Printable View
Началось все с переустановки WINDOWS.. форматирую диск. устанавливаю систему.... и мгновенно трафик начинает кушать ( модем моргает так что как будто смотришь фильм в онлайне ) Затем выкидывает сообщение об ошибке и сеть умирает вместе с дровами от звуковухи.
[size="1"][color="#666686"][B][I]Добавлено через 3 минуты[/I][/B][/color][/size]
:http:208.53.183.181/i.exe
и еще вот такие ссылки ловит касперский
Выполните скрипт в AVZ
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\02.exe','');
QuarantineFile('C:\WINDOWS\system32\msvmiode.exe','');
QuarantineFile('C:\WINDOWS\system\csrss.exe','');
DeleteService('NrConnmags');
DeleteFile('C:\WINDOWS\system\csrss.exe');
DeleteFile('C:\WINDOWS\system32\msvmiode.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','MSODESNV7');
DeleteFile('C:\WINDOWS\system32\02.exe');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end. [/code]Компьютер перезагрузится.
Пришлите карантин согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы
Сделайте новые логи
Сделайте лог [url="http://virusinfo.info/showpost.php?p=493610&postcount=1"]ComboFix[/url]
Файл сохранён как 100906_223441_virus_4c8534414e572.zip
[QUOTE='thyrex;702525']Сделайте новые логи
Сделайте лог ComboFix
[/QUOTE]???
вот
Правильно ?? Этот файл нужен был ?
Лог оборванный, но все же попробуем
Скопируйте текст ниже в блокнот и сохраните как файл с названием CFScript.txt на рабочий стол.
[code]KillAll::
File::
C:\WINDOWS\system32\syscache.exe
C:\WINDOWS\system32\ezsidmv.dat
Driver::
Folder::
Registry::
FileLook::
DirLook::[/code]
После сохранения переместите CFScript.txt на пиктограмму ComboFix.exe.
[img]http://i076.radikal.ru/1003/e5/554faea12baf.gif[/img]
Когда сохранится новый отчет [B]ComboFix.txt[/B], прикрепите его к сообщению.
Вот что у меня получилось
Проблема пока неисчезла ))) но все равно спасибо
[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]
Если будет время поясните что это за зверек у меня завелся ))) и что он делает???
- сделайте лог [URL="http://virusinfo.info/showthread.php?t=58309"][COLOR="Blue"][B]Combofix[/B][/COLOR][/URL] в безопасном режиме
Доброе утро !! Вот лог безопасного режима)))
Скопируйте текст ниже в блокнот и сохраните как файл с названием CFScript.txt на рабочий стол.
[code]KillAll::
File::
C:\e1u2c2f3u7b4.exe
Driver::
NrConnmags
Folder::
Registry::
[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\GloballyOpenPorts\List]
"9237:TCP"=-
FileLook::
DirLook::[/code]
После сохранения переместите CFScript.txt на пиктограмму ComboFix.exe.
[img]http://i076.radikal.ru/1003/e5/554faea12baf.gif[/img]
Когда сохранится новый отчет [B]ComboFix.txt[/B], прикрепите его к сообщению.
Вот новые логи
Лог оборванный. Переделайте
Сейчас переделаю
там два лога получилось
Скопируйте текст ниже в блокнот и сохраните как файл с названием CFScript.txt на рабочий стол.
[code]KillAll::
File::
C:\WINDOWS\system32\gff6.exe
Driver::
Folder::
Registry::
FileLook::
DirLook::[/code]
После сохранения переместите CFScript.txt на пиктограмму ComboFix.exe.
[img]http://i076.radikal.ru/1003/e5/554faea12baf.gif[/img]
Когда сохранится новый отчет [B]ComboFix.txt[/B], прикрепите его к сообщению.
Логи после удаления C:\WINDOWS\system32\gff6.exe
Но по видимому этот вирус комплектуется из других файлов т.к Касперский его удаляет но при перезагрузке он заново компилируется..
Что с проблемой? Файл по прежнему детектируется?
Нет проблема осталась! ))
Что вариантов больше нет??? остаётся сделать глубокое форматирование всех разделов, новой установкой винды и проверкой жеского на другом ПК ???
Новый комплект логов подготовьте
[QUOTE=Venus Doom;705530]Новый комплект логов подготовьте[/QUOTE]
сделал
:rtfm:
Скопируйте текст ниже в блокнот и сохраните как файл с названием [COLOR="Blue"][B]CFScript.txt[/B][/COLOR] на рабочий стол.
[CODE]
KillAll::
File::
c:\windows\system\csrss.exe
c:\windows\system32\Zsorm.exe
Driver::
NrConnmags
NetSvc::
Folder::
Registry::
FileLook::
DirLook::[/CODE]
После сохранения переместите [COLOR="Blue"][B]CFScript.txt[/B][/COLOR] на пиктограмму [B]ComboFix.exe[/B].
[IMG]http://i076.radikal.ru/1003/e5/554faea12baf.gif[/IMG]
Когда сохранится новый отчет [B]ComboFix.txt[/B], прикрепите его к сообщению.
15.09.2010 11:49:21 Удалено: Trojan.Win32.Swisyn.akxb Обработчик команд Windows C:\WINDOWS\SYSTEM32\gff6.exe
15.09.2010 13:50:06 Удалено: Trojan.Win32.Jorik.SdBot.ca Generic Host Process for Win32 Services C:\System Volume Information\_restore{5077AB46-705C-4DF4-B1AA-FDB6AC958F30}\RP1\A0000032.exe
15.09.2010 13:07:44 Удалено: P2P-Worm.Win32.Palevo.avjc Generic Host Process for Win32 Services C:\System Volume Information\_restore{5077AB46-705C-4DF4-B1AA-FDB6AC958F30}\RP1\A0000031.exe
15.09.2010 13:07:35 Будет удалено при перезагрузке: P2P-Worm.Win32.Palevo.avke Неизвестная программа C:\WINDOWS\SYSTEM32\04.EXE
Скопируйте текст ниже в блокнот и сохраните как файл с названием [B]CFScript.txt[/B] на рабочий стол.
[code]KillAll::
File::
c:\windows\system32\53.exe
c:\windows\system32\25.exe
Driver::
Folder::
Registry::
FileLook::
DirLook::[/code]
После сохранения переместите [B]CFScript.txt[/B] на пиктограмму ComboFix.exe.
[img]http://i076.radikal.ru/1003/e5/554faea12baf.gif[/img]
Когда сохранится новый отчет [B]ComboFix.txt[/B], прикрепите его к сообщению.
Лог
Удалите контрольные точки восстановления Windows
Что с проблемой?
Проблема не исчезла )))
При каждой перезагрузке, Касперский удаляет Windows C:\WINDOWS\SYSTEM32\gff6.exe и до 10 файлов типа C:\WINDOWS\SYSTEM32\04.EXE
[QUOTE='Одинцоф;708218']Проблема не исчезла )))[/QUOTE]А почему Вы так радуетесь?
пролечитесь [URL="http://virusinfo.info/showpost.php?p=648638&postcount=5"]так[/URL]
[QUOTE=Venus Doom;708298]А почему Вы так радуетесь?[/QUOTE]
Да потому что Я никогда не отчаиваюсь ))) и с одной стороны уважаю тех кто пишет вирусы такого типа как у меня ... веть по сути они их дитя не каждый сможет такой написать и тем более впарить кому нибуть, сам изучал СИ и искусство вирусологии .. ну да это противозаконно, ну и что.. Еслиб небыло вирусов то и многие люди сидели бы без работы ( всем известно сколько народу занято в корпорациях типо лаборатория касперского и др..)
[size="1"][color="#666686"][B][I]Добавлено через 5 минут[/I][/B][/color][/size]
[QUOTE=polword;708407]пролечитесь [URL="http://virusinfo.info/showpost.php?p=648638&postcount=5"]так[/URL][/QUOTE]
я УЖЕ подумал над этим ... пасибо :to_pick_ones_nose2:
[QUOTE='Одинцоф;708971']Да потому что Я никогда не отчаиваюсь ))) и с одной стороны уважаю тех кто пишет вирусы такого типа как у меня ... веть по сути они их дитя не каждый сможет такой написать и тем более впарить кому нибуть, сам изучал СИ и искусство вирусологии .. [/QUOTE]Ну так психология...:)
Выполняйте, отпишитесь о результатах
LiveCD: от DrWeb и от Лаборатории Касперского ваопще невидят этот вирус. короче вилы :dash1::wacko:
[size="1"][color="#666686"][B][I]Добавлено через 57 секунд[/I][/B][/color][/size]
Есть еще какие предложения????
[QUOTE=Venus Doom;709010]Ну так психология...:)
Выполняйте, отпишитесь о результатах[/QUOTE]
полное форматирование с разбивкой разделов :094:
[size="1"][color="#666686"][B][I]Добавлено через 2 минуты[/I][/B][/color][/size]
Тему можно закрыть !!! да и кстати пробежался по многим форумам.. этот вирусняк еще никто не победил .....
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]6[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\windows\\system32\\02.exe - [B]Trojan.Win32.Agent.ezlo[/B] ( DrWEB: Win32.HLLW.Autoruner.26149, BitDefender: Trojan.Generic.4657712, NOD32: Win32/Peerfrag.FD worm, AVAST4: Win32:Trojan-gen )[/LIST][/LIST]