avast 5 free пишет что заблокировал ip xxxxx... (постоянно разные)
через файл svchost.exe
drweb нашел только Trojan.Spambot.9106
Printable View
avast 5 free пишет что заблокировал ip xxxxx... (постоянно разные)
через файл svchost.exe
drweb нашел только Trojan.Spambot.9106
Закройте все программы
Отключите
- ПК от интернета/локалки.
- Антивирус и Файрвол
[URL="http://virusinfo.info/showthread.php?t=4905"]- Системное восстановление[/URL]
[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в АВЗ[/URL] -
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
DeleteFileMask(GetAVZDirectory + 'Quarantine', '*.*', true);
TerminateProcessByName('c:\docume~1\ПОЛЬЗО~1\locals~1\temp\48807.exe');
TerminateProcessByName('c:\windows\cwdrive32.exe');
QuarantineFile('C:\DOCUME~1\ПОЛЬЗО~1\LOCALS~1\Temp\48807.exe','');
QuarantineFile('c:\docume~1\ПОЛЬЗО~1\locals~1\temp\48807.exe','');
QuarantineFile('C:\Documents and Settings\пользователь\Application Data\ltzqai.exe','');
QuarantineFile('C:\WINDOWS\system32\05.exe','');
QuarantineFile('C:\WINDOWS\system32\37.exe','');
QuarantineFile('C:\WINDOWS\cwdrive32.exe','');
DeleteFile('C:\WINDOWS\cwdrive32.exe');
DeleteFile('C:\WINDOWS\system32\37.exe');
DeleteFile('C:\WINDOWS\system32\05.exe');
DeleteFile('C:\Documents and Settings\пользователь\Application Data\ltzqai.exe');
DeleteFile('c:\docume~1\ПОЛЬЗО~1\locals~1\temp\48807.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','Microsoft Driver Setup');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Microsoft Driver Setup');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Advanced EHTAL Enable');
DeleteFile('C:\DOCUME~1\ПОЛЬЗО~1\LOCALS~1\Temp\48807.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Winlogon','Taskman');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]
После выполнения скрипта компьютер перезагрузится.
После перезагрузки:
- выполните такой скрипт
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
Пришлите файл [B][COLOR="Red"]quarantine.zip[/COLOR][/B] из папки AVZ по ссылке [COLOR="Red"][B][U]Прислать запрошенный карантин[/U][/B][/COLOR] над первым сообщением этой темы.
- Прокси сами прописывали? - [CODE]R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = [B]10.2.17.122:8080[/B]
[/CODE]
- Повторите логи
proxy ставил сам
нужны
[size="1"][color="#666686"][B][I]Добавлено через 11 минут[/I][/B][/color][/size]
Файл сохранён как 101205_165052_quarantine_4cfb98bc9f793.zip
Размер файла 215923
MD5 30e76d2e973c9bdaf02c7b09db988358
новые логи
Что скажите?
В логах зверей нет. Они ушли?
Скорей всего.
Спасибо!
P.S.: Где посмотреть на зверей которые были?
[size="1"][color="#666686"][B][I]Добавлено через 1 час 23 минуты[/I][/B][/color][/size]
ТЕМУ НЕ ЗАКРЫВАЙТЕ!!!
ПОШЛИ ОПЯТЬ АЛЕРТЫ ОБ АТАКЕ! :(
Повторите логи АВЗ + сделайте лог [URL="http://virusinfo.info/showpost.php?p=457118&postcount=1"]полного сканирования МВАМ[/URL]
Предепреждаю сразу - то, что Вы наловили так просто не уходит, надо обновлять систему.
новые логи
MBAM
[URL="http://virusinfo.info/showpost.php?p=493584&postcount=2"]Удалите в МВАМ[/URL]
[CODE]Заражённые процессы в памяти:
c:\WINDOWS\system32\msvmiode.exe (Backdoor.Bot) -> 1760 -> No action taken.
Заражённые параметры в реестре:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\MSODESNV7 (Backdoor.Bot) -> Value: MSODESNV7 -> No action taken.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Shell (Worm.Palevo) -> Value: Shell -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Taskman (Worm.Palevo) -> Value: Taskman -> No action taken.
Объекты реестра заражены:
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Shell (Hijack.Shell) -> Bad: (C:\RECYCLER\S-1-5-21-1664465399-2100770680-412220900-4913\syscr.exe,explorer.exe,C:\Documents and Settings\пользователь\Application Data\ltzqai.exe,Explorer.exe) Good: (Explorer.exe) -> No action taken.
Заражённые файлы:
c:\documents and settings\пользователь\local settings\temporary internet files\Content.IE5\QHIBI8E5\calculations[1].ci (Backdoor.Bot) -> No action taken.
c:\documents and settings\пользователь\application data\avdrn.dat (Malware.Trace) -> No action taken.
c:\documents and settings\пользователь\application data\ltzqai.exe (Worm.Palevo) -> No action taken.
c:\WINDOWS\system32\msvmiode.exe (Backdoor.Bot) -> No action taken.
[/CODE]
- Повторите лог МВАМ
закрыл случайно MBAM
вот новый лог
посмотрите быстрее!
ну... что?
вот новый лог
почему-то опять появляется(
Тогда нужно сделать лог [URL="http://virusinfo.info/showthread.php?t=58309"]ComboFix[/URL]
вот лог Комбофикс
После того, как Комбо прошёлся, звери возвращаются?
авз показывает подмен диспечера задач
а остальное вроде норм
(только слетел ctfrom.exe)
- Сделайте новый лог virusinfo_syscheck.zip
- Сделайте лог ComboFix
[QUOTE='Gena_Solovev;742113'](только слетел ctfrom.exe)[/QUOTE] Должен восстановиться, после удаления КомбоФикса
Стало появлятся после загрузки Мои Документы
И предупреждение что брандмауэр выкл
хотя он вкл
лог АВЗ
ЗЫ: ctfrom так и не вернулся( файл есть, в реестре ссылка на автозагрузку есть, а все равно не пашет), что делать?
Закройте все программы
Отключите
- ПК от интернета/локалки.
- Антивирус и Файрвол
[URL="http://virusinfo.info/showthread.php?t=4905"]- Системное восстановление[/URL]
[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в АВЗ[/URL] -
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
DeleteFileMask(GetAVZDirectory + 'Quarantine', '*.*', true);
TerminateProcessByName('c:\recycler\s-1-5-21-0315871926-6744397091-737721117-3631\syscr.exe');
DeleteFile('C:\RECYCLER\S-1-5-21-0315871926-6744397091-737721117-3631\syscr.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Winlogon','Taskman');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]
После выполнения скрипта компьютер перезагрузится.
- Повторите лог
- Скчайте архив у меня во вложении, распакуйте, запустите по очереди файлы оттуда, подтвердив добавление информации в реестр.
вот новый лог
В логах плохого нет. Что с проблемой?
вроде норм)
что по советуйте сделать?
Срочно обновлять систему. Пока опять не пришли черти.
OK ;)
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]3[/B][*]Обработано файлов: [B]95[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\documents and settings\\пользователь\\application data\\ltzqai.exe - [B]Packed.Win32.Krap.ig[/B] ( DrWEB: Trojan.Inject.16001, BitDefender: Trojan.Generic.5509900, NOD32: Win32/Bflient.K worm, AVAST4: Win32:Malware-gen )[*] c:\\windows\\cwdrive32.exe - [B]Trojan.Win32.VBKrypt.agcz[/B] ( DrWEB: BackDoor.IRC.Bot.166, BitDefender: Trojan.Generic.5241542, AVAST4: Win32:Trojan-gen )[/LIST][/LIST]