Есть подозрение что что-то осталось после лечения

**Arhimed** · 31.10.2009, 22:23

Ситуация следующая:
Знакомый притащил комп, который тормозил и глючил.
Запустить на нем сразу что-то из антивирусов, для проверки, не получилось - ни CureIt ни avz не запускались.
Пришлось начать с прогона CureIt с его LiveCD.
После такого лечения уже удалось запустить антивирусы в штатном режиме. Было прогнаны свежий CureIt, NOD32 и avz, каждый из них что-то нашел.
Система была твикнутая, так что не удавалось поставить 3-й SP. Убрал все твики, какие нашел, деинсталлировал часть неиспользуемых программ, система перестала грузится. Загрузился с диска с системой и поставил ее в режиме восстановления. Поставил свежий набор HotFix-ов безопасности Post_SP3.
Но avz пишет что сам не проходит проверку по базе безопасных, и находит один подозрительный объект, которого нету по указанному им пути.
IE запустить не получается, валится по ошибке.
Проверьте, пожалуйста, осталось что-то еще?

Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

**thyrex** · 31.10.2009, 22:38

Пофиксить в HiJack

Код:

O20 - AppInit_DLLs: C:\WINDOWS\system32\dnsq.dll

Выполните скрипт в AVZ

Код:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\dnsq.dll','');
DeleteFile('C:\WINDOWS\system32\dnsq.dll');
 QuarantineFile('C:\Program Files\Windows Sidebar\.\regsvr32.exe','');
 DelBHO('{35A6E2B1-27A9-47D2-913C-559E1EF1D034}');
 DelBHO('{84E6032F-1657-4613-B75A-5F55C760FE75}');
 DelBHO('{F3BA2A51-BB4F-4e22-AD0E-DFF956D5B672}');
 QuarantineFile('C:\WINDOWS\System32\djlib.dll','');
 QuarantineFile('C:\WINDOWS\system32\xjplib.dll','');
 QuarantineFile('C:\Program Files\Common Files\Target Marketing Agency\TMAgent\tmagent.dll','');
 DeleteFile('C:\Program Files\Common Files\Target Marketing Agency\TMAgent\tmagent.dll');
 DeleteFile('C:\WINDOWS\system32\xjplib.dll');
 DeleteFile('C:\WINDOWS\System32\djlib.dll');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.

Пришлите карантин согласно Приложения 3 правил по красной ссылке Прислать запрошенный карантин вверху темы

Сделайте новые логи

**Arhimed** · 31.10.2009, 23:15

thyrex, а где должен лежать карантин?
Если в папке карантина avz, то там пусто...

**Arhimed** · 31.10.2009, 23:36

Новые логи

**thyrex** · 31.10.2009, 23:58

d:\distr\antivirus\avz4\avz.exe скопируйте в другую папку, заархивируйте с паролем virus и пришлите по красной ссылке Прислать запрошенный карантин вверху темы

**Arhimed** · 01.11.2009, 00:18

thyrex
Файл сохранён как 091101_001756_avz_4aeca984bf293.zip
Размер файла 714925
MD5 6c3704737cf0f301678b6a8fe6012ee1

**Arhimed** · 01.11.2009, 22:09

Что-то кажется про меня забыли....

**Никита Соловьев** · 01.11.2009, 22:25

Про Вас помнят. Файл отправлен на анализ

**Arhimed** · 10.11.2009, 02:50

И все же про меня забыли :-(
В общем, прогнал свежим CureIt, AVPTools, они ничего не нашли, заменил avz - ругаться он перестал...
Вернул комп владельцу.
Но результаты анализа, все же, были бы интересны... какая же зараза "поправила" avz.