Помогите Win.Grum и еще куча всякой гадости

**рыбенок** · 03.07.2007, 20:47

Пожалуйста, помогите.
Получила я открыточку, будь она не ладна, и подхватила какую-то заразу. AGV расспознал ее как win.grum, и вроде как убил, потом CureIT наловил кучу троянов, но на душе совсем не спокойно: комп тормозит, виндоуз при запуске в нормальном режиме жалуется что не может найти файл servises.exe и советует удалить запись из реестра.
Попробовала сделать логи AVZ в соответствии с правилами, но в нормальном режиме ничего не выходит - начинается выполнение скрипта и компьютер перезагружается. Поэтому логи в безопасном режиме...

Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

**Kuzz** · 03.07.2007, 22:05

Выполните скрипт в AVZ (AVZ, Меню Файл\Выполнить скрипт. Подробнее...):

Код:

begin
 SearchRootkit(true, true);
 QuarantineFile('NDIS.sys','');
 QuarantineFile('\SystemRoot\system32\drivers\runtime2.sys','');
 DeleteFile('\SystemRoot\system32\drivers\runtime2.sys');
 DeleteFile('C:\WINDOWS\system32\rpcc.dll');
 BC_LogFile(GetAVZDirectory + 'boot_clr.log');
 BC_ImportAll;
 BC_DeleteSvc('runtime2');
 BC_Activate;
 ExecuteSysClean;
 RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.
После перезагрузки пришлите попавшие в карантин файлы согласно правилам (для отправки файлов следует воспользоваться ссылкой "Прислать запрошенные файлы" над первым сообщением темы)

Пофиксить:

Код:

O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O16 - DPF: {DF780F87-FF2B-4DF8-92D0-73DB16A1543A} (PopCapLoader Object) - http://arcade.icq.com/carlo/zuma/popcaploader_v5.cab
O20 - Winlogon Notify: rpcc - C:\WINDOWS\system32\rpcc.dll
O23 - Service: Microsoft security update service (msupdate) - Unknown owner - c:\windows\system32\msvcrtd.exe (file missing)

**рыбенок** · 03.07.2007, 22:20

В безопасном режиме? Или попробовать в нормальном?

**Kuzz** · 03.07.2007, 22:23

Раз уж логи делались в безопасном, то и скрипт выполните тоже в безопасном.
А после выполнения и перезагрузки можно попробовать загрузиться в нормальном.
Если в нормальном загрузится, фиксить в норм.

**рыбенок** · 03.07.2007, 22:36

Скрипт выполнила, карантин загрузила.
Фиксить в каком режиме?

**Kuzz** · 03.07.2007, 22:51

Фиксить в нормальном.
Сделайте новые логи, пожалуйста.

**рыбенок** · 03.07.2007, 22:52

Виндоуз продолжает требовать файл servises.exe и предлагает удалить ссылку из реестра.
В нормальном режиме HJ строку О4 не показал...
Остальные три пофиксила.

**рыбенок** · 04.07.2007, 00:23

логи прикрепила выше

**Bratez** · 04.07.2007, 03:42

Выполните скрипт в AVZ:

Код:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\ServicePackFiles\services.exe','');
 DeleteFile('C:\WINDOWS\ServicePackFiles\services.exe');
BC_ImportDeletedList;
BC_DeleteSvc('msupdate');
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

После перезагрузки пофиксите в HijackThis:

Код:

F3 - REG:win.ini: run=C:\WINDOWS\ServicePackFiles\services.exe

Обновите базы AVZ и сделайте логи еще раз.

**рыбенок** · 04.07.2007, 07:27

Скрипт выполнила.
Строки для HJ F3... не вижу...

**Bratez** · 04.07.2007, 07:41

Сообщение от рыбенок

Строки для HJ F3... не вижу...

Значит ушла после скрипта, тем лучше.
Осталось обновить базы AVZ и сделать новые логи.

**рыбенок** · 04.07.2007, 08:43

Логи после обноления баз:

**drongo** · 04.07.2007, 10:13

Выполните скрипт в AVZ

Код:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 Clearquarantine;
 QuarantineFile('C:\WINDOWS\SYSTEM32\DRIVERS\NDIS.SYS','');
 QuarantineFile('c:\windows\system32\drivers\port_nt.sys','');
 QuarantineFile('C:\WINDOWS\Temp\startdrv.exe','');
DeleteFile('C:\WINDOWS\Temp\startdrv.exe');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.
После перезагрузки пришлите попавшие в карантин файлы согласно правилам (для отправки файлов следует воспользоваться ссылкой "Прислать запрошенные файлы" над первым сообщением темы)

**рыбенок** · 05.07.2007, 08:58

Сделаю скрипт в пятницу вечером, когда доберусь до того компа.

**рыбенок** · 06.07.2007, 22:24

Скрипт сделала, карантин загрузила

**Bratez** · 07.07.2007, 04:14

В карантине:
startdrv.exe - Trojan-Downloader.Win32.Agent.buy (удален)
port_nt.sys - чистый
NDIS.SYS - вроде бы тоже, но подождем ответа от ЛК.

Добавлено через 31 минуту
Ответ пришел, файл чистый.
По идее, проблемы уже быть не должно.
Сделайте еще раз логи.

**рыбенок** · 09.07.2007, 18:39

Снова добралась до компа и сделала новые логи. Надеюсь уже чисто?

**Muzzle** · 09.07.2007, 19:11

В логах ничего подозрительного нет,можете очистить корзину.
Проблема пропала?

**рыбенок** · 10.07.2007, 09:44

Вроде все нормально, СПАСИБО ОГРОМНОЕ!!!

**Muzzle** · 10.07.2007, 09:51

Советуем прочитать электронную книгу "Безопасный Интернет. Универсальная защита для Windows ME - Vista".

Вы можете нас отблагодарить, оказав нам помощь в сборе базы безопасных файлов. Мы будем Вам очень благодарны!

Удачи!