Nod32 и dlink4.biz

Printable View

04.02.2010, 12:47
axxxel

Nod32 и dlink4.biz

периодически NOD32 предупреждает сообщением, о блокировке адреса dlink4.biz/****/er.php с IP 195.78.108.20:80
кто то ломится!?
04.02.2010, 13:15
Шапельский Александр

Пофиксить в Hijack
[CODE]F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,C:\WINDOWS\system32\sdra64.exe,
O20 - Winlogon Notify: crypt - Invalid registry found
[/CODE]
Выполнить скрипт
[CODE]begin
DeleteFileMask(GetAVZDirectory+'Quarantine','*.*',true);
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\System32\drivers\1c21d0a3.sys','');
DeleteService('1c21d0a3.sys');
QuarantineFile('C:\WINDOWS\System32\drivers\4b54ffd5.sys','');
DeleteService('4b54ffd5.sys');
QuarantineFile('C:\WINDOWS\System32\drivers\beta91e.sys','');
DeleteService('beta91e');
QuarantineFile('C:\WINDOWS\System32\drivers\de89e360.sys','');
DeleteService('de89e360.sys');
QuarantineFile('C:\WINDOWS\System32\drivers\dgc9bd8.sys','');
DeleteService('dgc9bd8');
QuarantineFile('C:\WINDOWS\System32\drivers\hkjf21a.sys','');
DeleteService('hkjf21a');
QuarantineFile('C:\WINDOWS\System32\Drivers\Winjp85.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Winnt06.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Winou38.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Winpv30.sys','');
DeleteService('Winjp85');
DeleteService('Winnt06');
DeleteService('Winou38');
DeleteService('Winpv30');
QuarantineFile('C:\WINDOWS\system32\sdra64.exe','');
DeleteFile('C:\WINDOWS\system32\sdra64.exe');
DeleteFile('C:\WINDOWS\System32\Drivers\Winpv30.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Winou38.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Winnt06.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Winjp85.sys');
DeleteFile('C:\WINDOWS\System32\drivers\hkjf21a.sys');
DeleteFile('C:\WINDOWS\System32\drivers\dgc9bd8.sys');
DeleteFile('C:\WINDOWS\System32\drivers\de89e360.sys');
DeleteFile('C:\WINDOWS\System32\drivers\beta91e.sys');
DeleteFile('C:\WINDOWS\System32\drivers\4b54ffd5.sys');
DeleteFile('C:\WINDOWS\System32\drivers\1c21d0a3.sys');
BC_ImportAll;
ExecuteSysClean;
Executerepair(6);
ExecuteWizard('SCU', 2, 2, true);
ExecuteWizard('TSW', 2, 2, true);
RegKeyIntParamWrite('HKLM', 'SOFTWARE\Microsoft\Windows\CurrentVersion\policies\NonEnum', '{BDEADF00-C265-11D0-BCED-00A0C90AB50F}', 1);
BC_Activate;
RebootWindows(true);
end.[/CODE]
затем следующий
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
файл [B]quarantine.zip[/B] закачайте по ссылке [B][COLOR=Red]Прислать запрошенный карантин[/COLOR][/B]
в шапке Вашей темы.
Повторите действия, описанные в п. 1 - 3 Диагностики и новые логи прикрепите к новому сообщению.
04.02.2010, 14:26
axxxel

отчет о выполнении

[QUOTE='shapel;578947']файл quarantine.zip закачайте по ссылке Прислать запрошенный карантин
в шапке Вашей темы.
Повторите действия, описанные в п. 1 - 3 Диагностики и новые логи прикрепите к новому сообщению.[/QUOTE]

Файл quarantine.zip отправлен, прилагаю новые логи.
04.02.2010, 14:39
Шапельский Александр

Выполните скрипт
[CODE]begin
DeleteFileMask(GetAVZDirectory+'Quarantine','*.*',true);
SearchRootkit(true, true);
SetAVZGuardStatus(True);
SetServiceStart('ClipSrvstisvc', 4);
DeleteService('ClipSrvstisvc');
StopService('ClipSrvstisvc');
SetServiceStart('ERSvcWebClient', 4);
DeleteService('ERSvcWebClient');
StopService('ERSvcWebClient');
SetServiceStart('lanmanserverSharedAccess', 4);
DeleteService('lanmanserverSharedAccess');
StopService('lanmanserverSharedAccess');
SetServiceStart('lanmanworkstationwuauserv', 4);
DeleteService('lanmanworkstationwuauserv');
StopService('lanmanworkstationwuauserv');
SetServiceStart('NetDDEERSvc', 4);
DeleteService('NetDDEERSvc');
StopService('NetDDEERSvc');
SetServiceStart('NVSvcSpooler', 4);
DeleteService('NVSvcSpooler');
StopService('NVSvcSpooler');
SetServiceStart('WebClientCryptSvc', 4);
DeleteService('WebClientCryptSvc');
StopService('WebClientCryptSvc');
QuarantineFile('C:\WINDOWS\system32\drivers\qrjyoqtmayrs.sys','');
DeleteService('yrjmkllbkl');
StopService('yrjmkllbkl');
SetServiceStart('yrjmkllbkl', 4);
DeleteFile('C:\WINDOWS\system32\drivers\qrjyoqtmayrs.sys');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]
закачайте карантин по ссылке [B][COLOR=Red]Прислать запрошенный карантин[/COLOR][/B] в шапке Вашей темы (Приложение 3 правил).
Повторите действия, описанные в п. 1 - 3 Диагностики и новые логи прикрепите к новому сообщению.
04.02.2010, 15:04
axxxel

карантин пуст.
04.02.2010, 15:12
Шапельский Александр

[QUOTE=axxxel;579017]карантин пуст.[/QUOTE]
Такое бывает, новые логи сделайте.
04.02.2010, 15:26
axxxel

Вложений: 1

логи

вот логи
04.02.2010, 15:54
Шапельский Александр

Выполнить скрипт
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\drivers\qrjyoqtmayrs.sys','');
SetServiceStart('yrjmkllbkl', 4);
DeleteService('yrjmkllbkl');
StopService('yrjmkllbkl');
SetServiceStart('WebClientCryptSvc', 4);
DeleteService('WebClientCryptSvc');
StopService('WebClientCryptSvc');
SetServiceStart('NVSvcSpooler', 4);
DeleteService('NVSvcSpooler');
StopService('NVSvcSpooler');
SetServiceStart('NetDDEERSvc', 4);
DeleteService('NetDDEERSvc');
StopService('NetDDEERSvc');
SetServiceStart('lanmanworkstationwuauserv', 4);
DeleteService('lanmanworkstationwuauserv');
StopService('lanmanworkstationwuauserv');
SetServiceStart('lanmanserverSharedAccess', 4);
DeleteService('lanmanserverSharedAccess');
StopService('lanmanserverSharedAccess');
SetServiceStart('ERSvcWebClient', 4);
DeleteService('ERSvcWebClient');
StopService('ERSvcWebClient');
SetServiceStart('ClipSrvstisvc', 4);
DeleteService('ClipSrvstisvc');
StopService('ClipSrvstisvc');
DeleteFile('C:\WINDOWS\system32\drivers\qrjyoqtmayrs.sys');
BC_ImportDeletedList;
BC_DeleteSvc('yrjmkllbkl');
BC_DeleteSvc('WebClientCryptSvc');
BC_DeleteSvc('NVSvcSpooler');
BC_DeleteSvc('NetDDEERSvc');
BC_DeleteSvc('lanmanworkstationwuauserv');
BC_DeleteSvc('lanmanserverSharedAccess');
BC_DeleteSvc('ERSvcWebClient');
BC_DeleteSvc('ClipSrvstisvc');
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]
закачайте карантин по ссылке [B][COLOR=Red]Прислать запрошенный карантин[/COLOR][/B] в шапке Вашей темы (Приложение 3 правил).
Сделайте новый лог virusinfo_syscheck.zip
04.02.2010, 16:32
axxxel

карантин пуст

в карантине по прежнему ничего.
04.02.2010, 16:44
Шапельский Александр

Выполните скрипт
[CODE]begin
SetAVZPMStatus(True);
RebootWindows(true);
end.[/CODE]
Сделайте логи АВЗ и лог Gmer
04.02.2010, 17:18
axxxel

логи AVZи Gmer

вот они
04.02.2010, 17:25
Шапельский Александр

Лог Gmer'а--пустой, еще раз сделайте. Посмотрите в моей подписи как делать лог.
04.02.2010, 17:40
axxxel

так и сделал, все галки кроме как на диске "С" снял и запустил, ничего, говорит не найдено, может еще какие нибудь галочки поставить
04.02.2010, 17:43
Шапельский Александр

[QUOTE=axxxel;579159]так и сделал, все галки кроме как на диске "С" снял и запустил, ничего, говорит не найдено, может еще какие нибудь галочки поставить[/QUOTE]
Т.е. лог пустой как и в предыдущий раз?
04.02.2010, 17:59
axxxel

да пустой, пишет Hasn t found...
04.02.2010, 18:28
Шапельский Александр

Делаем паузу, надо подумать.
05.02.2010, 10:02
axxxel

галочки

правильно ли я расставляю галочки ?!
05.02.2010, 10:11
Alex_Goodwin

Не правильно. Смотрите тут. [url]http://virusinfo.info/showthread.php?t=40118[/url]
05.02.2010, 10:51
axxxel

логи

Gver, AVZ запрошенные
05.02.2010, 11:35
Шапельский Александр

В логах чисто, что с проблемой?
Удалите Bonjour--[URL="http://virusinfo.info/showthread.php?t=27923"]http://virusinfo.info/showthread.php?t=27923[/URL]
05.02.2010, 12:00
axxxel

НОД перестал показывать уведомления, в логах есть остатки касперского, удалить его корректно не получалось (давно было) есть ли возможность удалить их ?

Бонжур разве не требуется для синхронизации Iphone ?
некоторые программы просят его установить
05.02.2010, 16:18
Шапельский Александр

[QUOTE='axxxel;579726']в логах есть остатки касперского, удалить его корректно не получалось (давно было) есть ли возможность удалить их ?[/QUOTE]
Посмотрите здесь как удалять остатки [URL="http://virusinfo.info/showthread.php?t=16646"]http://virusinfo.info/showthread.php?t=16646[/URL]
06.02.2010, 16:18
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]22[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]