проблемы после лечения компа

**Leshiy** · 20.06.2007, 16:37

Добрый день, проблема следующая: пролечил комп, отчеты, вроде, чистые, но загрузка процессора постоянно держится на 98% (загружает его System). Интернет Эксплорер подвисает, в остальном, проблем особых незаметно.

Надеюсь на помощь.

ЗЫ: лечил от system32:lzx32.sys, но впроцессе еще что-то выплыло... точно не вспомню сейчас

Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

**Bratez** · 20.06.2007, 16:54

Выполните скрипт в AVZ:

Код:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('jpgmgr32.dll','');
 QuarantineFile('drvmgr32.dll','');
 QuarantineFile('brwmgr32.dll','');
 QuarantineFile('ansmgr32.dll','');
 QuarantineFile('C:\WINNT\system32\winsys32.dll','');
 QuarantineFile('C:\WINNT\system32\sbeddem.dll','');
 QuarantineFile('C:\WINNT\system32\rpcc1.dll','');
 QuarantineFile('C:\WINNT\system32\rpcc.dll','');
 QuarantineFile('c:\winnt\system32\winlogon.exe','');
QuarantineFile('C:\WINNT\SYSTEM32\nwprovau.dll','');
RebootWindows(true);
end.

Компьютер перезагрузится.
Пришлите карантин согласно приложению 3 правил.

**Rene-gad** · 20.06.2007, 17:05

@Leshiy

Platform: Windows 2000 SP3 (WinNT 5.00.2195)

SP4 появился, если мне не изменяет память, где-то лет 5-6 назад. После него вышло еще две-три сотни патчей. Лечение такой незащищенной системы может оказаться коту под хвост:первый выход в сеть - и через все незалатаные дыры система в течение 5 минут опять забита вирьем.

**Leshiy** · 20.06.2007, 17:22

Спасибо за помощь

Файл сохранён как 070620_172015_VIRUS_4679298f2b078.ZIP
Размер файла 172370
MD5 78edbf75f4303f22ecc62f5a8c78a1f3

PS: комп не мой, девушка просила посмотреть почему ведет себя странно... проведу разъяснительную работу

**Rene-gad** · 20.06.2007, 17:24

Сообщение от Leshiy

девушка просила посмотреть почему ведет себя странно...

Кто? Девушка?

SCNR

**Leshiy** · 20.06.2007, 17:32

Сообщение от Rene-gad

Кто? Девушка?

SCNR

велик и могуч русская языка

**Bratez** · 20.06.2007, 17:45

Выполните скрипт в AVZ:

Код:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 DeleteFile('C:\WINNT\system32\rpcc.dll');
 DeleteFile('C:\WINNT\system32\rpcc1.dll');
 DeleteFile('C:\WINNT\system32\winsys32.dll');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.
Пофиксите в HijackThis:

Код:

O2 - BHO: (no name) - {9E4F45DB-2EC3-4b09-91F9-31C702B3285D} - (no file)
O20 - Winlogon Notify: ansmgr - ansmgr32.dll (file missing)
O20 - Winlogon Notify: brwmgr - brwmgr32.dll (file missing)
O20 - Winlogon Notify: drvmgr - drvmgr32.dll (file missing)
O20 - Winlogon Notify: jpgmgr - jpgmgr32.dll (file missing)
O20 - Winlogon Notify: rpcc - C:\WINNT\system32\rpcc.dll
O20 - Winlogon Notify: rpcc1 - C:\WINNT\system32\rpcc1.dll
O20 - Winlogon Notify: sbeddem - C:\WINNT\system32\sbeddem.dll (file missing)
O20 - Winlogon Notify: sfcfdmsc - C:\WINNT\
O20 - Winlogon Notify: winsys32 - C:\WINNT\system32\winsys32.dll

И еще - ваш winlogon.exe патченный (Trojan.Win32.Patched.q).
У вас есть дистрибутив вашей версии Windows?

**Alex_Goodwin** · 20.06.2007, 17:51

Офф: Ник у вас знакомый.. Это не вы сегодня на форуме ЛК квип выкладывали?

**Leshiy** · 20.06.2007, 18:13

Сообщение от Bratez

Выполните скрипт в AVZ:
...
Пофиксите в HijackThis:

выполнил, пофиксел - не помогло.

И еще - ваш winlogon.exe патченный (Trojan.Win32.Patched.q).
У вас есть дистрибутив вашей версии Windows?

дистрибутив 2000-го с сп1 где-то был, найду... как winlogon полечить можно ?

Сообщение от Alex_Goodwin

Офф: Ник у вас знакомый.. Это не вы сегодня на форуме ЛК квип выкладывали?

нет... нас, Леших, много - но всё по лесАм в основном прячемся

**Bratez** · 20.06.2007, 18:24

как winlogon полечить можно ?

Вариант 1: распаковать из дистрибутива и подменить, но для этого придется загрузиться с CD, если у вас NTFS это может оказаться проблемой найти загрузочный CD с поддержкой NTFS.
Вариант 2: Это может вылечить антивирус Касперского 6.0, можно скачать и установить как пробный на 1 месяц бесплатно:
http://www.kaspersky.ru/productupdat...link=206909823
Наверно проще будет 2-й.
Только перед установкой Касперского удалите ваш старый антивирус.

После проведения "операции" сделайте новые логи, посмотрим не осталось ли чего.

**drongo** · 20.06.2007, 18:35

Если не найдётся дистрибутива, вот вам ваш вылеченный 7-ым каспером - winlogon, опять же менять его надо загрузившись с какого-нибудь загрузочного диска специально предназначенного для таких дел.

**Leshiy** · 20.06.2007, 18:45

Сообщение от drongo

Если не найдётся дистрибутива, вот вам ваш вылеченный 7-ым каспером - winlogon, опять же менять его надо загрузившись с какого-нибудь загрузочного диска специально предназначенного для таких дел.

спасибо, а не подскажете, где можно взять "специально предназначенный для таких дел" диск ?

Просто, нет уверенности, что смогу чисто снести старый антивир.

**drongo** · 20.06.2007, 18:49

я с касперского делал, KIS который

kis это использует : http://www.nu2.nu/pebuilder/
в любом случае BART PE надо будет установить.
удаляйте старый антивирь стандартно, поставьте каспера. лечитесь, потом новые логи, если будут хвосты- поможем удалить.

**pig** · 20.06.2007, 19:14

Сообщение от Leshiy

дистрибутив 2000-го с сп1 где-то был, найду...

Не пойдёт, у вас система уже SP3.

**Leshiy** · 20.06.2007, 19:27

Сообщение от drongo

я с касперского делал, KIS который

kis это использует : http://www.nu2.nu/pebuilder/
в любом случае BART PE надо будет установить.
удаляйте старый антивирь стандартно, поставьте каспера. лечитесь, потом новые логи, если будут хвосты- поможем удалить.

спасибо, но уже... загрузил с установочного и через консоль восстановления ручками в ком.строке

винлогон сменил (на вылеченный drongo), результат все тот же - 100% загрузка процессора, при попытке сходить, куда-бы то ни было в IE "замирание" интерфейса минуты на 1.5, затем комп оживает и сайт грузится нормально, следующий клик/ввод нового адреса в браузер - ситуация повторяется.

**drongo** · 20.06.2007, 23:15

Ну поменяйте на тот ,что Pig дал

Думаю всё равно обновляться надо, иначе будет лезть всякая дрянь.
Да, вот скрипт выполните и пришлите карантин ,если *dta там окажется :

Код:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINNT\Temp\0wl.tmp','');
 DeleteFile('C:\WINNT\Temp\0wl.tmp');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

**pig** · 21.06.2007, 01:15

Я убрал уже - тот post-SP4, не соответствует версии.
Если поставить SP4, он сам заменит файл на правильный.

**Leshiy** · 21.06.2007, 12:17

Спасибо, скрипт выполнил карантин залил:
Файл сохранён как 070621_121545_VIRUS2_467a33b1282ba.ZIP
Размер файла 91279
MD5 bcf01b6a6a45fb335d492f2d230af7aa

накатил сп4... ИЕ, вроде полечился, загрузка процессора осталась

**drongo** · 21.06.2007, 12:56

Быть может что осталось,например последний, что закачали
C:\WINNT\Temp\0wl.tmp =троянская программа Trojan.Win32.Patched.q
Советую просканировать последним касперским и новые логи сделать после этого.

**CyberHelper** · 22.02.2009, 01:54

Статистика проведенного лечения:

Получено карантинов: 2
Обработано файлов: 7
В ходе лечения обнаружены вредоносные программы:
1. c:\\winnt\\system32\\rpcc.dll - Trojan-Proxy.Win32.Dlena.cq (DrWEB: Win32.HLLM.Bid)
2. c:\\winnt\\system32\\rpcc1.dll - Trojan-Proxy.Win32.Dlena.cq (DrWEB: Win32.HLLM.Bid)
3. c:\\winnt\\system32\\winlogon.exe - Trojan.Win32.Patched.q (DrWEB: Trojan.Starter.212)
4. c:\\winnt\\system32\\winsys32.dll - Trojan-Proxy.Win32.Saturn.a (DrWEB: BackDoor.Maper)
5. c:\\winnt\\temp\\0wl.tmp - Trojan.Win32.Patched.q (DrWEB: Trojan.Starter.212)

проблемы после лечения компа (заявка № 10516)

Опции темы