При заходе на один известный сайт (snowboarding.ru) залетела куча виручов и процесс services.exe постоянно пытается внедриться, пока фаервол его блокирует. Также пересали запускаться при загрузке компа антивирь и фаервол. Ну и ещё много всякой бяки.
При заходе на один известный сайт (snowboarding.ru) залетела куча виручов и процесс services.exe постоянно пытается внедриться, пока фаервол его блокирует. Также пересали запускаться при загрузке компа антивирь и фаервол. Ну и ещё много всякой бяки.
Выполните проверку AVPTool (ссылка в подписи), потом повторите логи.
проверку AVPTool выполнил, нашлась куча троянов, всё почистил.
Но файл services.exe всё ещё сидит в папке windows, и ни как не удаляется. Так же постоянно вылезает окно фаервола "процесс запрашивает сетевой доступ" к файлу vmmreg32.dll
Последний раз редактировалось Pavel207; 21.08.2008 в 17:56.
кстати файл vmmreg32.dll ни каким образом не находится, но фаервол постоянно на него ругается.
Скачайте IceSword , поищите и скопируйте файлы:
Скопированные с помощью IceSword файлы сохраните в карантине (Приложение 2 правил).Код:C:\WINDOWS\system32\vmmreg32.dll C:\WINDOWS\SYSTEM32\drivers\VIDEO.sys C:\WINDOWS\SYSTEM32\VIDEO.sys C:\WINDOWS\SYSTEM32\VIDEO.bkp C:\WINDOWS\SYSTEM32\webmin\VIDEO.bkp C:\WINDOWS\SYSTEM32\webmin\vmmreg32.bkp C:\WINDOWS\SYSTEM32\webmin\winhelp32.exe C:\WINDOWS\SYSTEM32\winhelp32.exe
Потом удалите их с помощью force delete
Если Вы какие-то файлы не обнаружите - переходите к следующему шагу.
Отключите
- ПК от интернета/локалки
- Антивирус и Файрвол.
- Системное восстановление.
- Выполните скрипт
После перезагрузки:Код:begin SearchRootkit(true, true); SetAVZGuardStatus(True); DeleteService('VIDEO'); QuarantineFile('C:\WINDOWS\SYSTEM32\winhelp32.exe',''); QuarantineFile('C:\WINDOWS\SYSTEM32\webmin\winhelp32.exe',''); QuarantineFile('C:\WINDOWS\SYSTEM32\webmin\vmmreg32.bkp',''); QuarantineFile('C:\WINDOWS\SYSTEM32\webmin\VIDEO.bkp',''); QuarantineFile('C:\WINDOWS\SYSTEM32\drivers\VIDEO.sys',''); QuarantineFile('C:\WINDOWS\system32\vmmreg32.dll',''); DeleteFile('C:\WINDOWS\system32\vmmreg32.dll'); DeleteFile('C:\WINDOWS\SYSTEM32\drivers\VIDEO.sys'); DeleteFile('C:\WINDOWS\SYSTEM32\webmin\VIDEO.bkp'); DeleteFile('C:\WINDOWS\SYSTEM32\webmin\vmmreg32.bkp'); DeleteFile('C:\WINDOWS\SYSTEM32\webmin\winhelp32.exe'); DeleteFile('C:\WINDOWS\SYSTEM32\winhelp32.exe'); BC_ImportAll; ExecuteSysClean; BC_DeleteSvc('VIDEO'); BC_Activate; RebootWindows(true); end.
- Очистите темп-папки, кэш проводников и корзину.
- Закройте все программы, включая Антивирус и Файрвол, Оставьте запущенным только Internet Explorer. Если он не запущен - запустите!!!
- Включите AVZPM
- Сделайте повторные логи по правилам.
- Включите Антвирус и Файрволл
- Подключите ПК к интернету/локалке
- Закачайте карантин по ссылке Прислать запрошенный карантин вверху темы (Приложение 3 правил).
- Прикрепите логи к новому сообщению.
Последний раз редактировалось Rene-gad; 21.08.2008 в 20:01.
из вашего списка не найдено:
C:\WINDOWS\SYSTEM32\drivers\VIDEO.sys
C:\WINDOWS\SYSTEM32\VIDEO.bkp
остальные скопировал, но в карантин они не сохраняются.
после неудачных попыток их сохранить в карантин, файлы по вашему списку я удалил с помощью force delete
далее, ваш скрипт не выполняется, выдаётся ошибка:
Ошибка скрипта: ';' expected, позиция [25:4]
что делать?
карантин закачал, логи прикрепил.
после перезагрузки компа выдётся следующее сообщение windows: "не удалось открыть следующие файлы: winhelp32.bkp"
к тому же вот что выдаёт AVZ:
7. Эвристичеcкаяпроверкасистемы
Подозрениенаскрытуюзагрузкубиблиотекчерез AppInit_DLLs: "C:\WINDOWS\SYSTEM32\vmmreg32.dll"
>>> C:\WINDOWS\services.exe ЭПС: подозрение на Файл с подозрительным именем (высокая степень вероятности)
9. Мастер поиска и устранения проблем
>> Некорректный элемент автозапуска
IceSword , поищите и скопируйте файлы:
Скопированные с помощью IceSword файлы сохраните в карантине (Приложение 2 правил).Код:C:\WINDOWS\system32\vmmreg32.dll C:\WINDOWS\SYSTEM32\webmin\vmmreg32.bkp C:\WINDOWS\SYSTEM32\webmin\winhelp32.exe
Потом удалите их с помощью force delete
Если Вы какие-то файлы не обнаружите - переходите к следующему шагу.
Отключите
- ПК от интернета/локалки
- Антивирус и Файрвол.
- Системное восстановление.
- Выполните скрипт
После перезагрузки:Код:begin SearchRootkit(true, true); SetAVZGuardStatus(True); DelBHO('{7C6E1044-DBF1-EDB3-57BB-D40A130EA5BD}'); QuarantineFile('C:\WINDOWS\services.exe',''); DeleteFile('C:\WINDOWS\services.exe'); BC_DeleteFile('C:\WINDOWS\system32\vmmreg32.dll'); BC_ImportAll; ExecuteSysClean; RegKeyParamWrite('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\Explorer\User Shell Folders', 'Startup', 'REG_EXPAND_SZ', '%USERPROFILE%\Главное меню\Программы\Автозагрузка'); RegKeyParamWrite('HKEY_LOCAL_MACHINE', 'SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\User Shell Folders', 'Common Startup', 'REG_EXPAND_SZ', '%ALLUSERSPROFILE%\Главное меню\Программы\Автозагрузка'); BC_Activate; RebootWindows(true); end.
- Очистите темп-папки, кэш проводников и корзину.
- Скачайте http://www.glarysoft.com/rr.html и почистите реестр.
- Закройте все программы, включая Антивирус и Файрвол, Оставьте запущенным только Internet Explorer. Если он не запущен - запустите!!!
- Включите AVZPM
- Сделайте повторные логи по правилам.
- Включите Антвирус и Файрволл
- Подключите ПК к интернету/локалке
- Закачайте карантин по ссылке Прислать запрошенный карантин вверху темы (Приложение 3 правил).
- Прикрепите логи к новому сообщению.
карантин прислал, логи прилагаю.
из тех файлов которые вы предложили поискать и скопировать IceSwordом ничего не найдено. Единственное вызывает сомнение файл сидящий здесь:C:\WINDOWS\SYSTEM32\webmin\ под названием winhelp32.bkp т.к. Create time его 2008-08-21 13:35:17 , а это примерно то время когда и начались проблемы.
И ещё, после загрузки windows фаервол и антивирус (и ещё парочка нужных прог) не запускаются автоматически, только ручками. Не подскажете как это исправить?
Надо и его удалить.
-Пофиксите
- Выполните скриптКод:O20 - AppInit_DLLs: C:\WINDOWS\SYSTEM32\vmmreg32.dll
После перезагрузки проинформируйте о состоянии ПК.Код:begin executerepair(7); executerepair(5); executerepair(6); executerepair(8); executerepair(9); executerepair(11); executerepair(16); executerepair(17); RebootWindows(true); end.
всё сделал, проблем вроде бы больше не наблюдаю, но фаервол и антивирь всё равно не запускаются автоматически, а вот punto swicher стал запускаться сам.
И ещё, в "моём компьютере" появился значок веб-папки, хотя его там раньше не было.
автозагрузку можно поправить этим ...
Статистика проведенного лечения:
- Получено карантинов: 2
- Обработано файлов: 7
- В ходе лечения обнаружены вредоносные программы:
- c:\\windows\\services.exe - Trojan.Win32.Agent.zvp (DrWEB: Trojan.Packed.573)
- c:\\windows\\system32\\vmmreg32.dll - Trojan.Win32.BHO.gcs (DrWEB: Trojan.Click.20003)
- c:\\windows\\system32\\webmin\\video.bkp - Trojan-PSW.Win32.Agent.kon (DrWEB: Trojan.Click.20003)
- c:\\windows\\system32\\webmin\\vmmreg32.bkp - Trojan.Win32.BHO.gcs (DrWEB: Trojan.Click.20003)
- c:\\windows\\system32\\webmin\\winhelp32.exe - Trojan-PSW.Win32.Agent.koo (DrWEB: Trojan.PWS.Clever.
- c:\\windows\\system32\\winhelp32.exe - Trojan-PSW.Win32.Agent.koo (DrWEB: Trojan.PWS.Clever.
Уважаемый(ая) Pavel207, наши специалисты оказали Вам всю возможную помощь по вашему обращению.
В целях поддержания безопасности вашего компьютера настоятельно рекомендуем:
Чтобы всегда быть в курсе актуальных угроз в области информационной безопасности и сохранять свой компьютер защищенным, рекомендуем следить за последними новостями ИТ-сферы портала Anti-Malware.ru:
Надеемся больше никогда не увидеть ваш компьютер зараженным!
Если Вас не затруднит, пополните пожалуйста нашу базу безопасных файлов.