маскированные процессы

[17_sqrt_2]

Здравствуйте,
Нод чего-то находил.
Проверьте, пожалуйста, логи.

[drongo]

C:\WINDOWS\system32\06.scr - пришлите по второму пункту правил,
скачайте в моей подписи special avz, включите avzpm и сделайте с ним лог virusinfo_syscure.zip

[PavelA]

Сделай лог Гмера.

[17_sqrt_2]

включение avzpm - неактивно.
лог прилагаю
запрошенный файл: Файл сохранён как 090317_184348_virus_49bfc5347f5c8.zip

Про Гмер не понял, что это?

[drongo]

Про Гмер не понял, что это?

http://virusinfo.info/showthread.php?t=40118


Неуспешный карантин через AVZ - попробуйте в безопасном режиме найти этот C:\WINDOWS\system32\06.scr , интересно что это

[17_sqrt_2]

вот

[drongo]

nod отключали перед запуском gmer?

[17_sqrt_2]

Пришлось в прошлый раз отложить процедуру, но проблема осталась.
Привожу новые логи просто по правилам

[17_sqrt_2]

и с помощью авз из подписи и гмера с выключенным нодом.

ну что, что-нибудь прояснилось? а то 15 минут осталось...потом придется выключить комп и уйти отсюда.

[Rene-gad]

Закройте/выгрузите все программы кроме AVZ и Internet Explorer.
Отключите
- ПК от интернета/локалки
- Антивирус и Файрвол.
- Системное восстановление.

- Выполните скрипт

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\MsSip3.dll','');
 QuarantineFile('C:\WINDOWS\system32\MsSip2.dll','');
 QuarantineFile('C:\WINDOWS\system32\MsSip1.dll','');
 DeleteFile('C:\WINDOWS\system32\MsSip1.dll');
 DeleteFile('C:\WINDOWS\system32\MsSip3.dll');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SYSTEMCurrentControlSetServicesWinTrustSubjectPackagesMS Subjects 1','$DLL');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SYSTEMCurrentControlSetServicesWinTrustSubjectPackagesMS Subjects 2','$DLL');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SYSTEMCurrentControlSetServicesWinTrustSubjectPackagesMS Subjects 3','$DLL');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

После перезагрузки:

- Очистите темп-папки, кэш проводников и корзину.
- Закройте все программы, включая Антивирус и Файрвол, Оставьте запущенным только Internet Explorer. Если он не запущен - запустите!!!
- Сделайте повторные логи
virusinfo_syscure.zip
virusinfo_syscheck.zip
hijackthis.log
- Включите Антвирус и Файрволл
- Подключите ПК к интернету/локалке
- Закачайте карантин по ссылке Прислать запрошенный карантин вверху темы (Приложение 3 правил).
- Прикрепите логи к новому сообщению.

[17_sqrt_2]

Извиняюсь, что так долго.
Карантин прислал.
Новые логи прикрепляю.
Заметил, что переодически что-то появляется по пути:
C:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5
Наверное, надо прислать что-нибудь от туда. Скажите как лучше это сделать.

[Rene-gad]

Заметил, что переодически что-то появляется по пути:
C:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5

Это временные файлы, которые появляются при запуске любого Веб-браузера. А что, там что-то плохое появляется?

[17_sqrt_2]

Там появляется то, на что ругается НОД32
файлы типа zpqr[1].htm

[Rene-gad]

Там появляется то, на что ругается НОД32
файлы типа zpqr[1].htm

Значит Вы какие-то страницы посещаете, откуда зараза прыгает. Попробуйте другой браузер (Firefox или Опера).
В логах сейчас ничего плохого, нужно поставить Сервис Пак 3 - возможно потребуется повторная активация - и последнюю версию Internet Explorer.
Так же необходимо установить все патчи!!!

[17_sqrt_2]

После последних логов вроде перестало появляться, но браузеры не запускали, когда лезло. Что-то автоматом туда лезло.
Вот так это выглядит в логах НОДа:
26.03.2009 13:30:43 IMON файл http://xxxxxxxxxxxxxx/xxxxxxxxxx Win32/AutoRun.Agent.FW червь NT AUTHORITY\SYSTEM
26.03.2009 13:28:24 IMON файл http://xxxxxxxxxx/xxxxxxxxxx Win32/Conficker.AE червь NT AUTHORITY\SYSTEM
26.03.2009 13:13:49 IMON файл http://xxxxxxxxxx/xxxxxxxxxx модифицированный Win32/Conficker.AA червь NT AUTHORITY\SYSTEM
26.03.2009 13:12:38 IMON файл http://xxxxxxxxxx/xxxxxxxxxx Win32/Conficker.AA червь Связь завершена NT AUTHORITY\SYSTEM
26.03.2009 12:55:24 IMON файл http://xxxxxxxxxx/xxxxxxxxxx Win32/Conficker.Z червь Связь завершена NT AUTHORITY\SYSTEM

СП3 поставлю.
Не кройте пока тему(пару дней), можно?

[Гриша]

Можно, SP3+остальные заплатки обязательно поставить, червь лезет...

З.Ы. ссылки затрите...

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 2
• Обработано файлов: 7
• В ходе лечения вредоносные программы в карантинах не обнаружены