:? Здравствуйте!
С чужой флэшки видно подцепил ЛЮКИ.
DrWeb выличил, но теперь не видно в проводнике содержимого всех дисков.
При запуске DrWeb в его внутреннем браузере все папки и их содержимое видно.
Новые папки создаются и видимы. Ярлыки на рабочем столе функционируют, как раньше. Вероятно, что-то с реестром.
Все сделал, как написано в Ваших правилах. Высылаю то, что в них прописано.
Надеюсь на помощь.
С уважением
Андрей
AVZ - файл - выполнить скрипт[CODE]begin
SetAVZGuardStatus(True);
QuarantineFile('e:\**order.exe','');
QuarantineFile('d:\**order.exe','');
QuarantineFile('c:\**order.exe','');
QuarantineFile('c:\program files\common files\logitech\lvmvfm\lvprcsrv.exe','');
QuarantineFile('c:\program files\cyberlink\powerdvd\pdvdserv.exe','');
QuarantineFile('c:\program files\logitech\desktop messenger\8876480\program\logitechdesktopmessenger.exe','');
SetAVZGuardStatus(False);
end.[/CODE]Прислать карантин в соответствии с приложением 2 правил, с пятого пункта.
Попробуйте восстановить настройки проводника средствами AVZ:
AVZ - файл - восстановление системы
отметить пункт 8. Восстановление настроек проводника
и нажать - выполнить отмеченные операции.
Спасибо! Попробую. Все действительно связано с order.exe.
Его я убрал из реестра. Но папки попрежнему не видны.
[QUOTE=avsha;89946]Спасибо! Попробую. Все действительно связано с order.exe.
Его я убрал из реестра. Но папки попрежнему не видны.[/QUOTE]
Пришлите пожалуйста данный файл (в соответствии с приложением 2 правил)
Сделал, как советуете. Не помогло.
Файлы из карантина пытаюсь отправить, но не понимаю (пардон), что надо вставить вместо :
XXXX на существующую тему на форуме.
Файл order.exe похоже удален DrWEB, или я его просто не вижу. Поиск, кстати, не дает никаких результатов.
Спасибо.
ссылка на Вашу тему [url]http://virusinfo.info/showthread.php?t=7368[/url]
спасибо
Все получилось- отправил zip
Кстати, забыл сообщить:
в момент заражения пропали все точки восстановления системы.
Правда, это может только кажется, отключены вирусом?
В присланное попал только:
C:\Documents and Settings\AASHAM\Local Settings\Temporary Internet Files\Content.IE5\0DAROPQR\2[1].wmf - WMF exploit
Странно почему он не удалён, DrWeb его знает.
Для восстановления можно попробовать эту - [url]ftp://ftp.drweb.com/pub/drweb/windows/plstfix.exe[/url] утилиту от DrWeb ([url]http://info.drweb.com/show/2950/ru[/url])
Пофиксите ([url]http://virusinfo.info/showthread.php?t=4491):[/url][CODE]O4 - HKLM\..\Run: [InitiateSystemdWork] d:\**order.exe
O4 - HKLM\..\Run: [InitiateSystemeWork] e:\**order.exe
O4 - HKLM\..\Run: [InitiateSystemfWork] f:\**order.exe
O4 - HKLM\..\Run: [InitiateSystemgWork] g:\**order.exe
O4 - HKLM\..\Run: [InitiateSystemhWork] h:\**order.exe
O4 - HKLM\..\Run: [InitiateSystemiWork] i:\**order.exe
O4 - HKLM\..\Run: [InitiateSystemjWork] j:\**order.exe
O4 - HKLM\..\Run: [InitiateSystemkWork] k:\**order.exe
O4 - HKLM\..\Run: [InitiateSystemlWork] l:\**order.exe
O4 - HKLM\..\Run: [InitiateSystemmWork] m:\**order.exe
O4 - HKLM\..\Run: [InitiateSystemnWork] n:\**order.exe
O4 - HKLM\..\Run: [InitiateSystemoWork] o:\**order.exe
O4 - HKLM\..\Run: [InitiateSystempWork] p:\**order.exe
O4 - HKLM\..\Run: [InitiateSystemqWork] q:\**order.exe
O4 - HKLM\..\Run: [InitiateSystemrWork] r:\**order.exe
O4 - HKLM\..\Run: [InitiateSystemsWork] s:\**order.exe
O4 - HKLM\..\Run: [InitiateSystemtWork] t:\**order.exe
O4 - HKLM\..\Run: [InitiateSystemuWork] u:\**order.exe
O4 - HKLM\..\Run: [InitiateSystemvWork] v:\**order.exe
O4 - HKLM\..\Run: [InitiateSystemwWork] w:\**order.exe
O4 - HKLM\..\Run: [InitiateSystemxWork] x:\**order.exe
O4 - HKLM\..\Run: [InitiateSystemyWork] y:\**order.exe
O4 - HKLM\..\Run: [InitiateSystemzWork] z:\**order.exe
O4 - HKLM\..\Run: [InitiateSystemcWork] c:\**order.exe[/CODE]
С указанной Вами утилитой от DrWEB справился - содержимое диска С теперь вижу. Но другие диски - нет.
На ссылке о "пофиксить" два пояснения.
В первом предлагается "фиксить" указанные Вами строки
Во втором - перейти в Misc Tools и в Delet An NT Service ввести нужный параметр.
При использовании:
в первом случае у меня нет таких строк, может быть из-за того, что я удалил это в реестре;
во втором - ругается, что не может найти в ррестре order.exe.
Может чего не понимаю?
От радости не заметил, что на С не видно Documents and Settings. Появились только папки Windows и Programm Fails. На других - только новын папки, после "атаки".
Запустил еще раз DrWeb, странно, но только сейчас он заметил
2[1].wmf - WMF exploit и удалил. Так же он заметил один из файлов (первый при прогоне) от AVZ с расширением dta. Жду советов.
ПОвторить логи
Повторил Логи, как советовали.
Отправил их через
[url]http://virusinfo.info/upload_virus.php[/url]
Жду дальнейших советов...
Отправлять логи не нужно. Нужно их прикрепить как в первый раз. Это не наши капризы. Просто нет времени на раскопки.
Понял
Продолжение темы
[URL]http://virusinfo.info/showthread.php?t=7368[/URL]
Добавка новых Логов по Вашей просьбе.
Напомню, что все началось с order.exe, который удалил DrWeb.
Из реестра я его тоже удалил.
Отправил новые Логи в новой теме со ссылкой на эту.
Прсто не сразу понял, как убрать старые вложения.
Выполнить скрипт, прислать файлы из карантина
[CODE]
begin
QuarantineFile('C:\WINDOWS\system32\ElkCtrl.exe','');
QuarantineFile('C:\WINDOWS\Installer\{99ADC6C1-45D9-4D5C-B1CD-EB0F15FB529B}\IMAGEFOX_STRTUP_SHRTCUT.exe','');
QuarantineFile('C:\DOCUME~1\AASHAM\LOCALS~1\Temp\IadHide5.dll','');
end.
[/CODE]
Прислать только 3 файла перечисленные выше
Выполнил.
Высылаю файлы из карантина.
Логи прикреплать к теме. Файлы высылать как описано в правилах. Что сложного?
Да уж! Но все же Новый Год и тема - новая.
Файл из карантина выслал с ссылкой на тему.
Из 3 запрошенных файлов пришел только один IadHide5.dll. Остальные два не те, что просил. Где те?
Не понимаю как, но после Ваших скриптов в карантин попало то, что я Вам выслал. Ведь имена файлов прописаны в скриптах. Так ведь?
В карантине остались файлы от старых скриптов. Потому я специально написал выслать именно последние 3, а не всё что есть.
Прогнал еще раз скрипты.
Посмотрел архив AVZ, там именно те файлы, которые Вы просите.
Высылаю.
Странно, почему их не было при первом и втором прогонах.
Кстати, в папке Windows не вижу папку Installer.
[moderated]
Файл сохранён как 070106_105447_virus4_459fd4576a9cb.zip
Размер файла 134742
MD5 fc8a51f5e54ce823923d742f0d3412af
Почему-то, все молчат. Может быть устали за праздники?
А папки до сих пор не видны.
Неужели все так плохо...
[QUOTE=avsha;90378]Почему-то, все молчат. Может быть устали за праздники?
А папки до сих пор не видны.
Неужели все так плохо...[/QUOTE]
Потому что дистанионное редактирование реестра маловероятно.
Попробуйте ещё раз AVZ - Файл - восстановление системы
поставить галочки во всех пунктах и выполнить. (хуже не будет)
У Вас включено отображение скрытых папок и файлов, может они просто у вас стали скрытыми. (проводник - сервис - свойства папки)
Об отключении подумал. Но все включено.
Попробую ещу раз AVZ.
Да уж!
С рождеством!!!
Всем спасибо.
Извините за беспокойство.
Что-то непонятно? Все исправилось или как?
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]3[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]