Показано с 1 по 19 из 19.

Не могу вылечить Haxdoor. (заявка № 11024)

  1. #1
    Junior Member Репутация
    Регистрация
    12.07.2007
    Сообщений
    24
    Вес репутации
    39

    Thumbs up Не могу вылечить Haxdoor.

    Все темы прочитал касающиеся этого вируса, но ничего не помогло. Прощу о помощи.
    Вложения Вложения
    Последний раз редактировалось Keo; 13.07.2007 в 08:23.

  2. Будь в курсе!
    Реклама на VirusInfo

    Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

    Anti-Malware Telegram
     

  3. #2
    VIP Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    07.07.2005
    Адрес
    Moscow region
    Сообщений
    30,462
    Вес репутации
    2499
    1.Выполнить скрипт:
    Код:
    begin
    SearchRootkit(true, true);
    SetAVZGuardStatus(True);
     QuarantineFile('c:\windows\system32\klogini.dll','');
     QuarantineFile('c:\windows\system32\fltr.a3d','');
     QuarantineFile('c:\windows\system32\redir2.a3d','');
     QuarantineFile('c:\windows\system32\p3.ini','');
     QuarantineFile('C:\WINDOWS\system32\ovrscn.dll','');
     BC_DeleteFile('C:\WINDOWS\system32\ovrscn.dll');
     DeleteFile('C:\WINDOWS\system32\ovrscn.dll');
    BC_ImportAll;
    BC_Activate;
    ExecuteSysClean;
    RebootWindows(true);
    end.
    После перезагрузки загрузить карантин по ссылке вверху темы.
    2.Антивирус Симантек/Нортон у Вас живой? Если нет, то нужно ставить что-нибудь для защиты.
    3.Файл карантина удалите из темы.
    Павел
    AVZ HijackThis помощь с 10-00 до 18-00МСК

    Windows7, SEP(work)
    WindowsXP KIS(home)

    На up не реагирую

  4. #3
    Visiting Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    25.02.2007
    Сообщений
    8,033
    Вес репутации
    1695
    В удаленном карантине:
    ovrscn.dll - Backdoor.Win32.Haxdoor.kz
    qz.dll - Backdoor.Win32.Haxdoor.kz

  5. #4
    Junior Member Репутация
    Регистрация
    12.07.2007
    Сообщений
    24
    Вес репутации
    39
    1. Скрипт выполнил.
    2. Нортон живой, просто удалял на время AVZ
    3. Что это за файл и как его удалить?

  6. #5
    VIP Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    07.07.2005
    Адрес
    Moscow region
    Сообщений
    30,462
    Вес репутации
    2499
    Цитата Сообщение от Keo Посмотреть сообщение
    3. Что это за файл и как его удалить?
    Модераторы уже сработали. THK Maxim

    Карантин загрузил после скрипта?
    Павел
    AVZ HijackThis помощь с 10-00 до 18-00МСК

    Windows7, SEP(work)
    WindowsXP KIS(home)

    На up не реагирую

  7. #6
    Visiting Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    25.02.2007
    Сообщений
    8,033
    Вес репутации
    1695
    Цитата Сообщение от PavelA Посмотреть сообщение
    Модераторы уже сработали. THK Maxim
    Всегда пожалуйста

  8. #7
    Junior Member Репутация
    Регистрация
    12.07.2007
    Сообщений
    24
    Вес репутации
    39
    Карантин загрузил. С нетерпением жду ) Спасибо.

  9. #8
    Visiting Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    25.02.2007
    Сообщений
    8,033
    Вес репутации
    1695
    Вы сами удаляли какие-нибудь файлы с карантина?

  10. #9
    Junior Member Репутация
    Регистрация
    12.07.2007
    Сообщений
    24
    Вес репутации
    39
    Нет не удалял.

    Добавлено через 44 минуты
    Отправил карантин еще раз вместе с логом.
    Последний раз редактировалось Keo; 13.07.2007 в 05:57. Причина: Добавлено сообщение

  11. #10
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для Muzzle
    Регистрация
    07.02.2007
    Адрес
    Владивосток
    Сообщений
    1,068
    Вес репутации
    67
    Если интересно,то вот описание вашего зверька
    http://www.viruslist.com/ru/viruses/...?virusid=76809

    cz.dll,drct16.dll,hz.sys,vdmt16.sys,winlow.sys,wz. sys - поищите эти файлы при помощи AVZ-- сервис --поиск фалов на диске,если найдутся то удалите их.

    1.AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Надать кнопку "Запустить".
    Код:
    begin
    SearchRootkit(true, true);
    SetAVZGuardStatus(True);
     DeleteFile('c:\windows\system32\klogini.dll');
     DeleteFile('c:\windows\system32\fltr.a3d');
     DeleteFile('c:\windows\system32\redir2.a3d');
     DeleteFile('c:\windows\system32\p3.ini');
     DeleteFile('C:\WINDOWS\system32\qz.dll');
     DeleteFile('C:\WINDOWS\system32\ovrscn.dll');
     DeleteFile('ovrscn.dll');
     BC_DeleteFile('C:\WINDOWS\system32\ovrscn.dll');
     BC_DeleteFile('ovrscn.dll');
     BC_DeleteFile('c:\windows\system32\klogini.dll');
     BC_DeleteFile('c:\windows\system32\fltr.a3d');
     BC_DeleteFile('c:\windows\system32\redir2.a3d');
     BC_DeleteFile('c:\windows\system32\p3.ini');
     BC_DeleteFile('C:\WINDOWS\system32\qz.dll');
    ExecuteSysClean;
    BC_LogFile(GetAVZDirectory + 'boot_del.log');
    BC_Activate;
    RebootWindows(true);
    end.
    2.Потом второй скрипт
    Код:
    begin
    SearchRootkit(true, true);
    SetAVZGuardStatus(True);
     ClearQuarantine;
     QuarantineFile('c:\windows\system32\actmovie.dll','');
     QuarantineFile('C:\WINDOWS\userinit.exe','');
     DeleteFile('C:\WINDOWS\userinit.exe');
     DeleteFile('c:\windows\system32\actmovie.dll');
    BC_ImportALL;
    ExecuteSysClean;
    BC_Activate;
    RebootWindows(true);
    end.
    После выполнения скрипта компьютер перезагрузится.
    Прислать карантин согласно приложения 3 правил .
    Загружать по ссылке: http://virusinfo.info/upload_virus.php?tid=11024

    3.Пофиксить в HijackThis следующие строчки ( http://virusinfo.info/showthread.php?t=4491 )
    Код:
    O20 - Winlogon Notify: NavLogon - C:\WINDOWS\
    O20 - Winlogon Notify: ovrscn - C:\WINDOWS\SYSTEM32\ovrscn.dll
    4.после выполните снова логи и прикрепите файлик boot_del.log из директории AVZ.

  12. #11
    Junior Member Репутация
    Регистрация
    12.07.2007
    Сообщений
    24
    Вес репутации
    39
    А удалять файлы и выполнять скрипты в каком режиме надо делать? В безопасном или обычном? И после первого скрипта машина перезагрузится это правильно?

  13. #12
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для Muzzle
    Регистрация
    07.02.2007
    Адрес
    Владивосток
    Сообщений
    1,068
    Вес репутации
    67
    Скрипты выполнять в обычном режиме,после обоих скриптов машина перезагрузиться.

  14. #13
    Junior Member Репутация
    Регистрация
    12.07.2007
    Сообщений
    24
    Вес репутации
    39
    Отправил новый карантин и прикрепил новый лог от hijacka. Вроде все вычистилось.... не знаю правда надолго?


    (( сеть 30 компов пришел 2 недели назад, никакой централизации.... из машин и ОС зоопарк... ужасть... не знаю за что хвататся....

    делаю образ SP2 с новыми обновлениями, думаю ставить на все чистую установку.... может поможет...

  15. #14
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для Muzzle
    Регистрация
    07.02.2007
    Адрес
    Владивосток
    Сообщений
    1,068
    Вес репутации
    67
    c:\windows\system32\actmovie.dll - инфицирован Trojan-Spy.Win32.BZub.bm
    C:\WINDOWS\userinit.exe - инфицирован Backdoor.Win32.Haxdoor.kz
    (по Касперскому)
    они должны были удалиться после скрипта.Вы искали файлы которые я просил?
    И где новые логи?(нужны все три)
    а boot_del.log тоже потеряли?
    Последний раз редактировалось Muzzle; 13.07.2007 в 11:20. Причина: опечатка

  16. #15
    Junior Member Репутация
    Регистрация
    12.07.2007
    Сообщений
    24
    Вес репутации
    39
    Файлы искал, таких файлов нет ни одного. (Возможно из за Симантека)

    Логи прикрепил. правильно? Все?

    Еще раз спасибо...
    Вложения Вложения

  17. #16
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для Muzzle
    Регистрация
    07.02.2007
    Адрес
    Владивосток
    Сообщений
    1,068
    Вес репутации
    67
    Главное мы сделали логи чистые,осталось только почистить мусор
    пофиксите
    Код:
    O16 - DPF: {D30CA0FD-1CA0-11D4-AC78-006008A9A8BC} (WebBasedClientInstall Class) - file://\IsaVPHOMECLT-INSTWEBINSTwebinst.cab
    O20 - Winlogon Notify: ovrscn - C:\WINDOWS\
    Checkcfg - сами устанавливали?

  18. #17
    Junior Member Репутация
    Регистрация
    12.07.2007
    Сообщений
    24
    Вес репутации
    39
    Checkcfg сами.

    остальное почищу...

    Огромное спасибо!

    Только я так и непонял, какой скрипт мне помог? или их все 4 надо запускать по очереди?

  19. #18
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для Muzzle
    Регистрация
    07.02.2007
    Адрес
    Владивосток
    Сообщений
    1,068
    Вес репутации
    67
    Помогли все скрипты но для каждой проблемы они индивидуальны!
    Рекомендую работать под пользователем с ограниченными правами.
    По возможности не использовать Internet Explorer,а пользоваться другими браузерам,например Opera,Firefox (с отключенными java скриптами)
    Советуем прочитать электронную книгу)"Безопасный Интернет. Универсальная защита для Windows ME - Vista".
    Вы можете нас отблагодарить,оказав нам помощь в сборе базы безопасных файлов. Мы будем Вам очень благодарны!

    Удачи!

  20. #19
    Cybernetic Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    29.12.2008
    Сообщений
    48,318
    Вес репутации
    954

    Итог лечения

    Статистика проведенного лечения:
    • Получено карантинов: 3
    • Обработано файлов: 40
    • В ходе лечения обнаружены вредоносные программы:
      1. c:\\windows\\system32\\actmovie.dll - Trojan-Spy.Win32.BZub.bm (DrWEB: Trojan.PWS.Tanspy)
      2. c:\\windows\\system32\\ovrscn.dll - Backdoor.Win32.Haxdoor.kz (DrWEB: BackDoor.Haxdoor.440)
      3. c:\\windows\\system32\\qz.dll - Backdoor.Win32.Haxdoor.kz (DrWEB: BackDoor.Haxdoor.440)
      4. c:\\windows\\userinit.exe - Backdoor.Win32.Haxdoor.kz (DrWEB: Trojan.Packed.166)


  • Уважаемый(ая) Keo, наши специалисты оказали Вам всю возможную помощь по вашему обращению.

    В целях поддержания безопасности вашего компьютера настоятельно рекомендуем:

     

     

    Чтобы всегда быть в курсе актуальных угроз в области информационной безопасности и сохранять свой компьютер защищенным, рекомендуем следить за последними новостями ИТ-сферы портала Anti-Malware.ru:

     

     

    Anti-Malware VK

     

    Anti-Malware Telegram

     

     

    Надеемся больше никогда не увидеть ваш компьютер зараженным!

     

    Если Вас не затруднит, пополните пожалуйста нашу базу безопасных файлов.

  • Похожие темы

    1. Не могу вылечить ПК
      От RainBoy в разделе Помогите!
      Ответов: 2
      Последнее сообщение: 11.12.2009, 18:19
    2. Ответов: 12
      Последнее сообщение: 26.02.2009, 13:10
    3. Ответов: 10
      Последнее сообщение: 22.02.2009, 03:54
    4. BackDoor.Haxdoor.363 - не могу победить
      От КуК в разделе Помогите!
      Ответов: 15
      Последнее сообщение: 22.02.2009, 01:56
    5. Ответов: 11
      Последнее сообщение: 11.09.2006, 21:26

    Свернуть/Развернуть Ваши права в разделе

    • Вы не можете создавать новые темы
    • Вы не можете отвечать в темах
    • Вы не можете прикреплять вложения
    • Вы не можете редактировать свои сообщения
    •  
    Page generated in 0.01647 seconds with 17 queries