Printable View
Привет Всем!
Такая ситуация: обновив вирусные базы в AVZ, и просканировав систему, AVZ пишет, что Trojan Win32 pakes маскируется под winlogon.exe.
Даже не знаю, откуда этот Trojan Win32 pakes взялся. В работе компьютера, видимых (негативных) изменений не ощущается. (тьфу-тьфу-тьфу)
Вот логи.
Помогите, пожалуйста
Самое интересное что, при выполнении 1-го скрипта AVZ писал: "C:/temp/winlogon.exe подозрение на trojan win32 pakes", Я искал в папке Temp winlogon.exe но так и не нашел.
AVZ -> Файл -> Выполнить скрипт:
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('D:\Utils\S2kCtl.exe','');
QuarantineFile('C:\Program Files\HWiNFO32\HWiNFO32.SYS','');
QuarantineFile('C:\WINDOWS\System32\Drivers\SPTD5645.SYS','');
QuarantineFile('d:\utils\s2kctl.exe','');
QuarantineFile('c:\temp\winlogon.exe','');
CreateQurantineArchive(GetAVZDirectory + 'virusinfo_8711_quarantine.zip');
DeleteFile('c:\temp\winlogon.exe');
ExecuteSysClean;
RebootWindows(false);
end.[/CODE]
После перезагрузки, в папке AVZ найти файл [B]virusinfo_8711_quarantine.zip[/B] и прислать его нам, через [URL="http://virusinfo.info/upload_virus.php?tid=8711"]эту форму[/URL].
Я выполнил скрипт, но файл virusinfo_8711_quarantine.zip, почему-то весит 26 мегабайт. С моим-то "интернетом" Я не смогу прислать его.
Тогда, зделайте два последних лога из правил.
вот сделал...
[B]SingifineS[/B],
На счет "c:\temp\winlogon.exe" - мы его убили.
Плюс, я немного подправил скрипт, попробуйте его выполнить:
[CODE]begin
ClearQuarantine;
SetAVZGuardStatus(True);
QuarantineFile('C:\Program Files\HWiNFO32\HWiNFO32.SYS','');
QuarantineFile('C:\WINDOWS\System32\Drivers\SPTD5645.SYS','');
QuarantineFile('d:\utils\s2kctl.exe','');
CreateQurantineArchive(GetAVZDirectory + 'virusinfo_8711_1_quarantine.zip');
SetAVZGuardStatus(False);
end.[/CODE]
После выполнения, в папке AVZ найти файл [B]virusinfo_8711_1_quarantine.zip
[/B] и прислать его нам через [URL="http://virusinfo.info/upload_virus.php?tid=8711"]эту форму[/URL].
А что делать с старым файлом "virusinfo_8711_1_quarantine.zip",? , надо полагать, что после выполнения скрипта новый заменит старый файл?
( p.s. файл "virusinfo_8711_1_quarantine.zip" Я не удалял и ничего с ним не делал )
virusinfo_8711_quarantine.zip - старый файл
virusinfo_8711_1_quarantine.zip - новый файл
Новый прислать, старый не пресылать.
Скрипты выполнил. AVZ написал: "скрипты выполнены без ошибок".
А новый файл "virusinfo_8711_1_quarantine.zip" тоже как и старый 26 мегабайт веса :embarasse
Жду указаний.
Хотел бы спросить, у меня установлены NOD32 и Outpost Firewall Pro, может надо от чего-то одного избавится? :?
Конфликтов между НОД32 и Оутпостом ненаблюдалось.
[QUOTE]Жду указаний.[/QUOTE]
Жалобы ещё остались?
Просканируйте все диски утилитой DrWeb CureIt.
[QUOTE]может надо от чего-то одного избавится?[/QUOTE]
Нет, ненадо.
Просканировал диски утилитой DrWeb CureIt, результаты на скриншоте.
Теперь поясню их:
1. [B]russian.exe[/B] - руссификатор винампа
2. [B]RZD_TEP10-163.exe[/B] - add on для игры MSTS
3. [B]RZD_CHS8-071.exe [/B] - add on для игры MSTS
4. [B]main.exe [/B]-файл установлен вместе игрой SPEED CHALLENGE
5. [B]KOXDCSAA.NQF[/B] неизвестный мне файл карантина антивируса NOD32
6. [B]russian.exe[/B] - руссификатор винампа
Какие действия мне еще следует выполнить?
Проверьте на [url=http://virusscan.jotti.org/]virusscan[/url] [b]main.exe[/b]. Скорее всего подозрения будут не только у доктора. Остальное уже сделано.
После завершения сканирования дисков утилитой DrWeb CureIt, перегрузил систему, ну и после перезагрузки смотрю а файл [B]main.exe[/B] превратился в файл [B]main.#xe[/B]!!!!!
Внимание! Файл [B]main.exe[/B] действительно есть на диске с игрой, проверил и сейчас CureIt говорит что это "возможно DLOADER.Trojan".
Что с этим файлом делать?
[quote] Проверьте на virusscan main.exe [/quote]
Проверил... только не [B]main.exe[/B] а уже [B]main.#xe[/B].
Вот результаты.
Скорее всего ложное срабатывание DrWeb.
ЧТО Вы еще мне можете посоветывать? :?
[url]http://support.drweb.com/sendnew/[/url]
Отошлите main.exe и оба аддона (если они ещё где-то есть). Русификатор, наверное, отсылать не надо, там похоже на целенаправленный детект.
[quote][URL="http://support.drweb.com/sendnew/"]http://support.drweb.com/sendnew/[/URL] [/quote]
Перед отправкой сюда, main.exe архивировать не надо?
А вот аддоны немогу...их CureIt удалил.. :-\
По поводу русика к винампу: это старый русик от сам лаб. Там действительно встроен трой - он меняет стартовую страницу инета на страницу сам лаба. Каспер тоже детектит. Что еще он делает не помню. Возьмите винамп от самлаба посвежее, в новых русиках троев нет.
По поводу отправки - можете заархивировать.
Да там написано, что и как.
[quote] [url]http://support.drweb.com/sendnew/[/url] [/quote]
Отправил в архиве main.zip файл [B]main.exe [/B]
_____________________
простите что так долго, просто интернета небыло, ( лимит кончился ) :(
Тут на днях заметил подозрительные архивы во времменных файлах интернета по адресу [I]C:\....\Local Settings\Temporary Internet Files\Content.IE5\F77EFJBP[/I], архив - [B]spy5_inc.617[1].zip[/B]
В архиве находится неизвестный файл с расширением *.sdb. Смею предположить, что это файлы обновления, или необходимые для обновления антивирусных программ ( Agnitum Outpost Firewall и NOD32 )
spy5_inc.sdb это один из файлов модуля Anti-Spyware в Agnitum Outpost Firewall.