Printable View
Вобщем Аваст находит msnmsngar.exe в папке C:\WINDOWS\system32 . Называет его как Win32:Rbot-DIT [Trj] Помимо этого часто виснит нижняя панелька и некоторые проги. Скачал Cure it он нашёл множество всякой нечисти все были Win32.HLLW.MyBot их удалил. Логи прилагаются. Нужна помощь. Заранее спасибо ))
Выполните скрипт в AVZ:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\Program Files\Titan Poker\casino.exe','');
QuarantineFile('oazqjijze.exe','');
QuarantineFile('C:\WINDOWS\System32\vmmon32.exe','');
QuarantineFile('C:\WINDOWS\runservice.exe','');
QuarantineFile('c:\windows\system32\uaservice7.exe','');
RebootWindows(true);
end.[/code]
Компьютер перезагрузится.
Пришлите содержимое карантина согласно приложению 3 правил.
Важный момент:
[QUOTE]Platform: Windows XP (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 (6.00.2600.0000)[/QUOTE]
XP без сервис-паков это просто безобразие :)
Необходимо поставить SP2 и последующие обновления!
[QUOTE=Bratez;104968]
XP без сервис-паков это просто безобразие [/QUOTE]
Скажу более: этим Вы подвергаете опасности не только себя, но и других, т.к. Ваш ПК может быть превращён в рассадник заразы и так, что Вы об зтом узнаете в последнюю очередь.
[QUOTE=Bratez;104968]Необходимо поставить SP2 и последующие обновления![/QUOTE]
... иначе хелперы не будут успевать проверять логи в коротких перерывах между заражениями ПК :?
Так файлы вроде послал. Сервмс паки обязательно поставлю в течении пары дней. Спасиб
Присланные файлы как ни странно, никем не детектятся, хотя [I]runservice.exe[/I] и [I]uaservice7.exe [/I]ну очень подозрительные.
Попробуйте найти вручную не попавшие в карантин:
[I]oazqjijze.exe[/I]
[I]C:\WINDOWS\System32\vmmon32.exe[/I]
Если найдутся, пришлите по правилам.
Ни того ни другого через search не нашёл. Но нашёл что то неясное с названием OAZQJIJZE.EXE-0A405A26.pf в фолдере C:\WINDOWS\prefetch на всякий случай выслал.
Выполните такой скрипт:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\WINDOWS\System32\vmmon32.exe');
DeleteFile('oazqjijze.exe');
BC_DeleteFile('C:\WINDOWS\System32\vmmon32.exe');
BC_DeleteFile('oazqjijze.exe');
ExecuteSysClean;
BC_Activate;
RebootWindows(True);
end.[/code]
После перезагрузки повторите логи п.10 и 12 правил.
А по поводу тех подозрительных "сервисов" подождем вердикта ЛК.
Сделал. Прикладываю логи.
[quote=Rene-gad;104972]... иначе хелперы не будут успевать проверять логи в коротких перерывах между заражениями ПК :?[/quote]
Как в воду глядел! Еще с теми не разобрались, а вы уже новенького подхватили!
Выполните скрипт:
[code]begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('c:\windows\system32\dhevhf.exe','');
BC_ImportQuarantineList;
BC_Activate;
RebootWindows(true);
end.[/code]
Пришлите карантин по правилам. И срочно ставьте обновления!
Это 100% зловред, кучу портов открыл, еще нагонит вам трафика.
Так что если закарантинится успешно - вот сразу скрипт для удаления:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('c:\windows\system32\dhevhf.exe');
BC_DeleteFile('c:\windows\system32\dhevhf.exe');
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]
Посмотрите пожалуйста новые логи так как я проапгрейдил систему.
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('\SystemRoot\System32\Drivers\aymxtomh.SYS','');
QuarantineFile('C:\WINDOWS\system32\kxmixer.exe','');
QuarantineFile('C:\WINDOWS\system32\sndcfg16.exe','');
RebootWindows(true);
end.[/CODE]
Прислать карантин + hijackthis.log еще раз, какой-то он порезанный получился.
kxmixer Это мой драйвер для звука. Карантинить?
[QUOTE]Logfile of HijackThis v1.97.7[/QUOTE]
Версия устаревшая, скачайте 1.99.1.
Можно сразу пофиксить:
[code]O2 - BHO: (no name) - {A5366673-E8CA-11D3-9CD9-0090271D075B} - (no file)[/code]
Ждем карантин и свежий лог HijackThis.
Файлы отослал вот лог новый.
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('c:\windows\system32\sndcfg16.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]
aymxtomh.SYS в карантин не попал, придется искать по правилам...
При запуске скрипта пишет: Ошибка: Too many actual parameters в позиции 4:13
Исправил, теперь заработает
Этот файл что вы просили я не нашёл. Наверное нужно прислать новые логи?
[B]sndcfg16.exe - вирус P2P-Worm.Win32.Krepper.c[/B]
[B]aymxtomh.SYS[/B] - драйвер от Daemon Tools или Alcohol 120%,
можно не беспокоиться.
После выполнения скрипта повторите логи п.10 и 12 правил.
Вот они
Зверя уже нет, остались еще ссылки в автозапуске.
Пофиксите в HijackThis:
[code]
O4 - HKLM\..\Run: [WinProfile] sndcfg16.exe
O4 - HKLM\..\RunServices: [WinProfile] sndcfg16.exe[/code]
На этом, очевидно, лечение окончено. :thumbsup:
Большое вам спасибо! ))
По совету Brateza
Что вот это было запущено в момент получения логов знаете ?
Если нет, то выполнить скрипт и прислать карантин.
Лишние программы тоже надо закрывать в момент сканирования.
Лог HijacThis получился урезанным. Надо попробовать сделать его еще разок
[CODE]begin
QuarantineFile('C:\DOCUME~1\Ruf\LOCALS~1\Temp\~e5.0001.dir.0000\~df394b.tmp','');
QuarantineFile('C:\DOCUME~1\Ruf\LOCALS~1\Temp\~e5.0001','');
end.[/CODE]
Да знаю это Футбол менеджер забыл закрыть. Он создаёт временные файлы.
А то я напугался ;)
Лог Hijacka попробуй повторить.
Вот. Просто я систему недавно переустановил может поэтому он урезанным выходит..
Лог чистенький, даже очень. Ни одной службы от мелкософта не видно.
O20 - Winlogon Notify: WgaLogon - C:\WINDOWS\
это разве надо ? Сделать фикс;)
Значит всё хорошо терь. Всем спасибо за помощь. Благодарю
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]3[/B][*]Обработано файлов: [B]6[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\windows\\system32\\sndcfg16.exe - [B]P2P-Worm.Win32.Krepper.c[/B] (DrWEB: Win32.HLLW.Krepper)[/LIST][/LIST]