Лечение вирусов

[Ven]

Я чист? Или бацылы еще во мне?
Кстати, здесь же на форуме есть тема с рекомендоваными антивирусами. Среди них нет AVZ. Как понять - AVZ - это для экстренных случаев?

[Bratez]

Опять оно живо под другим именем!

Выполните такой скрипт:

begin
ClearQuarantine;
 QuarantineFile('c:\windows\system32\msrr.exe','');
 DeleteFile('c:\windows\system32\msrr.exe');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Если что-то попадет в карантин - пришлите.
Удалите строчку с 'c:\windows\system32\msrr.exe' через AVZ - Менеджер ActiveSetup.

IceSword - force delete: C:\WINDOWS\System32\drivers\Gms38.sys

Сразу же скрипт в AVZ:

begin
 BC_DeleteSvc('Gms38');
 BC_DeleteFile('C:\WINDOWS\system32\WLCtrl32.dll');
 BC_DeleteFile('C:\WINDOWS\System32\drivers\Gms38.sys');
BC_Activate;
RebootWindows(true);
end.

и новый лог syscheck.

Добавлено через 1 минуту

AVZ - не антивирус, а инструмент воина-освободителя

[Ven]

Бесполезно, судя по-всему...опять в драйверах появляется левый файлик...каждый раз под новым именем, но не сразу после ребута, а спустя какое-то время.
Вот лог.

[rubin]

ftp://ftp.kaspersky.ru/utils/getsyst...SystemInfo.exe

Сделайте ей скан и заархивированный лог прикрепите

[Ven]

ОК. Делаю. У McAfee есть такая цацка, как защита доступа...так вот там можно выставить запрет на запись в папку и если вдруг какой-то процесс попытается писать, то маккафи скажет что это за процесс.

[Ven]

Вот лог.

[rubin]

\??\C:\WINDOWS\System32\drivers\Flq40.sys ("\\?\c:\windows\system32\drivers\flq40.sys") File version = (null), File size = 26240, File modification date = 01/03/2008 14:52, File description = (null), Product Name = (null), Product version = (null), Company name = (null) |-818417260|0x86b6a9522ee523037456dfb7a641d72d|


А Вы на время всех скриптов\удаления Ice Sword-ом интернет отключали? и антивирус?

[Ven]

Интернет не отключал. Антивирус - да, точней у меня его прсото нет. Вот хочу сейчас касперского 7-го поставить.

[rubin]

Интернет нужно отключать
IceSword - force delete: C:\WINDOWS\System32\drivers\flq40.sys

Сразу же скрипт в AVZ:

begin
 BC_DeleteSvc('flq40');
 BC_DeleteFile('C:\WINDOWS\system32\WLCtrl32.dll');
 BC_DeleteFile('C:\WINDOWS\System32\drivers\flq40.sys');
BC_Activate;
RebootWindows(true);
end.

и новый лог syscheck.

[Ven]

Как я понимаю, все проблемы от svchost.exe
У нас новый гость-блезнец: Djp62.sys

[rubin]

Надо подумать...

[Ven]

svchost.exe можно заменить заведомо здоровым?
Я сейчас поставил проверку в Касперском....посмотрим что он найдет.

[rubin]

Сначала сделайте проверку... svchost.exe по-моему легитимный, с подписями Майкрософта...

[Макcим]

Выполните скрипт в безопасном режиме

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(true);
 DeleteFile('C:\WINDOWS\system32\WLCtrl32.dll');
 BC_DeleteFile('C:\WINDOWS\system32\WLCtrl32.dll');
 BC_Activate;
 ExecuteSysClean;
 RebootWindows(true);
end.

Загрузите карантин согласно приложению №3 правил.

AVZ => Файл => Мастер поиска и устранения проблем. Категория проблемы - поставьте "Системные проблемы", степень опасности - "Все проблемы". Нажмите "Пуск". Всё найденное следует пометить и пофиксить. Данную операцию повторить для категории "Настройки и твики браузера".

Повторите логи.

[kps]

После этого проверьте в IceSword'e http://virusinfo.info/showthread.php?t=17228, есть ли файл C:\WINDOWS\system32\WLCtrl32.dll и если есть, удалите, как написано в инструкции (force delete и перезагрузка).

[Ven]

Я грешу на svchost.exe из-за того, что Касперский говорил о том, что этот процесс пытается отправить почту и т. п.

Я правильно понимаю, что в безопасном режиме делается только выполнение скрипта, а остальное уже в обычном режиме?

Я смогу сделать это только 2.03.2008 примерно в 11 часов по Москве...а то и в 12. Надеюсь, здесь будут те, кто сможет помочь.

Спасибо всем, кто помогает и вообще всему проекту! Очень выручаете, ребята!

[Макcим]

Я грешу на svchost.exe из-за того, что Касперский говорил о том, что этот процесс пытается отправить почту и т. п.

Не надо на него грешить. Он прошел по базе безопасных и рассылал почту не своей воли, а по принуждению зловредного драйвера. Вы всё правильно поняли.

[Ven]

Да, кстати, безопасный режим - с поддержикой сети или без нее?

[Макcим]

Без. Однозначно.

[Ven]

Сразу скажу чтоб небыло непонятностей - я на ночь оставлял касперского искать руткиты. Он понаходили кучу вирусов. Если надо - могу лог прислать лог того, чо он нашел. Один файл он удалить не мог (c:\windows\system32\msjq.exe), я удалил его через через IceSword.
Скрипт выполнил в безопасном режиме...комп ушел в нормальный ребут. Я сразу глянул в карантин - там пусто (возможно, касперский постарался).
Проблемы пофиксил.
Логи прикрепил.
Файлика нет.