Здравствуйте.
При подключении к интернету с моего компьютера отправляется много информации и практически ничего не принимается, даже интернет-страницу открыть нельзя. У меня безлимитка, соответственно низкая скорость. То ли вся допустимая скорость расходуется на отдачу, то ли что-то просто блокирует прием информации. Плюс файл perfc000.dat, который никак не удалить.
Посмотрите, пожалуйста, в чем проблема.
[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните[/URL] скрипт в AVZ
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\comi.dll','');
QuarantineFile('swmclip.dll','');
QuarantineFile('C:\WINDOWS\winstart.bat','');
QuarantineFile('C:\WINDOWS\system32\perfc000.dat','');
QuarantineFile('C:\WINDOWS\system32\TaskKeyHook.dll','');
QuarantineFile('C:\WINDOWS\system32\muangsys.dll','');
QuarantineFile('C:\WINDOWS\system32\DRIVERS\tcpip.sys','');
RebootWindows(false);
end.[/CODE]
После перезагрузки [URL="http://www.virusinfo.info/showthread.php?t=4491"]"пофиксите"[/URL] в HijackThis [CODE]R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch =
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =
O2 - BHO: (no name) - {A5366673-E8CA-11D3-9CD9-0090271D075B} - (no file)
O23 - Service: Gp3sw2kmnti - Unknown owner - (no file)[/CODE]
Пришлите файлы карантина по правилам раздела "Помогите". Сделайте ещё раз логи с запущенным IE.
Скрипт сделала. А насчет "Сделайте ещё раз логи с запущенным IE" нужно просто открыть IE или подключится к интернету?
Просто держать открытым IE. Эти логи я так понимаю были сделаны именно так?
Нет, то было без IE :embarasse. Теперь сделала с IE.
А где же ваш карантин? Загрузите его через эту форму:
[url]http://virusinfo.info/upload_virus.php?tid=9899[/url]
Загрузила карантин, и только тогда заметила, что он очень большой - 4 мега. Может загрузить еще один, удалив из него пару самых больших файлов, которые точно не причиняли проблем (они у меня давно)?
А вообще после скриптов MaXim'a интернет заработал (спасибо ему большое). Просто хочу узнать, не осталось ли ничего лишнего и что с файлом perfc000.dat.
[QUOTE]А вообще после скриптов MaXim'a интернет заработал (спасибо ему большое). [/QUOTE]
Вообще-то, пока ничего не удаляли...
Давайте удалим пока то что очевидно:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\WINDOWS\system32\perfc000.dat');
DeleteFile('swmclip.dll');
BC_DeleteFile('C:\WINDOWS\system32\perfc000.dat');
BC_DeleteFile('swmclip.dll');
BC_DeleteSvc('Gp3sw2kmnti');
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]
После перезагрузки пофиксите в HijackThis, если останется:
[code]
O20 - AppInit_DLLs: C:\WINDOWS\system32\perfc000.dat
O21 - SSODL: VStorage - {B2043DC2-6A45-4DAD-A945-5E9DC7DCD926} - swmclip.dll (file missing)
[/code]
а по карантину подумаем.
Вот новый скрипт для карантина:
[code]
begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\winstart.bat','');
QuarantineFile('system32\DRIVERS\tcpip.sys','');
QuarantineFile('C:\WINDOWS\system32\TaskKeyHook.dll','');
QuarantineFile('C:\WINDOWS\system32\muangsys.dll','');
QuarantineFile('C:\WINDOWS\system32\comi.dll','');
RebootWindows(true);
end.[/code]
Компьютер перезагрузится.
Пришлите карантин по правилам через ту же форму.
Надеюсь, он не будет настолько увесистым.
[QUOTE]А вообще после скриптов MaXim'a интернет заработал (спасибо ему большое).[/QUOTE]Чистое самовнушение или простое совпадение :)
Скрипт сделала, карантин отправила. В HijackThis первой записи не было, вторая была, но вместо swmclip.dll (file missing) в конце было (no file). Фиксить?
[QUOTE]Фиксить?[/QUOTE]
Естественно! :)
Вирустотал перегружен, с проверкой карантина пока заминка.
Еще нужен файл C:\WINDOWS\tmpcpyis.bat - пришлите по правилам.
Все сделано :good:
Чертовщина какая-то, этот ссылается на C:\WINDOWS\tmpdelis.bat !
Давайте и его тоже, что ж делать :)
Да мне не жалко :)
ОТ: [QUOTE=Kat_AS;111046]А вообще после скриптов MaXim'a интернет заработал (спасибо ему большое). [/QUOTE]настоящая фамилия MaXimа - Чумак-Кашпировский ;) SCNR
В общем, эти bat'ы - полная чушь - фтопку! :)
А вот и в карантине нашелся жучок:
comi.dll - VirTool:Win32/Obfuscator.C - это троян крадущий пароли!
Удаляем скриптом:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\WINDOWS\*.bat');
DeleteFile('C:\WINDOWS\system32\comi.dll');
BC_DeleteFile('C:\WINDOWS\system32\comi.dll');
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]
После перезагрузки повторите логи, начиная с п.10 правил.
И срочно меняйте свои пароли.
Вот про comi.dll ответ из ЛК:
[QUOTE]Hello.
New malicious software was found in the attached file.
Trojan-Spy.Win32.Banker.cnq
It's detection will be included in the next update. Thank you for your help.
-----------------
Regards, Roman Gavrilchenko
Virus Analyst, Kaspersky Lab.[/QUOTE]
Готово
Теперь чисто. Только пофиксите в HijackThis эти строчки:
[code]
O2 - BHO: H - {943CBD6C-F4DE-40e4-AA43-7B964FAE81F1} - C:\WINDOWS\system32\comi.dll (file missing)
O2 - BHO: (no name) - {A5366673-E8CA-11D3-9CD9-0090271D075B} - (no file)[/code]
и в меню "Пуск - Программы - Автозагрузка" уберите ярлык [I]winstart.bat[/I].
Все сделала, только в автозагрузке того файла нет. :? Сканировала комп Advanced WindowsCare V2, он показывает все, что есть в автозагрузке, но winstart.bat он не нашел. Выходит, проблема решена?
[quote]Выходит, проблема решена?[/quote]Это мы должны у Вас спросить :D
[QUOTE]Выходит, проблема решена?[/QUOTE]
Выходит так :) Правда в логе AVZ ярлык [I]winstart.bat [/I]есть!
Попробуйте в Проводнике "Сервис - Свойства папки - Вид", включить показ скрытых и системных файлов, а потом сделать "Пуск - Все программы - Автозагрузка", должен увидеться.
Ничего нет!!! Ни в автозагрузке, ни в Advanced WindowsCare V2 - он вроде показывает все, даже то, что не показывается в автозагрузке. Но winstart.bat нигде нет.
Ладно, если проблема больше не проявляется, тогда всё. :)
можно в AVZ поискать имя по реестру, должны следы остаться если показывает.
AVZ тоже ничего не нашел. Значит больше нет.
Большое всем спасибо!!! :grin:
[QUOTE=Kat_AS;111290]AVZ тоже ничего не нашел. Значит больше нет.
Большое всем спасибо!!! :grin:[/QUOTE]
пожалуйста. Только [B]ничего не нашел[/B] и [B]больше нет[/B] совсем не одно и то же ;).
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]4[/B][*]Обработано файлов: [B]20[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\documents and settings\\kat\\doctorweb\\quarantine\\htmlrhjrh.dll - [B]Trojan-Spy.Win32.Goldun.pf[/B] (DrWEB: Trojan.PWS.GoldSpy)[*] c:\\documents and settings\\kat\\doctorweb\\quarantine\\htmltakta.dll - [B]Trojan-Spy.Win32.Goldun.pf[/B] (DrWEB: Trojan.PWS.GoldSpy)[*] c:\\documents and settings\\kat\\doctorweb\\quarantine\\htmlwhgwh.dll - [B]Trojan-Spy.Win32.Goldun.pf[/B] (DrWEB: Trojan.PWS.GoldSpy)[*] c:\\documents and settings\\kat\\doctorweb\\quarantine\\htmlyyyyy.dll - [B]Trojan-Spy.Win32.Goldun.pf[/B] (DrWEB: Trojan.PWS.GoldSpy)[*] c:\\downloads\\сеть\\flashgetf140.exe - [B]not-a-virus:AdWare.Win32.Cydoor[/B] (DrWEB: archive: Adware.Cydoor)[*] c:\\windows\\system32\\comi.dll - [B]Trojan-Banker.Win32.Banker.cnq[/B] (DrWEB: Trojan.PWS.Banker.8985)[*] c:\\windows\\system32\\perfc000.dat - [B]Backdoor.Win32.Small.os[/B] (DrWEB: Trojan.Proxy.1739)[/LIST][/LIST]