Printable View
Периодически, с интервалом в несколько минут, выскакивает окно командной строки и через 200-300 мс исчезает. Краем глаза заметил, что операция осуществляется с файлами из папки Documents and Settings, в которой я нашел с десяток непонятных exe-шников. На всякий случай решил не удалять.
Посмотрите, пожалуйста, в чем проблема.
Выполните скрипт в avz
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('{13POP6M8-1MAD-24AD-JIM1-73OP5G2223335}');
QuarantineFile('C:\JAMA\CRAFT\pop.exe','');
DeleteFile('C:\JAMA\CRAFT\pop.exe');
DeleteFileMask('C:\JAMA', '*.*', true);
DeleteDirectory('C:\JAMA');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]
ПК перезагрузится.
Пришлите карантин согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы
Сделайте новые логи.
Карантин прислал, логи сделал.
Также поотключал все потенциально опасные службы, внес коррективы в политики, т.е. все как сказано. В результате после очередной перезагрузки модема перестал работать интернет, а с моего номера ICQ начал отсылаться спам на другой компьютер (за которым собственно говоря я и сижу). Логи сделать возможности нету, подскажите, пожалуйста, как исправить проблему.
Закройте/выгрузите все программы кроме AVZ и Internet Explorer.
- Отключите ПК от интернета/локалки
- Отключите Антивирус и Файрвол.
- Отключите Системное восстановление.
В AVZ выполните скрипт:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\System32\svchost.exe','');
QuarantineFile('C:\JAN\J-1-2-34-000000AAAA-11111111111-5555555555-111\Max.exe','');
QuarantineFile('C:\JAMA\CRAFT\pop.exe','');
DeleteFile('C:\JAMA\CRAFT\pop.exe');
DeleteFile('C:\JAN\J-1-2-34-000000AAAA-11111111111-5555555555-111\Max.exe');
DeleteFileMask('C:\JAMA', '*.*', true);
DeleteDirectory('C:\JAMA');
DeleteFileMask('C:\JAN', '*.*', true);
DeleteDirectory('C:\JAN');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
ExecuteWizard('TSW',3,3,true);
RebootWindows(true);
end.
[/code]
После перезагрузки
[code]
begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.
[/code]
Пришлите карантин quarantine.zip по красной ссылке Прислать запрошенный карантин вверху темы
Сделайте новые логи.
Карантин прислал, логи сделал.
Выполните скрипт в AVZ
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DelCLSID('{67KLN5J0-4OPM-00WE-AAX5-77EF1D187463}');
DelCLSID('{13POP6M8-1MAD-24AD-JIM1-73OP5G2223335}');
QuarantineFile('C:\JAN\J-1-2-34-000000AAAA-11111111111-5555555555-111\Max.exe','');
QuarantineFile('C:\JAMA\CRAFT\pop.exe','');
DeleteFile('C:\JAMA\CRAFT\pop.exe');
DeleteFile('C:\JAN\J-1-2-34-000000AAAA-11111111111-5555555555-111\Max.exe');
DeleteFileMask('C:\JAMA', '*.*', true);
DeleteDirectory('C:\JAMA');
DeleteFileMask('C:\JAN', '*.*', true);
DeleteDirectory('C:\JAN');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]Компьютер перезагрузится
Пришлите карантин согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы
Сделайте новые логи
Карантин прислал, логи сделал.
Установите надежные пароли на учетные записи пользователей с правами администратора.
Выполните в AVZ скрипт из файла [url=http://df.ru/~kad/ScanVuln.txt]ScanVuln.txt[/url] и приложите к этой теме файл avz_log.txt из под-папки [b]log[/b].
Прикрепил лог, поставил пароль на админскую учетку
Установите обновления безопасности на Windows, IE и Adobe Flash Player.
А где можно почитать о процедуре установки этих обновлений?
[url]http://update.microsoft.com[/url]
[url]http://get.adobe.com/flashplayer[/url]
С системой вряд ли получится, она же нелицензионная...
[size="1"][color="#666686"][B][I]Добавлено через 2 часа 59 минут[/I][/B][/color][/size]
Обновил FlashPlayer, IE. С системой пока не знаю, что делать.
[url]http://www.microsoft.com/technet/security/current.aspx[/url]
Извините, я не знаю английский настолько хорошо, чтобы понять, что по данной ссылке мне нужно...
Ответьте, пожалуйста, что мне делать?
Разобрался с обновлениями безопасности, установил всё, кроме уязвимостей MS Office, так как ни одна из скачиваемых версий бюллетня не подошла. Сделал новые логи и новый лог скрипта от AndreyKa. Посмотрите тему, пожалуйста.
В логах чисто.
У вас Microsoft Office 2003. Чтобы установить обновление указанное в avz_log.txt на него должен быть установлен Service Pack 3:
[url]http://www.microsoft.com/downloads/details.aspx?displaylang=ru&FamilyID=e25b7049-3e13-433b-b9d2-5e3c1132f206[/url]
Скажите, пожалуйста, а вот этот момент в прикрепленном логе является нормальным?:
[quote] Ядро ntkrnlpa.exe обнаружено в памяти по адресу 804D7000
SDT = 8055C700
KiST = 80504460 (284)
Функция NtCreateKey (29) перехвачена (806237BE->B7EA70E0), перехватчик spdt.sys
>>> Функция воcстановлена успешно !
>>> Код перехватчика нейтрализован
Функция NtEnumerateKey (47) перехвачена (80623FFE->B7EC5CA4), перехватчик spdt.sys
>>> Функция воcстановлена успешно !
>>> Код перехватчика нейтрализован
Функция NtEnumerateValueKey (49) перехвачена (80624268->B7EC6032), перехватчик spdt.sys
>>> Функция воcстановлена успешно !
>>> Код перехватчика нейтрализован
Функция NtOpenKey (77) перехвачена (80624B90->B7EA70C0), перехватчик spdt.sys
>>> Функция воcстановлена успешно !
>>> Код перехватчика нейтрализован
Функция NtQueryKey (A0) перехвачена (80624EB6->B7EC610A), перехватчик spdt.sys
>>> Функция воcстановлена успешно !
>>> Код перехватчика нейтрализован
Функция NtQueryValueKey (B1) перехвачена (806219F6->B7EC5F8A), перехватчик spdt.sys
>>> Функция воcстановлена успешно !
>>> Код перехватчика нейтрализован
Функция NtSetValueKey (F7) перехвачена (80621D44->B7EC619C), перехватчик spdt.sys
>>> Функция воcстановлена успешно !
>>> Код перехватчика нейтрализован
Проверено функций: 284, перехвачено: 7, восстановлено: 7[/quote]
Это нормально.
Да.
Тогда спасибо огромное за помощь, тему можно закрывать.
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]3[/B][*]Обработано файлов: [B]19[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\jama\craft\pop.exe - [B]Trojan-Spy.Win32.VB.cdp[/B] ( DrWEB: Trojan.MulDrop.55665, BitDefender: Trojan.Generic.2913223, AVAST4: Win32:Malware-gen )[*] c:\jan\j-1-2-34-000000aaaa-11111111111-5555555555-111\max.exe - [B]Trojan.Win32.VB.zyk[/B] ( BitDefender: Trojan.Generic.2958092, AVAST4: Win32:Malware-gen )[/LIST][/LIST]
Рекомендации:
[LIST=1][*]Обнаружены троянские программы класса Trojan-PSW/Trojan-Spy - настоятельно рекомендуется поменять все пароли ![/LIST]