spyware

[nemelma]

винда пишет,мол система создает неавторизованные копии и все такое.попытался удалить winavxx и его *.pf в prefetch,но после перезагрузки они все равно появляются.при обращении к панели управления,свойствам системы,к центру безопасности пишет нет прав,обратитесь к администртору сети.cureit удалил каких-то троянов,но ниче не изменилось

[XL]

AVZ - Файл - Выполнить скрипт:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\Program Files\Common Files\WinAntiVirus Pro 2007\mav_startupmon.exe','');
 QuarantineFile('C:\Program Files\Common Files\WinAntiVirus Pro 2007\uwa7pcw.exe','');
 QuarantineFile('systems.txt','');
 QuarantineFile('C:\WINDOWS\system32\WinAvXX.exe','');
 QuarantineFile('\SystemRoot\system32\drivers\fwdrv.sys','');
 QuarantineFile('\??\C:\WINDOWS\TEMP\mc21.tmp','');
 QuarantineFile('\??\C:\WINDOWS\system32\drivers\oreans32.sys','');
 QuarantineFile('\??\C:\WINDOWS\system32\drivers\Oreans.sys','');
 QuarantineFile('c:\windows\system32\wltrysvc.exe','');
 QuarantineFile('C:\WINDOWS\Offline Web Pages\svchost.exe','');
 DeleteFile('C:\WINDOWS\Offline Web Pages\svchost.exe');
 DeleteFile('C:\Program Files\Common Files\WinAntiVirus Pro 2007\uwa7pcw.exe');
 DeleteFile('C:\WINDOWS\system32\WinAvXX.exe');
 DeleteFile('C:\Program Files\Common Files\WinAntiVirus Pro 2007\mav_startupmon.exe');
BC_ImportAll;
ExecuteSysClean;
ExecuteRepair(6);
ExecuteRepair(13);
BC_Activate;
RebootWindows(true);
end.

Полученный карантин пришлите согласно приложению 3 правил

[nemelma]

чисто!перезагрузилась и все работает.карантин,вроде отправил.а что за зверь вообще был?

[Shu_b]

карантин,вроде отправил.

Загрузок от Вас не видно.
ссылка для загрузки - http://virusinfo.info/upload_virus.php?tid=12406

[Muzzle]

И логи новые не забудьте сделать.

[nemelma]

карантин отправил,ща логи сделаю

[nemelma]

вот логи

[V_Bond]

C:\Program Files\Common Files\WinAntiVirus Pro 2007\mav_startupmon.exe not-a-virusownloader.Win32.WinFixer.x
остальные...чистые ...
C:\WINDOWS\system32\drivers\fwdrv.sys
C:\WINDOWS\system32\drivers\oreans32.sys
C:\WINDOWS\system32\drivers\Oreans.sys
c:\windows\system32\wltrysvc.exe чистые ...

удалим WinAntiVirus Pro 2007

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(true);
 QuarantineFile('C:\Program Files\WinAntiVirus Pro 2007\WinAV.exe','');
 QuarantineFile('C:\Program Files\WinAntiVirus Pro 2007\WAV6COM.dll','');
 QuarantineFile('C:\Downloads\WinAntiVirusPro2007FreeInstall.exe ','');
 QuarantineFile('C:\Program Files\Common Files\WinAntiVirus Pro 2007\wa7pinst.exe','');
 DeleteFile('C:\Downloads\WinAntiVirusPro2007FreeInstall.exe ');
 DeleteFile('C:\Program Files\Common Files\WinAntiVirus Pro 2007\wa7pinst.exe');
 DeleteFile('C:\Program Files\WinAntiVirus Pro 2007\WAV6COM.dll');
 DeleteFile('C:\Program Files\WinAntiVirus Pro 2007\WinAV.exe');   
 BC_ImportAll;
 BC_Activate;
 ExecuteSysClean;
 RebootWindows(true);
end.

поищите при помощи AVZ поиск файлов на диске C:\WINDOWS\TEMP\mc21.tmp ....
если найдется пришлите по правилам....

[nemelma]

вставляю этот скрипт,нажимаю выполнить - пишет: ошибка: ';' expected в позиции 9:2

[V_Bond]

поправил...

[nemelma]

нашел C:\WINDOWS\TEMP\mc21.tmp,выслал,но в карантине была еще куча других

[V_Bond]

в присланном архиве нужного файла нет.... там только ini

[nemelma]

а это нормально,что в протоколе AVZ написано:ошибка карантина файла,попытка прямого чтения (C:\WINDOWS\TEMP\mc21.tmp),карантин с использованием прямого чтения - ошибка?

[V_Bond]

выполните скрипт ....

begin
 ClearQuarantine;
 SearchRootkit(true, true);
 SetAVZGuardStatus(true);
 QuarantineFile('C:\WINDOWS\TEMP\mc21.tmp','');     
 BC_ImportQuarantineList;
 BC_Activate;
 RebootWindows(true);
end.

пришлите карантин согласно приложения 3 правил...

[nemelma]

скрипт выполнил,высылаю карантин

[V_Bond]

карантин снова пустой...
повторите логи ...

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 3
• Обработано файлов: 30
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\program files\\common files\\winantivirus pro 2007\\mav_startupmon.exe - not-a-virusownloader.Win32.WinFixer.x (DrWEB: Trojan.DownLoader.32655)
  2. c:\\program files\\common files\\winantivirus pro 2007\\uwa7pcw.exe - not-a-virusownloader.Win32.WinFixer.gv (DrWEB: Adware.Dmad.99)