не могу избавиться от вирусов!

[sss]

сношу касперским, AVZ, но они вновь закачиваются из инета. Трафик растет скачками. Пробовал закрывать адреса, но не помогает. Прислать лог virusinfo_syscheck.zip не могу, так как он весит около 900 кб.((

[Rene-gad]

@sss
Почитайте тут. Это интересно.

[sss]

@sss
Почитайте тут. Это интересно.

Первым делом прочитал.

[Rene-gad]

Первым делом прочитал.

а почему тогда только 2 лога?

[sss]

а почему тогда только 2 лога?

так лог большой 941к, а там ограничение на 483 кб. или около того

[Rene-gad]

так лог большой 941к, а там ограничение на 483 кб. или около того

Лог virusinfo_syscheck.zip по величине примерно равен virusinfo_syscure.zip - 10-30%, т.к. в нем уже нет тех вредных процессов, которые занесены в базу АВЗ и удаляюся встроеным скриптом 3 автоматически . Предполагаю, что Вы хотели какой-то другой лог закачать.

[Bratez]

Выполните скрипт в AVZ:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\system32\a3dx8.dll','');
 QuarantineFile('C:\WINDOWS\csrss.exe','');
 QuarantineFile('C:\Documents and Settings\All Users\Документы\Settings\bot.dll','');
 QuarantineFile('C:\WINDOWS\system32\xpdx.sys','');
BC_ImportQuarantineList;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.
Пришлите содержимое карантина согласно приложению 3 правил.

[sss]

Выполните скрипт в AVZ:
Пришлите содержимое карантина согласно приложению 3 правил.

Сделал и отправил. Походу они нашлись. Когда архивировал, касперский нашел парочку Troajn.Clicker

[sss]

загрузился или нет?

[Bratez]

Когда архивировал, касперский нашел парочку Troajn.Clicker

Дык правила хто читать будет?!
Отключить его надо было, он же весь карантин съел!
Выполните скрипт:

begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\csrss.exe','');
 QuarantineFile('C:\Documents and Settings\All Users\Документы\Settings\bot.dll','');
 QuarantineFile('C:\WINDOWS\system32\xpdx.sys','');
BC_ImportQuarantineList;
BC_Activate;
RebootWindows(true);
end.

и карантин пришлите по новой.

[sss]

сделал этот скрипт и отправил. Жду. А почему в этот раз в скрипте не было поиска a3dx8.dll???
Походу еще ядру капец, думаю какой нибудь руткит постарался.

[Bratez]

Выполните следующий скрипт:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 DeleteFile('C:\Documents and Settings\All Users\Документы\Settings\bot.dll');
 DeleteFile('C:\WINDOWS\csrss.exe');
 DeleteFile('C:\WINDOWS\system32\a3dx8.dll');
 BC_ImportDeletedList;
 BC_DeleteSvc('xpdx');
 BC_DeleteFile('C:\WINDOWS\system32\xpdx.sys');
 ExecuteSysClean;
 BC_Activate;
RebootWindows(true);
end.

После перезагрузки пофиксите в HijackThis:

O20 - Winlogon Notify: A3dxq - C:\WINDOWS\system32\a3dx8.dll
O20 - Winlogon Notify: botreg - C:\Documents and Settings\All Users\Документы\Settings\bot.dll (file missing)

и новые логи - в студию. Очень желательно все три.
Если не поместятся, старые логи можно удалить.

[sss]

есть

[Bratez]

А пофиксить забыли?

O20 - Winlogon Notify: A3dxq - C:\WINDOWS\
O20 - Winlogon Notify: botreg - C:\WINDOWS\

Выполните еще такой скрипт в AVZ:

begin
ClearQuarantine;
BC_QrFile('C:\WINDOWS\system32\svchost.exe:exe.exe');
BC_QrFile('C:\WINDOWS\perfmon.exe');
BC_LogFile(GetAVZDirectory + 'boot_clr.log'); 
BC_Activate;
RebootWindows(true);
end.

Если карантин будет не пустой, пришлите по правилам.
Прикрепите к теме файл boot_clr.log из папки с AVZ.

[sss]

только не профиксил строки 020, их нет.

[Bratez]

Ясно. Выполните скрипт:

begin
BC_DeleteSvc('ICF');
BC_DeleteSvc('Performance Monitor');
BC_Activate;
RebootWindows(true);
end.

и после перезагрузки сделайте новый лог HijackThis.

[sss]

сотворил.

[Bratez]

Ну все, теперь полный порядок
Надеюсь, левого трафика больше нет?

[sss]

посмотрим еще. А как быть с перехватчиками klif.sys и sptd.sys???? Они обнаруживаются при сканировании.

[Kuzz]

klif.sys - это драйвер от Касперского,
а sptd.sys - Alcohol или DaemonTools.
Эти перехватчики не опасны.