Win32/Small или другой вирус

[Ven]

Прошу помочь. Не удивляйтесь что время поста такое. Вирус на сервере и я не могу позволить себе перезагружать его в рабочее время.

Кроме обязательных логов могу добавить, что ключ

[HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows] "AppInit_DLLs" = "%System%\perfc000.dat"

удаляется легко, но сразу же появляется опять

Спасибо всем откликнувшимся.

[Muffler]

Да... Дела хреновые...
Сейчас что-то будем думать...

[Ven]

Расскажите хоть примерно что там

[Muffler]

Самая большая проблема это ошибки в SPI/LSP - AVZ их не корректно исправляет на серверах.

Первое что сделайте, это прочитайте и скачайте вот это -> http://www.virusinfo.info/showthread.php?t=10267

После этого вот такой скрипт:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('so1.dll','');
 QuarantineFile('C:\WINDOWS\system32\ipv6monl.dll','');
 QuarantineFile('C:\WINDOWS\system32\perfc000.dat','');
 QuarantineFile('C:\Documents and Settings\adm\WINDOWS\system32\smss.exe','');
 QuarantineFile('c:\windows\system32\rcssrv.exe','');
 BC_DeleteFile('C:\WINDOWS\system32\perfc000.dat');
 BC_DeleteFile('C:\WINDOWS\system32\ipv6monl.dll');
 BC_DeleteFile('C:\WINDOWS\so1.dll');
 BC_DeleteFile('C:\WINDOWS\system32\so1.dll');
BC_Activate;
ExecuteSysClean;
RebootWindows(false);
end.

После выполнения и перезагрузки нужны новые логи и карантин по правилам.

[Ven]

Что такое SPI/LSP?
Какую из них качать для Win 2003 Std RU?
Просто скачать на всякий случай или скачать и в случае проблем после выполнения скрипта нужно будет будет запустить и пофискить возникшие проблемы?

[Muffler]

Просто скачать на всякий случай или скачать и в случае проблем после выполнения скрипта нужно будет будет запустить и пофискить возникшие проблемы?

Скачайте на всякий случай.

Какую из них качать для Win 2003 Std RU?

Качайте вот эту -> http://www.winsockfix.nl/winsockxpfix.exe

Что такое SPI/LSP?

Долго объяснять - помоему в хелпе по AVZ об этом написано...
Читайте хелп по AVZ.

[Ven]

logs #2

[Ven]

Результат загрузки
Файл сохранён как 070801_091843_virus_46b017b3f2849.zip
Размер файла 95130
MD5 0d7660afb6e487773caebe8b7c45fa1d

Файл закачан, спасибо!

Добавлено через 6 часов 37 минут
Почему никто не отвечает?
Я что-то не так сделал или отчет показал что все чисто?

[Muffler]

Я понимаю что это сервер, но вы востановление системы отключили?

Если да, тогда пофиксите в HijackThis:

O2 - BHO: (no name) - {36DBC179-A19F-48F2-B16A-6A3E19B42A87} - C:\WINDOWS\system32\ipv6monl.dll (file missing)

O2 - BHO: H - {C80FA185-0C28-4806-BA80-3467E02E587F} - so1.dll (file missing)

O4 - HKLM\..\Run: [Install.exe] C:\WINDOWS\svchost.exe

O20 - AppInit_DLLs: C:\WINDOWS\system32\perfc000.dat

Плюс, выполните вот такой скрипт:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
ClearQuarantine;
 BC_QrFile('C:\Documents and Settings\adm\WINDOWS\System32\smss.exe');
 BC_QrFile('C:\WINDOWS\svchost.exe');
 BC_DeleteFile('C:\WINDOWS\system32\perfc000.dat');
 BC_DeleteFile('C:\WINDOWS\system32\ipv6monl.dll');
 BC_DeleteFile('C:\WINDOWS\so1.dll');
 BC_DeleteFile('C:\WINDOWS\system32\so1.dll');
 BC_DeleteFile('C:\WINDOWS\svchost.exe');
BC_LogFile(GetAVZDirectory + 'bc_log.txt');
BC_Activate;
ExecuteSysClean;
RebootWindows(false);
end.

После перезагрузки, пришлите нам карантин и файл bc_log.txt(он находится в папке AVZ), плюс нужны логи пп. 10-13 из правил.

[Ven]

вот три файлика, сейчас карантин сделаю

[Ven]

Результат загрузки
Файл сохранён как 070801_222934_virus_46b0d10ea050f.zip
Размер файла 601
MD5 4fbbc7e917a592f63314c0d2be0182b0

Файл закачан, спасибо!

[Muffler]

Ven, логи чистые.

На счёт SPI/LSP, прочитайте вот это -> http://www.virusinfo.info/showpost.p...61&postcount=2

[Ven]

Спасибо Вам огромное за помощь!
Прочитал, только не понял зачем мне это если все чисто. Или это просто информация?

[Muffler]

только не понял зачем мне это

Это обьясняет ошыбки в SPI/LSP.