комп заражен, касперский видит, но не может убить, avz не загружает обновление.

Printable View

11.12.2006, 10:55
Pooh

комп заражен, касперский видит, но не может убить, avz не загружает обновление.

Добрый день!
Замечательный у Вас сайт! очень рад что Вас нашел.
Вообщем ближе к делу
у меня следующая ситуация:

Заражен: вирус Email-Worm.Win32.Warezov.dq creconf.exe\creconf.exe 48 КБ
Заражен: троянская программа Trojan-Proxy.Win32.Agent.lm C:\WINDOWS\system32\statfsd.dll 180 КБ
Заражен: вирус Email-Worm.Win32.Warezov.hg C:\windows\system32\diagfsd.dll 52 КБ
Заражен: вирус Email-Worm.Win32.Warezov.gz C:\WINDOWS\system32\fsdprf32.dll 52 КБ
Заражен: вирус Email-Worm.Win32.Warezov.dq fsdconf.exe\fsdconf.exe 48 КБ
Заражен: вирус Email-Worm.Win32.Warezov.dq C:\WINDOWS\system32\creconf.exe 48 КБ
Заражен: троянская программа Trojan-Proxy.Win32.Agent.lm C:\windows\system32\statfsd.dll 180 КБ
Заражен: вирус Email-Worm.Win32.Warezov.hf C:\WINDOWS\system32\diagcre.dll 48 КБ
Заражен: вирус Email-Worm.Win32.Warezov.gz C:\WINDOWS\system32\fsdprf32.dll 52 КБ
Заражен: вирус Email-Worm.Win32.Warezov.dq C:\WINDOWS\system32\fsdconf.exe 48 КБ
Заражен: троянская программа Trojan-Proxy.Win32.Agent.lm C:\windows\system32\statcre.dll 172 КБ
Заражен: троянская программа Trojan-Proxy.Win32.Agent.lm C:\WINDOWS\system32\statcre.dll 172 КБ
Заражен: вирус Email-Worm.Win32.Warezov.hf C:\windows\system32\diagcre.dll 48 КБ
Заражен: вирус Email-Worm.Win32.Warezov.hg C:\WINDOWS\system32\diagfsd.dll 52 КБ
Это все увидел Касперский, но удалять не получается, появляются заново. При загрузке через безопасный режим(как и в обычном) эти файлы найти не получается, те в ручную удалить у меня их тоже не выходит.
Скачал AVZ и Hijack this.
AVZ не обновляет базы данных выдает ошибку.
Пробовал им сканить комп, ничего подозрительного для себя он не обноруживает.
Как быть? Очень требуется помощь.
Спасибо!
С уважением,
Иванов Сергей.
11.12.2006, 11:16
Зайцев Олег

Выполните правила и приложите положенные логи ...
11.12.2006, 11:19
Pooh

у меня AVZ не обновляется:
Ошибка в ходе автоматического обновления - Ощибка загрузки файла с описанием обновления avzupd.zip с http:/avz.vifusinfo.info/avz_up/[21, 00002EFD]

Ошибка в ходе автоматического обновления - Ощибка загрузки файла с описанием обновления avzupd.zip с http:/z-oleg.com/secur/avz_up/[21, 00002EFD]

а при проверке без обновлений пишет что ничего подозрительного нету.
ладно, сделаю лог на основе того что есть. прикреплю через 5 минут.
11.12.2006, 12:07
Pooh

вот пожалуйста логи.
11.12.2006, 12:36
Зайцев Олег

Необходимо поискать и прислать согласно правилам следующие файлы:
C:\WINDOWS\system32\atkcadpt.dll
alrsbatt.dll
audmgr32.dll
audstat.dll
brwmgr32.dll
brwstat.dll
confaud.dll
confbrw.dll
diagcre.dll
diagdxt.dll
diagfsd.dll
e1.dll
statcre.dll
statdxt.dll
statfsd.dll
Все эти файлы должны быть в папке System32 или windows ...
11.12.2006, 13:16
Pooh

ненаходит такие файлы, соотвественно их в карантине нет, архивировать нечего...
что делать?
пс: зато обновление начало работать!
11.12.2006, 13:18
anton_dr

Ищете из АВЗ, как написано в правилах?
11.12.2006, 13:19
Pooh

да!
11.12.2006, 13:19
Geser

этот текст:
[code]Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows]
"AppInit_DLLs"="C:\PROGRA~1\Agnitum\OUTPOS~1\wl_hook.dll"

[/code]
вставьте в Блокнот и сохраните под именем "appinit.reg" (прямо так в кавычках и набирайте). Потом мышкой два щелчка по файлу и подтвердите внесение изменений.

Перегрузиться, повторить лог hijackthis
11.12.2006, 13:26
Pooh

Вложений: 1

сделал
11.12.2006, 13:36
Geser

Авз->файл->выполнить скрипт

[CODE]begin
SearchRootkit(true,true);
SetAVZGuardStatus(true);
DeleteFile('C:\WINDOWS\system32\atkcadpt.dll');
DeleteFile('alrsbatt.dll');
DeleteFile('audmgr32.dll');
DeleteFile('audstat.dll');
DeleteFile('brwmgr32.dll');
DeleteFile('brwstat.dll');
DeleteFile('confaud.dll');
DeleteFile('confbrw.dll');
DeleteFile('diagcre.dll');
DeleteFile('diagdxt.dll');
DeleteFile('diagfsd.dll');
DeleteFile('e1.dll');
DeleteFile('statcre.dll');
DeleteFile('statdxt.dll');
DeleteFile('statfsd.dll');
ExecuteSysClean;
RebootWindows(true);
end.[/CODE]

После перегрузки повторить все логи
11.12.2006, 13:36
pig

Не воспринялось. Возможно, потому, что обратные слэши в значениях параметров надо удваивать:
[code]Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows]
"AppInit_DLLs"="C:\\PROGRA~1\\Agnitum\\OUTPOS~1\\wl_hook.dll"

[/code]
11.12.2006, 13:38
Pooh

так что мне сначала требуется сделать?: )
11.12.2006, 13:43
Geser

[QUOTE=Pooh;87243]так что мне сначала требуется сделать?: )[/QUOTE]
Короче сделать и то и то, потом повторить логи :)
11.12.2006, 13:44
Pooh

Вложений: 1

принялось вроде: ) щас буду скрипт загружать
11.12.2006, 13:50
Pooh

Вложений: 1

все сделал вроде бы.
вот итоговый лог
11.12.2006, 13:51
Geser

Это пофиксить

O20 - Winlogon Notify: atkcadpt - C:\WINDOWS\
O20 - Winlogon Notify: audmgr - C:\WINDOWS\
O20 - Winlogon Notify: brwmgr - C:\WINDOWS\
O20 - Winlogon Notify: fsdconf - C:\WINDOWS\

для надёжности можно повторить логи АВЗ
11.12.2006, 13:53
Pooh

извиняюсь за свою неосведомленность, но в каком месте это пофиксить надо и каким образом?: )
11.12.2006, 13:54
Geser

[QUOTE=Pooh;87253]извиняюсь за свою неосведомленность, но в каком месте это пофиксить надо и каким образом?: )[/QUOTE]
[url]http://virusinfo.info/showthread.php?t=4491[/url]
11.12.2006, 14:57
Pooh

вот итоги, что нибудь еще имеется?
11.12.2006, 14:58
Pooh

кхм, файлы не хотять чтото прикрепляться.
11.12.2006, 15:06
Pooh

[URL="http://www.danja.ru/pooh/Logi.rar"]логи тут[/URL]
что нибудь еще есть устрашающее?:)
11.12.2006, 15:10
Geser

Наша корпоративная стенка не пропускает логи. Короче если Каспер не жалуется больше, видимо побороли
11.12.2006, 15:15
Pooh

касперский вроде молчит, на ночь поставлю на полную проверку!
ОГРОМНОЕ ВАМ СПАСИБО! мучался неделю точно! : )
11.12.2006, 19:05
pig

Выглядит чисто.