other} )[*] c:\recycler\s-1-5-21-0243936033-3052116371-381863308-1811\vsbntlo.exe - [B]Trojan.Win32.Buzus.bxsx[/B] ( DrWEB: Win32.HLLW.Recycler.6, BitDefender: Trojan.Generic.2386405, NOD32: Win32/Agent.HXW trojan, AVAST4: Win32:Trojan-gen {Other} )[*] c:\windows\avdrive32.exe - [B]Net-Worm.Win32.Kolab.dvg[/B] ( DrWEB: Win32.HLLW.Lime.18, BitDefender: Worm.Generic.83261, AVAST4: Win32:Trojan-gen {Other} )[/LIST][/LIST]