Лишение прав администратора, "windows security alert"

[V_Bond]

выполните скрипт ....

begin
 ClearQuarantine;
 QuarantineFile('C:\WINDOWS\system32\wowfx.dll','');
 QuarantineFile('C:\WINDOWS\system32\vedxg6ame4.exe','');
 QuarantineFile('C:\Documents and Settings\All Users.WINDOWS\Документы\Settings\bot.dll','');
 QuarantineFile('Qby41.sys','');
 QuarantineFile('c:\windows\system32\svchost.exe','');
 DeleteFile('C:\WINDOWS\system32\Drivers\asc3550p.sys');
 DeleteFile('C:\Documents and Settings\All Users.WINDOWS\Документы\Settings\bot.dll');
 DeleteFile('C:\WINDOWS\system32\vedxg6ame4.exe');
 DeleteFile('C:\WINDOWS\system32\wowfx.dll');
BC_QrSvc('Qby41');
 BC_DeleteSvc('asc3550p');
BC_Importall;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

пришдите карантин согласно приложения 3 правил ...

[AdeptusArbitres]

Фуф.. Вот логи.) Там все также жутко.

[AdeptusArbitres]

Если надо могу заново сделать протокол служб.

[Bratez]

Пофиксите в HijackThis:

O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O20 - Winlogon Notify: botreg - C:\WINDOWS\

Выполните скрипт в AVZ:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\Documents and Settings\Меню\Application Data\printer.exe','');
 QuarantineFile('C:\WINDOWS\system32\drivers\symavc32.sys','');
 QuarantineFile('C:\WINDOWS\system32\drivers\Qby41.sys','');
 QuarantineFile('C:\WINDOWS\system32\drivers\Kkt51.sys','');
 QuarantineFile('C:\WINDOWS\system32\drivers\Fhy58.sys','');
 QuarantineFile('C:\WINDOWS\system32\Drivers\Qby41.sys','');
 DeleteFile('C:\WINDOWS\system32\Drivers\Qby41.sys');
 DeleteFile('C:\WINDOWS\system32\drivers\Fhy58.sys');
 DeleteFile('C:\WINDOWS\system32\drivers\Kkt51.sys');
 DeleteFile('C:\WINDOWS\system32\drivers\Qby41.sys');
 DeleteFile('C:\WINDOWS\system32\drivers\symavc32.sys');
 DeleteFile('C:\Documents and Settings\Меню\Application Data\printer.exe');
BC_ImportALL;
ExecuteSysClean;
ExecuteRepair(6);
ExecuteRepair(8);
ExecuteRepair(13);
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.
Пришлите новый карантин согласно приложению 3 правил.
Сделайте новые логи.

[AdeptusArbitres]

O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
Этого не было.
Карантин - virus.zip? Хорошо.

[AdeptusArbitres]

Хех.. Вот логи.) Сейчас выложу карантин.

[Макcим]

Удалите Outpost (это обязательно!)

Выполните скрипт в AVZ

begin
 QuarantineFile('C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_S10IC2.EXE','');
end.

Загрузите карантин по этой ссылке. Попробуйте сделать логи в нормальном режиме.

[AdeptusArbitres]

Аутпост удалил. Карантин выложить после создания логов, один я выкладывал в 4 утра вместе с логами. Сейчас попробую.

[AdeptusArbitres]

Запустил скрипт, все нормально сработало. Логи удалось сделать без safe mode. Карантин сейчас выложу.

[AdeptusArbitres]

Карантин - 080106_044636_virus_4780b18c64196.zip

[Bratez]

Выполните скрипт в AVZ:

begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\windows\system32\users32.dat','');
 DeleteFile('C:\windows\system32\users32.dat');
BC_ImportDeletedList;
BC_DeleteSvc('Qby41');
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Если карантин будет не пуст - пришлите по правилам.

Посмотрите, нужно ли что-нибудь из этого:

>> Службы: разрешена потенциально опасная служба RemoteRegistry (Удаленный реестр)
>> Службы: разрешена потенциально опасная служба TermService (Службы терминалов)
>> Службы: разрешена потенциально опасная служба SSDPSRV (Служба обнаружения SSDP)
>> Службы: разрешена потенциально опасная служба Schedule (Планировщик заданий)
>> Службы: разрешена потенциально опасная служба mnmsrvc (NetMeeting Remote Desktop Sharing)
>> Службы: разрешена потенциально опасная служба RDSessMgr (Диспетчер сеанса справки для удаленного рабочего стола)
>> Безопасность: разрешен автозапуск программ с CDROM
>> Безопасность: разрешен административный доступ к локальным дискам (C$, D$ ...)
>> Безопасность: к ПК разрешен доступ анонимного пользователя
>> Безопасность: Разрешена отправка приглашений удаленному помошнику

Лишнее отключим.

Какие еще проблемы остались?

[AdeptusArbitres]

Хорошо сейчас сделаю все это. Из этих служб, кроме административного доступа больше не нужно ничего.)
Вроде больше никаких проблем..

[Bratez]

Тогда такой скрипт:

begin
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Control\Terminal Server','fAllowToGetHelp', 0);
SetServiceStart('RDSessMgr', 4);
SetServiceStart('mnmsrvc', 4);
SetServiceStart('Schedule', 4);
SetServiceStart('SSDPSRV', 4);
SetServiceStart('TermService', 4);
SetServiceStart('RemoteRegistry', 4);
RebootWindows(true);
end.

и сделайте лог syscheck для контроля.

[AdeptusArbitres]

syscheck - это стандарт. скрипт 2, или для контроля это что-то другое?
В карантине после того как запускал

begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\windows\system32\users32.dat',' ');
DeleteFile('C:\windows\system32\users32.dat');
BC_ImportDeletedList;
BC_DeleteSvc('Qby41');
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

лежит users32.dat, его выложить?

[AdeptusArbitres]

Надеюсь это тот лог, что нужен.

[Bratez]

Меня беспокоит ваш c:\windows\system32\svchost.exe, который не проходит по базе безопасных. Его уже карантинили выше, но по-моему, никто так и не проверил (я карантины не качал из-за большого размера ). Пришлите этот файл отдельно - по правилам, разумеется.

[AdeptusArbitres]

Хорошо, сейчас выложу. У меня были когда-то с этим файлом проблемы, он загружал соединение и отправлял массу запросов(пытался) на удаленные ip.
080106_052700_virus_4780bb043edf4.zip - вот он.

[Bratez]

Да, users32.dat из карантина пришлите.
syscheck - станд. скрипт #2, правильно.

[AdeptusArbitres]

Вот они оба.
080106_052945_virus_4780bba976fee.zip
Этот лог в 35-ом посте.

[Bratez]

users32.dat - not-a-virus:AdWare.Win32.Agent.zo
svchost.exe - Trojan.Win32.Patched.bh

Первый мы уже удалили, второй может вылечить KAV 7.0, либо надо его заменить на оригинальный с помощью консоли восстановления или Boot CD.