Показано с 1 по 19 из 19.

троян в ksys.sys (заявка № 11788)

  1. #1
    Junior Member Репутация
    Регистрация
    18.08.2007
    Сообщений
    20
    Вес репутации
    38

    Exclamation троян в ksys.sys

    здравствуйте. у меня вчера Аваст блокирнул браузеры. при сканировании обнаружил троян в ksys.sys... ksys.sys не удаляется и при сканировании постоянно пишет что там вирус. пришлось удалить аваст. что делать? как от него избавится...
    заранее спасибо
    Вложения Вложения

  2. Будь в курсе!
    Реклама на VirusInfo

    Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

    Anti-Malware Telegram
     

  3. #2
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    03.04.2006
    Сообщений
    21,108
    Вес репутации
    3000
    Цитата Сообщение от u-gin Посмотреть сообщение
    здравствуйте. у меня вчера Аваст блокирнул браузеры.
    и при этом пал смертью храбрых Вы Др.Веб прогоняли перед тем, как логи делать, т.е. как в правилах написано?
    пофиксите
    O4 - HKLM\..\Policies\Explorer\Run: [1] C:\WINDOWS\system32\Com\svchost.exe
    Выполните скрипт
    Код:
    begin
    SetAVZGuardStatus(True);
    SearchRootkit(true, true);
     QuarantineFile('\SystemRoot\system32\drivers\runtime2.sys','');
     QuarantineFile('\??\C:\WINDOWS\System32\drivers\runtime.sys','');
     QuarantineFile('C:\WINDOWS\system32\Com\svchost.exe','');
     DeleteFile('C:\WINDOWS\system32\Com\svchost.exe');
     DeleteFile('\SystemRoot\system32\drivers\runtime2.sys');
     DeleteFile('\??\C:\WINDOWS\System32\drivers\runtime.sys');
     BC_DeleteFile('C:\WINDOWS\system32\Com\svchost.exe');
     BC_DeleteFile('\SystemRoot\system32\drivers\runtime2.sys');
     BC_DeleteFile('\??\C:\WINDOWS\System32\drivers\runtime.sys');
    BC_ImportDeletedList;
    ExecuteSysClean;
    BC_Activate;
    RebootWindows(true);
    end.
    после ребута - карантин в студию, логи повторить.
    O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_10\bin\ssv.dll
    После лечения обновить до версии 1.6.0 02
    Последний раз редактировалось Rene-gad; 18.08.2007 в 12:19.

  4. #3
    Junior Member Репутация
    Регистрация
    18.08.2007
    Сообщений
    20
    Вес репутации
    38
    пофиксите

    Цитата:
    O4 - HKLM\..\Policies\Explorer\Run: [1] C:\WINDOWS\system32\Com\svchost.exe
    простите за глупость..я в этом не бум-бум. а как это сделать?

  5. #4
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для AndreyKa
    Регистрация
    08.01.2005
    Адрес
    Россия
    Сообщений
    13,625
    Вес репутации
    1291

  6. #5
    Junior Member Репутация
    Регистрация
    18.08.2007
    Сообщений
    20
    Вес репутации
    38
    а если я не пофиксил а скрипт выполнил??

  7. #6
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    03.04.2006
    Сообщений
    21,108
    Вес репутации
    3000
    Цитата Сообщение от u-gin Посмотреть сообщение
    а если я не пофиксил а скрипт выполнил??
    карантин где? Логи после скрипта?Ответ на вопрос о Др.Веб?
    Последний раз редактировалось Rene-gad; 18.08.2007 в 13:02. Причина: Добавлено

  8. #7
    Junior Member Репутация
    Регистрация
    18.08.2007
    Сообщений
    20
    Вес репутации
    38
    карантин послал. каюсь вэбом не пользовался. простите.
    Вложения Вложения

  9. #8
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    26.12.2006
    Адрес
    Vladivostok
    Сообщений
    23,299
    Вес репутации
    1555
    Пофиксите:
    Код:
    O2 - BHO: AlxTB BHO - {F1FABE79-25FC-46de-8C5A-2C6DB9D64333} - (no file)
    O4 - HKLM\..\Run: [startdrv] C:\WINDOWS\Temp\startdrv.exe
    Перезагрузитесь и повторите лог HijackThis.
    I am not young enough to know everything...

  10. #9
    Junior Member Репутация
    Регистрация
    18.08.2007
    Сообщений
    20
    Вес репутации
    38
    спасибо
    Вложения Вложения

  11. #10
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    26.12.2006
    Адрес
    Vladivostok
    Сообщений
    23,299
    Вес репутации
    1555
    Теперь все в логах хорошо, только куда же ksys.sys подевался?
    Поищите его "Поиском файлов" в AVZ.
    И еще сделайте лог, как написано тут:
    http://virusinfo.info/showthread.php?t=10387
    I am not young enough to know everything...

  12. #11
    Junior Member Репутация
    Регистрация
    18.08.2007
    Сообщений
    20
    Вес репутации
    38
    ksys.sys не находится. при включении безопасного режима на что то ругается. на какие то три драйвера... первый скрипт не выполняет(((

    пишет: Проверка не производится, так как не установлен драйвер мониторинга AVZPM
    Вложения Вложения
    Последний раз редактировалось u-gin; 19.08.2007 в 11:19.

  13. #12
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    26.12.2006
    Адрес
    Vladivostok
    Сообщений
    23,299
    Вес репутации
    1555
    Вы забыли переключить "Только активные службы и драйверы" на "Все службы и драйверы", это главная фишка в этом логе
    Сделайте еще раз.
    пишет: Проверка не производится...
    это нормально
    I am not young enough to know everything...

  14. #13
    Junior Member Репутация
    Регистрация
    18.08.2007
    Сообщений
    20
    Вес репутации
    38
    вроде переключал всё. вот еще раз. теперь точно сделал как вы сказали
    Вложения Вложения

  15. #14
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    26.12.2006
    Адрес
    Vladivostok
    Сообщений
    23,299
    Вес репутации
    1555
    Вот теперь ОК. Выполните скрипт в AVZ:
    Код:
    begin
    BC_DeleteSvc('NDnet1');
    BC_DeleteSvc('runtime2');
    BC_Activate;
    RebootWindows(true);
    end.
    На этом считаем лечение оконченным.
    Антивирус обязательно поставьте, только лучше не Аваст, а что-нибудь посолиднее. Обновите ему базы и на всякий пожарный сделайте полную проверку в безопасном режиме.
    I am not young enough to know everything...

  16. #15
    Junior Member Репутация
    Регистрация
    18.08.2007
    Сообщений
    20
    Вес репутации
    38
    Огромное спасибо)))

  17. #16
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    26.12.2006
    Адрес
    Vladivostok
    Сообщений
    23,299
    Вес репутации
    1555
    Пардон, маленько поспешил. Есть еще кое-что подозрительное.
    Выполните такой скрипт:
    Код:
    begin
    ClearQuarantine;
     BC_QrSvc('maz550u');
     BC_QrSvc('maz550m');
     BC_QrSvc('maz550c');
    BC_Activate;
    RebootWindows(true);
    end.
    и пришлите новый карантин по правилам.
    I am not young enough to know everything...

  18. #17
    Junior Member Репутация
    Регистрация
    18.08.2007
    Сообщений
    20
    Вес репутации
    38
    послал.
    спасибо еще раз. огромное

  19. #18
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    28.03.2006
    Сообщений
    2,780
    Вес репутации
    1362
    Вэбом все-таки проверьте.

  20. #19
    Cybernetic Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    29.12.2008
    Сообщений
    48,318
    Вес репутации
    953

    Итог лечения

    Статистика проведенного лечения:
    • Получено карантинов: 2
    • Обработано файлов: 6
    • В ходе лечения обнаружены вредоносные программы:
      1. c:\\windows\\system32\\com\\svchost.exe - Backdoor.Win32.VB.bdw (DrWEB: BackDoor.Glist)


  • Уважаемый(ая) u-gin, наши специалисты оказали Вам всю возможную помощь по вашему обращению.

    В целях поддержания безопасности вашего компьютера настоятельно рекомендуем:

     

     

    Чтобы всегда быть в курсе актуальных угроз в области информационной безопасности и сохранять свой компьютер защищенным, рекомендуем следить за последними новостями ИТ-сферы портала Anti-Malware.ru:

     

     

    Anti-Malware VK

     

    Anti-Malware Telegram

     

     

    Надеемся больше никогда не увидеть ваш компьютер зараженным!

     

    Если Вас не затруднит, пополните пожалуйста нашу базу безопасных файлов.

  • Похожие темы

    1. Trojan.Win32.Ddox.ci и троян "троян маячок"
      От eugenmax в разделе Помогите!
      Ответов: 6
      Последнее сообщение: 03.08.2011, 13:06
    2. Ответов: 6
      Последнее сообщение: 28.02.2009, 16:27
    3. Троян
      От Ruslan123 в разделе Помогите!
      Ответов: 7
      Последнее сообщение: 22.02.2009, 08:39
    4. Trojan.NtRootKit.248 в файле ksys.sys
      От RomulN в разделе Помогите!
      Ответов: 20
      Последнее сообщение: 22.02.2009, 02:08
    5. Ответов: 2
      Последнее сообщение: 31.01.2008, 09:48

    Свернуть/Развернуть Ваши права в разделе

    • Вы не можете создавать новые темы
    • Вы не можете отвечать в темах
    • Вы не можете прикреплять вложения
    • Вы не можете редактировать свои сообщения
    •  
    Page generated in 0.00420 seconds with 17 queries