Printable View
Сабж. Как сайты сами обновляются? Ну, заходишь на любую страничку, а она обновляется каждую секундку, как-будто ф5 залипла. Так например с "вконтакте"
Пытался вывести своими трудами, не получилось. Забыл выгрузить dr web :( autorun он заблокировал.
Спасибо.
Выполните скрипт в AVZ
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\autorun.inf','');
QuarantineFile('C:\WINDOWS\system32\53.exe','');
QuarantineFile('C:\RECYCLER\S-1-5-21-7148283234-1107981760-476337672-6063\syscr.exe,explorer.exe','');
QuarantineFile('C:\RECYCLER\S-1-5-21-7148283234-1107981760-476337672-6063\syscr.exe','');
DeleteFile('C:\RECYCLER\S-1-5-21-7148283234-1107981760-476337672-6063\syscr.exe');
DeleteFile('C:\RECYCLER\S-1-5-21-7148283234-1107981760-476337672-6063\syscr.exe,explorer.exe');
DeleteFile('C:\WINDOWS\system32\53.exe');
DeleteFile('C:\autorun.inf');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Winlogon','Taskman');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end. [/code]Компьютер перезагрузится.
Пришлите карантин согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы
Сделайте новые логи + лог [url]http://virusinfo.info/showpost.php?p=493610&postcount=1[/url]
Эта штука, Combofix, убрала из автозагрузки ничем неповинную языковую панель и собственноручно установленный кейлоггер :(
Карантин прислал. Логи загрузил.
Языковая панель вернется, а кейлоггер или [URL="http://virusinfo.info/showpost.php?p=514765&postcount=3"]восстановите из карантина[/URL], или установите заново
Между тем было много удалено мусора
Скопируйте текст ниже в блокнот и сохраните как файл с названием CFScript.txt на рабочий стол.
[code]KillAll::
File::
Driver::
xkgvuusd
NetSvc::
xkgvuusd
Folder::
Registry::
FileLook::
DirLook::[/code]
После сохранения переместите CFScript.txt на пиктограмму ComboFix.exe.
[IMG]http://i076.radikal.ru/1003/e5/554faea12baf.gif[/IMG]
Когда сохранится новый отчет [B]ComboFix.txt[/B], прикрепите его к сообщению.
Выполните скрипт в AVZ
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\ndll.exe','');
DeleteFile('C:\WINDOWS\ndll.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','oo');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end. [/code]Компьютер перезагрузится.
Пришлите карантин (если не окажется пустым) согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы
Сделайте новые логи
Выполнил я это на комбо-фиксе. ctfmon не оказался в автозапуске. добавил через реестр. Запустился. После перезапуска его там уже не было. Запустил в ручную. Панелька в трее не появилась. Включить ее через контекстное меню таскбара не получается-галочка просто не ставится. Язык тоже было не переключить. Сделал откат системы. Чуть позже сброшу логи.
Спасибо.
[QUOTE='thyrex;614378']Языковая панель вернется[/QUOTE]
[QUOTE='nismoxid;614464']Выполнил я это на комбо-фиксе. ctfmon не оказался в автозапуске[/QUOTE]После удаления ComboFix все вернулось бы на место
Вот логи. Гхм. Я ресторил систему с точки, созданной после удаления вирусов. А вот они снова как-то оказались, те же самые.
[QUOTE='nismoxid;614863']Я ресторил систему с точки, созданной после удаления вирусов. А вот они снова как-то оказались, те же самые.[/QUOTE]Потому что не вылечились до конца, и вирусы оказались в резервном хранилище системы
[B]Отключите восстановление системы[/B]
Выполните скрипт в AVZ
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\12.exe','');
QuarantineFile('C:\WINDOWS\system32\msvmcls64.exe','');
QuarantineFile('C:\RECYCLER\S-1-5-21-3007908488-1420782481-073988480-2842\syscr.exe','');
DeleteFile('C:\RECYCLER\S-1-5-21-3007908488-1420782481-073988480-2842\syscr.exe');
DeleteFile('C:\WINDOWS\system32\msvmcls64.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','MS Virtual CLS');
DeleteFile('C:\WINDOWS\system32\12.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Winlogon','Taskman');
RegKeyIntParamWrite('HKLM','SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer','NoDriveTypeAutoRun', 221);
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end. [/code]Компьютер перезагрузится.
Пришлите карантин согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы
Сделайте новые логи
Кстати, во время загрузки винды, прямо на фоне "Приветствие", стало вылезать квадратное окошко без названия с сожержанием "[]" или что-то подобное. С кнопкой "ОК". Когда нажимаешь на эту кнопку, окошко закрывается, загрузка продолжается дальше.
Логи сделаны. Карантин загружен
Выполните скрипт в AVZ
[code]begin
ExecuteRepair(7);
RebootWindows(true);
end. [/code]Компьютер перезагрузится.
Эти же самые вирусы вернулись. Все в связке. Систему не ресторил.
Попробовал найти по описаниям - все это распространяется через email. но эл. почтой я пользуюсь "нормально" - оттуда не мог схватить. Вот логи.
ЗЫ: Сайтами в последние дни пользуюсь только "проверенными"
Выполните скрипт в AVZ
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\Chapter Four\Games\The Path\channels\InterfaceMatrix.dll','');
QuarantineFile('C:\Chapter Four\Games\The Path\channels\InstanceRefFromContainer.dll','');
DeleteFile('C:\RECYCLER\S-1-5-21-8229975900-2174384039-342211847-3019\syscr.exe');
DeleteFile('C:\WINDOWS\ndll.exe');
DeleteFile('C:\WINDOWS\system32\msvmcls64.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','MS Virtual CLS');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','oo');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Winlogon','Taskman');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end. [/code]Компьютер перезагрузится.
Пришлите карантин согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы
Сделайте новые логи + лог ComboFix
Загрузил карантин.
Выкладываю логи. Как нужно вернуть ctfmon на место?
Кстати, контакт как обновлялся так и обновляется. Такое С ЛЮБЫМИ браузерами.
Скопируйте текст ниже в блокнот и сохраните как файл с названием CFScript.txt на рабочий стол.
[code]KillAll::
File::
Driver::
xkgvuusd
NetSvc::
xkgvuusd
Folder::
Registry::
FileLook::
DirLook::[/code]
После сохранения переместите CFScript.txt на пиктограмму ComboFix.exe.
[IMG]http://i076.radikal.ru/1003/e5/554faea12baf.gif[/IMG]
Когда сохранится новый отчет [B]ComboFix.txt[/B], прикрепите его к сообщению.
Загрузил. Повторю вопрос:
Как вернуть ctfmon?
В папке диск:\windows уже второй раз появляются файлы со странным названием: grep.exe, sed.exe, SWREG.exe, SWSC.exe, SWXCACLS.exe, zip.exe.
Контакт еще обновляется. Так же во всех флэш приложениях, которые имеют связь сервер-клиент-сервер происходит ошибка. Как я понимаю, клиент, то есть я, не отдаю никаких данных. Флеш плеер переустанавливал.
ЗЫ: Каждый раз при проверке комбофикс, на "надписи" completed stage 3 вылезает дебаггер. После его "отмены" проверка идет дальше.
ЗЫЫ: Есть 3 файла: MsSip1.dll, MsSip2.dll, MsSip3.dll.
Что это? Где-то говорят удалять это, где-то говорят оставить. Этих файлов при голой установке винды нет. Причем файлов на диске нет. Но в автозапуск их кто-то добавляет.
По логу больше ничего плохого не видно
[URL="http://virusinfo.info/showpost.php?p=500136&postcount=2"]Удалите ComboFix[/URL]
Языковая панель вернулась?
[QUOTE='nismoxid;615845']Есть 3 файла: MsSip1.dll, MsSip2.dll, MsSip3.dll.[/QUOTE]Не трогайте эти файлы
[QUOTE=thyrex;616099]
[URL="http://virusinfo.info/showpost.php?p=500136&postcount=2"]Удалите ComboFix[/URL]
Языковая панель вернулась?
[/QUOTE]
Выполнил все 2 пункта. Нет, не вернулась.
Так как ее все-таки вернуть?
Эх, и зачем Вы пытались ее самостоятельно восстановить
Скачайте архив во вложении, распакуйте и внесите информацию в реестр, дважды кликнув левой кнопкой мыши по каждому из файлов и подтвердив добавление информации
Все появилось, спасибо.
А что это за юзер "S-1-5-20" в третьем рег-файле? Просто ID?
Такой был и у Вас
[QUOTE]O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'NETWORK SERVICE')[/QUOTE]
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]3[/B][*]Обработано файлов: [B]26[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\recycler\s-1-5-21-3007908488-1420782481-073988480-2842\syscr.exe - [B]P2P-Worm.Win32.Palevo.aanu[/B] ( DrWEB: Trojan.MulDrop1.11256 )[*] c:\recycler\s-1-5-21-7148283234-1107981760-476337672-6063\syscr.exe - [B]P2P-Worm.Win32.Palevo.aagk[/B] ( DrWEB: Trojan.MulDrop1.11256, BitDefender: Worm.Generic.232948, AVAST4: Win32:VB-OUR [Wrm] )[*] c:\windows\system32\msvmcls64.exe - [B]Trojan.Win32.VBKrypt.iw[/B] ( DrWEB: Trojan.Packed.19845, BitDefender: Win32.Worm.Kolab.AV, AVAST4: Win32:Malware-gen )[*] c:\windows\system32\12.exe - [B]P2P-Worm.Win32.Palevo.aanu[/B] ( DrWEB: Trojan.MulDrop1.11256 )[*] c:\windows\system32\53.exe - [B]P2P-Worm.Win32.Palevo.aagk[/B] ( DrWEB: Trojan.MulDrop1.11256, BitDefender: Worm.Generic.232948, AVAST4: Win32:VB-OUR [Wrm] )[/LIST][/LIST]