Printable View
Помогите пожалуйста.
Проблема Не работают исполняемые файлы, в связи с чем не могу выложить логи в соответствиями с правилами. Проверил из под другой ОС KIS2009 пролечил все что обнаружил. Пробовал изменять типы исполняемых файлов - никаких изменений. Не работает редактор реестра, cmd, диспетчер задач.
Полиморфный AVZ (ссылка в моей подписи) попробуйте
не запускается
Никаких порноокошек на экране нет? Например на номер 3381?
Поставил на закачку ERD comander к сожалению смогу продолжить только завтра во второй половине дня обещают отключить свет в связи с ремонтными работами. Извините.
[size="1"][color="#666686"][B][I]Добавлено через 46 секунд[/I][/B][/color][/size]
говорят были но сам я не видел пришел к не запускающимся браузерам
Доброго дня только смог добраться до машины. В данный момент загрузился с ERD comander и почему то не наблюдаю ветку hkey_current_user, жду дальнейших указаний
Посмотрите в реестре:
[B]ветка[/B] [CODE]HKEY_LOCALE_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows[/CODE]
[B]параметр[/B] [CODE]AppInit_DLLs[/CODE]
Содержимое этого параметра в своем сообщении напишите
C:\windowse\system32\perfh009.dat:QRNIuC
Выполнять с LiveCD
1. Найдите и переименуйте этот файл (новое имя запомните)
2. Очистите значение параметра AppInit_DLLs
3. Перезагрузитесь
Пробуйте загрузиться в нормальном режиме. Если баннер пропал, сделайте логи по правилам + лог [url]http://virusinfo.info/showpost.php?p=493610&postcount=1[/url]
К сожалению нет возможности подключить этот комп к нету. Посему лог 2 выполнил с выключенным инетом, анологично не выполнен лог CovboFix он также запросил соединение с инетом для установки Консоли восстановления ост. логи прикладываю
к стати разблокировались: диспетчер задач, редактор реестра, запуск антивирусных программ, пропали ошибки при загрузке системы о невозможности загрузить исполняемые файлы.
[size="1"][color="#666686"][B][I]Добавлено через 2 часа 1 минуту[/I][/B][/color][/size]
Ребят проверьте логи если че не правильно скажите переделаю а то скоро из оффиса выгонят
[QUOTE='Belovodsky;641432']CovboFix он также запросил соединение с инетом для установки Консоли восстановления[/QUOTE]Ее можно не устанавливать
Так что пробуйте делать лог
Пофиксите в HiJack
[CODE]F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,\\?\globalroot\systemroot\system32\BRezBSG.exe,\\?\globalroot\systemroot\system32\WKbHIKp.exe,[/CODE]
Выполните скрипт в AVZ
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('\\?\globalroot\systemroot\system32\WKbHIKp.exe','');
QuarantineFile('\\?\globalroot\systemroot\system32\BRezBSG.exe','');
QuarantineFile('C:\WINDOWS\system32\syschange.exe','');
QuarantineFile('C:\Documents and Settings\Пользователь\Application Data\Microsoft\winlog.exe','');
DeleteService('MCIDRV_2600_6_0');
DeleteFile('C:\WINDOWS\system32\drivers\mnlmhn.sys');
DeleteFile('C:\Documents and Settings\Пользователь\Application Data\Microsoft\winlog.exe');
DeleteFile('C:\WINDOWS\system32\syschange.exe');
DeleteFile('\\?\globalroot\systemroot\system32\BRezBSG.exe');
DeleteFile('\\?\globalroot\systemroot\system32\WKbHIKp.exe');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','System Profiling');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','winlog.exe');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
ExecuteRepair(6);
ExecuteRepair(20);
RegKeyIntParamWrite('HKLM', 'SOFTWARE\Microsoft\Windows\CurrentVersion\policies\NonEnum', '{BDEADF00-C265-11D0-BCED-00A0C90AB50F}', 1);
RebootWindows(true);
end. [/code]Компьютер перезагрузится.
Пришлите карантин согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы
Сделайте новые логи [B]обычным[/B] AVZ с обновленными базами
Отправил Лог ComboFix'a.
[B]thyrex[/B], [QUOTE]Пришлите карантин согласно Приложения 3 правил по красной ссылке Прислать запрошенный карантин вверху темы
Сделайте новые логи обычным AVZ с обновленными базами [/QUOTE]
Сделал
[QUOTE='Belovodsky;642743']Сделал[/QUOTE]Не все
[QUOTE='thyrex;641544']Сделайте новые логи обычным AVZ с обновленными базами[/QUOTE]
Скопируйте текст ниже в блокнот и сохраните как файл с названием CFScript.txt на рабочий стол.
[code]KillAll::
File::
C:\WINDOWS\system32\cwbvdkogs.dll
C:\WINDOWS\system32\go.dll
C:\WINDOWS\system32\mphzsp.dll
C:\WINDOWS\system32\mdavrsugo.dll
C:\WINDOWS\system32\htczpxzix.dll
C:\WINDOWS\system32\dluozmpfv.dll
Driver::
Folder::
Registry::
FileLook::
DirLook::[/code]
После сохранения переместите CFScript.txt на пиктограмму ComboFix.exe.
[IMG]http://i076.radikal.ru/1003/e5/554faea12baf.gif[/IMG]
Когда сохранится новый отчет ComboFix, запакуйте ComboFix.txt и прикрепите к сообщению.
Новый Лог.
[SIZE="4"][B]Дубль 3[/B][/SIZE]
[QUOTE='thyrex;641544']Сделайте новые логи обычным AVZ с обновленными базами[/QUOTE]
Логи AVZ.
zip-файлы из директории Logs пришлите, также как сделали в [url]http://virusinfo.info/showpost.php?p=641432&postcount=10[/url]
Выполнено
Порядок
Запакуйте, пожалуйста, папку [B]C:\Qoobox\Quarantine[/B] с паролем [B]virus[/B] и пришлите на thyrex2002<at>tut.by (at=@) с указанной ссылкой на тему.
Если почтовый сервер не будет пропускать письмо, выложите архив на файлообменник, а на указанный e-mail отправьте письмо со ссылкой на скачивание.
[URL="http://virusinfo.info/showpost.php?p=500136&postcount=2"]Удалите ComboFix[/URL]
Установите [url="http://www.microsoft.com/rus/windows/internet-explorer/default.aspx"]Internet Explorer 8[/url] (даже если им не пользуетесь)
Приношу извинения и прошу закрыть тему ввиду полного уничтожения системы. Т.е. человек которому оказывали помощь тупо снес систему и поставил наново. Надеюсь в дальнейшем мне в помощи не откажут.
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]1[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\windows\system32\syschange.exe - [B]Trojan-Dropper.Win32.Agent.cdbr[/B] ( DrWEB: Trojan.Inject.8777, BitDefender: Gen:Variant.Zbot.11, AVAST4: Win32:Malware-gen )[/LIST][/LIST]