Symantec AntiVirus постоянно находит вирусы W32.Small.gen и Spyware.EliteKeylogger

Printable View

14.04.2007, 17:43
ULVER

Вложений: 3

Symantec AntiVirus постоянно находит вирусы W32.Small.gen и Spyware.EliteKeylogger

Добрый день.

Проблема в том, что Symantec AntiVirus постоянно находит вирусы W32.Small.gen и Spyware.EliteKeylogger. Началось это пару дней назад некоторые из файлов он поместил в карантин, но все равно постоянно при каждом включении компьютера через некоторое время после включения запускаеться автоматическое сканирование и блокируется большое количество файлов (до 3-5-ти файлов в минуту, иногда 1 за 30 минут разброс очень большой) для вируса W32.Small.gen с названиями файлов (APQ49C.tmp, APQ245.tmp и т.д.) которые находятся в папке c:\Documents and Settings\All Users\Application Data\Symantec\Symantec AntiVirus Corporate Edition\7.5\APTemp\; для вируса Spyware.EliteKeylogger файлы называются А0042360.sys, A0042361.sys и т.д. находяться они в папке C:\System Volume Information\_restore{9C85AA36-1578-4F1C-9142-9776CB28073B}\RP83\. Так же программа Symantec обнаружила вирус Trojan.Startpage в папке C:\Program Files\Ace Utilities\ но я так поняла, что он был удален потому, что больше не появлялся в течении нескольких дней.
При глубоком анализе программа ничего не находит, находит только автоскан. Так же проверила вашей утилитой drweb-cureit она ничего не нашла. Эти вирусы видимых проблем не приносят, но не понятно, что будет дальше.
Все сделала как в инструкции, файлы прикрепила. Заранее благодарю за ответ и помощь.
14.04.2007, 21:49
drongo

Возможно ничего интересного, но всё же
[url=http://virusinfo.info/showthread.php?t=7239]AVZ Файл - Выполнить скрипт --Скопировать ниже написанный скрипт-- Запустить.[/url]

[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\Program Files\Trident Software\Pragma\ptbar.dll','');
QuarantineFile('C:\WINDOWS\system32\OrfoCalls.dll','');
QuarantineFile('C:\Program Files\Secure PC Solutions\1 Click Fixer PLUS\BootCheck.exe','');
RebootWindows(true);
end.
[/code]
Прислать карантин согласно [b]приложения 3 [url=http://virusinfo.info/showthread.php?t=1235]правил [/url][/b].
Загружать по ссылке: [url]http://virusinfo.info/upload_virus.php?tid=8997[/url]........

P.s.То что в System Volume Information убивается отключением службы восстановления . У вас бы не было этого вопроса, если бы выполнили в точности правила. Совет: Читайте пункт 7 с лупой :).
15.04.2007, 09:29
ULVER

Файл закачала. А это нормально, что после выполнения скрина комп перезагружался?
15.04.2007, 09:37
ULVER

А забыла сказать, я пункт 7 с лупой читала, но видимо не поняла, что у меня какие-то программы все равно работают или просто не смогла их отключить. Так, что извините, вот. :)
15.04.2007, 21:09
Синауридзе Александр

[QUOTE=ULVER;104007]Файл закачала. А это нормально, что после выполнения скрина комп перезагружался?[/QUOTE]
Это не скрин - это скрипт.:) Да нормально. В скрипте который Вам написал [B]drongo[/B] в конце идет перезагрузка.;)
16.04.2007, 11:37
Numb

Присланные файлы - чистые. Файл C:\Program Files\Trident Software\Pragma\ptbar.dll в карантин не попал. Попробуйте поискать его и добавить в карантин вручную, как написано [URL="http://virusinfo.info/showthread.php?t=4567"]здесь[/URL]. Как отключить восстановление системы, можно почитать [URL="http://virusinfo.info/showthread.php?t=4905"]здесь[/URL]. Попутно, программа AVZ - файл - выполнить скрипт - выполните следующий скрипт: [code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\PROGRA~1\HDTUNE~1\HDTune.exe','');
RebootWindows(true);
end.[/code] Система будет перезагружена. После перезагрузки, загрузите карантин AVZ по ссылке [url]http://virusinfo.info/upload_virus.php?tid=8997[/url] , как написано в прил.3 [URL="http://virusinfo.info/showthread.php?t=1235"]правил[/URL]
16.04.2007, 20:30
ULVER

Добрый день!

Программу Pragma я уже удалила выяснилось, что она мне не нужна и соответственно тот файл я не могу поместить в карантин, да наверное это уже и не нужно теперь после удаления. Я не совсем поняла зачем выключать восстановление системы я думала это нужно только на момент выполнения скриптов? И на момент выполнения инструкций описанных в правилах я тоже его отключала, но потом включала заново. Разве оно должна быть постоянно отключено?
С вирусом Spyware.EliteKeylogger у меня проблем больше не возникало после выполнения ваших инструкций. А с вирусом W32.Small.gen их также не было до того момента как я включила аську, авто скан тут же его обнаружил причем сначала 1 файл в папке C:\Temp а потом как обычно все остальные начали размножаться со скоростью света в папке [COLOR=black][FONT=Verdana]c:\Documents and Settings\All Users\Application Data\Symantec\Symantec AntiVirus Corporate Edition\7.5\APTemp\ и так как я не могла удалить все файлы находящиеся в папке Temp комп ругался, что нет доступа на их удаление и все такое, то пришлось загрузить ОС с диска Life CD и оттуда все поудалять. После этого при нормальном включении пока больше ничего не находилось, но аську я теперь включать боюсь, вот. Скрипт пришлю в ближайщее время. Я правильно поняла, что при его выполнении нужно отключать восстановление системы и все программы?[/FONT][/COLOR]
[COLOR=black][FONT=Verdana]Спасибо за то, что пытаетесь помочь :)[/FONT][/COLOR]
16.04.2007, 20:32
ULVER

Это не скрин - это скрипт.:)

Да я уже тоже заметила, что, что-то не то. Просто такое слово раньше ни разу не слышала. :)
16.04.2007, 22:13
AndreyKa

Сделайте так:
При отключенном Интернете запустите ICQ и сделайте лог AVZ из 10-го пункта Правил и приложите сюда.

PS. ICQ закройте до подключения Интернета, а лучше перезагрузите компьютер.
17.04.2007, 19:14
ULVER

Вложений: 1

Для Numb скрипт отправила.

Для AndreyKa лог сделала с запушенной аськой точнее у меня Miranda, но мне кажется я так и не смогла отключить все программы хотя все поотключала из автозагрузки и еще не могу отключить весь Симантек все равно упорно вылазит окно Auto-Protect Results и начинает - опять находить кучу файлов, что делать то а? Причем я не уверена, что это только из-за аськи вообще не понятно иногда несколько часов ничего, а потом начинается и помогает только если загрузить ОС с диска и все папки на которые он указывает почистить вручную тогда 5-6 часов может быть спокойно, а потом опять что-то происходит вылазит Auto-Protect Results и все начинается с начала :'-( :'-( :'-(
18.04.2007, 12:12
AndreyKa

[quote]Для AndreyKa лог сделала с запушенной аськой точнее у меня Miranda[/quote]
Похоже, Миранда не виновата.
[quote]я так и не смогла отключить все программы хотя все поотключала из автозагрузки и еще не могу отключить весь Симантек все равно упорно вылазит окно Auto-Protect Results [/quote]
Все программы не надо было отключать, а антивирус тем более.
Похоже что у вас не установлены обновления на Windows.
Посетите [url]http://windowsupdate.microsoft.com/[/url] и установите все критические обновления и обновления системы безопасности.
18.04.2007, 18:21
ULVER

Вообще у меня включено уведомление о наличии обновлений и последнии обновления я устанавливала дня 4 назад. Но я все равно зашла на рекомендуемый сайт и проверила у меня все обновления установлены.
И что дальше делать? :( меня эта фигня уже замучила. Что это такое и где оно прячется? Почему то ничего не видно, но что то же есть Auto-Protect Results эти файлы до 5 штук в минуту находит, а система в этот момент виснет страшно.
[quote]Все программы не надо было отключать, а антивирус тем более.
[/quote]
Но ведь в правилах сказано, что перед выполнением логов нужно закрыть все программы. Я так поняла их нужно отключить? А так как я не знаю как их отключить я просто вырубала их из автозагрузки и перезагружалась, потом включала обратно.
18.04.2007, 19:38
PavelA

Погуглил немного по этому W32.Small.gen. Написали, что встречается в дистрибутивах ReGeta. Можно попробовать его деинсталлировать и посмотреть как себя поведет Симантек.

Про второго ничего похожего на его описание на Вашей машине не видится.
18.04.2007, 22:39
ULVER

[quote]Погуглил немного по этому W32.Small.gen. Написали, что встречается в дистрибутивах ReGeta. Можно попробовать его деинсталлировать и посмотреть как себя поведет Симантек.
Про второго ничего похожего на его описание на Вашей машине не видится.[/quote]

Поняла, спасибо, попробую снести ReGet, а второй больше и не появляется видать скончался.
21.04.2007, 22:25
ULVER

ReGet снесла пока вроде больше ничего не появляется.
22.04.2007, 16:21
ULVER

Рано радовалась :((((( Несколько дней все было нормально, а сегодня решила обновить антивирусник. После обновления баз он предложил полечить те файлы который в карантине, я согласилась и опять началось ........ много много файлов W32.Small.gen. Вот такие дела :'-(
23.04.2007, 02:11
pig

Где?
23.04.2007, 11:34
ULVER

[QUOTE]
Где?
[/QUOTE]

Что где? :? Если где файлы? То как обычно все начинается с папки C:\Temp а потом все остальные обнаруживаются в папке [COLOR=black][FONT=Verdana]c:\Documents and Settings\All Users\Application Data\Symantec\Symantec AntiVirus Corporate Edition\7.5\APTemp\ и их очень, очень много.[/FONT][/COLOR]
23.04.2007, 13:38
pig

C:\Temp - в сеть случайно не расшарена? А вообще откуда и для чего эта папка? По умолчанию её не должно быть.
23.04.2007, 17:41
ULVER

[quote]
C:\Temp - в сеть случайно не расшарена?
[/quote]
Я не знаю, что такое расшарена в сеть, но видимо нет раз я этого не делала. А это кажется, чтобы кто-то из сети мог из нее что-то брать. Кажется так? Нет я этого точно не делала, в смысле не расшаривала если я правильно поняла о чем речь.
[quote]
А вообще откуда и для чего эта папка? По умолчанию её не должно быть.
[/quote]
Не знаю откуда вообще странно если ее быть не должно, я ее сама точно не создавала. И я сейчас посмотрела у меня ОС была установлена 16 февраля и соответственно дата создания всех основных папок тоже 16 февраля, а именно этой папки C:\Temp 23 февраля. Это о чем то говорит или нет?!?! Может ее удалить? А вдруг она сама потом создастся?
24.04.2007, 01:34
Bratez

[QUOTE]Может ее удалить?[/QUOTE]
Удалять, пожалуй, не стоит. А вот очистить точно не повредит.
Если конечно Вы туда ничего своего не помещали.

Я думаю, нужно повторить логи.
Не забудьте предварительно отключить восстановление системы.
24.04.2007, 21:09
ULVER

[QUOTE]
Удалять, пожалуй, не стоит. А вот очистить точно не повредит.
Если конечно Вы туда ничего своего не помещали.

[/QUOTE]
Так вот я и говорю после того как я из нее все удаляю причем это приходится делать загружая с диска ОС, потому, что когда я ее пытаюсь почистить в нормально режиме то некоторые файлы комп просто не дает удалить ругается по-всякому. А когда гружу ОС с диска все удалаю подчистую из этой папки C:\Temp. И вот после этого какое-то время можно жить спокойно иногда даже дня 2, а потом, что-то происходит и все опять начинается с начала. И главное я не могу понять, что происходит. Думала может из-за аськи или просто когда к инету подключаюсь, в последний раз было когда Симантек обновляла. Так нет же каждый раз по разному иногда даже вообще к инету не подключена, а оно как начинает размножаться.
Ну что логи слать заново?
25.04.2007, 06:54
Bratez

[QUOTE]Ну что логи слать заново?[/QUOTE]
Давайте.
25.04.2007, 10:32
Ego1st

а в корне дисков, нету левых файлов типа autorun.exe, autorun.inf возможно скрытых..
25.04.2007, 18:55
ULVER

[QUOTE]
а в корне дисков, нету левых файлов типа autorun.exe, autorun.inf возможно скрытых..
[/QUOTE]

Есть и то и другое, но они находяться в папке где у меня лежит инсталяшка для программмы "Школа развития личности Кирилла и Мефодия". Первый файл инсталирующий, а второй инфа, вроде ничего подозрительного. Кроме них ничего.
25.04.2007, 21:37
Ego1st

скрытые файлы тоже смотрели?
у них не обязательно название autorun. может любое другое и revmon и ещё кучу всяких разных.. корень диска это не все папки на hdd, а в начале пути, т.е. С:\ или D:\ или E:\ ну и т.д. возможно на флешке если есть..

чувствую плохо обьяснил, но чето лучше ща не получаетьсяя=)))
22.02.2009, 01:43
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]3[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]