netprotocol.exe

[unicre]

Здравствуйте.

Поймал на варезнике эту гадость. Avast его постоянно блокирует:
http://i1176.photobucket.com/albums/...o9do/Avast.png

Сперва попытался удалить его вручную, используя следующий FAQ:
http://i1176.photobucket.com/albums/x322/komo9do/XP.jpg

Часть файлов нашел, удалил. Неделю всё было тихо, но сегодня он опять откуда-то вылез.

Теперь я сделал всё по вашей инструкции (проверка компьютера в безопасном режиме с помощью Dr.Web CureIt!):
http://i1176.photobucket.com/albums/.../copyfinal.jpg
3 выделенных exe-шника я переместил в карантил сам (надо было, наверное, удалять, да?)

Это тоже не помогло. netprotocol.exe остался.

Логи утилит AVZ и HiJackThis прилагаются.

Буду благодарен за помощь!

[Info_bot]

Уважаемый(ая) unicre, спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[Bratez]

Пофиксите в HijackThis:

O4 - HKLM\..\Run: [RelevantKnowledge] C:\Program Files\RelevantKnowledge\rlvknlg.exe -boot
O4 - HKCU\..\Run: [MRDaemon.exe] C:\Program Files\Mnet\QuickManager2\MRDaemon.exe
O4 - HKCU\..\Run: [Netprotocol] C:\Documents and Settings\Beta\Application Data\netprotocol.exe
O4 - Startup: PowerReg Scheduler V3.exe

Выполните скрипт в AVZ:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\Documents and Settings\Beta\Application Data\netprotocol.exe','');
 DeleteFile('C:\Documents and Settings\Beta\Application Data\netprotocol.exe');
 DeleteFile('C:\Program Files\relevantknowledge\rlls.dll');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.
Пришлите карантин согласно приложению 2 правил
(загружать тут: http://virusinfo.info/upload_virus.php?tid=120374).
Сделайте новые логи (только п.2 и 3 раздела Диагностика).

[unicre]

Готово.

[Bratez]

Чисто.

[unicre]

Чисто.

Bratez, огромное Вам спасибо за помощь!

[unicre]

Bratez, здравствуйте.

Это снова я Он опять появился. По говно-варезникам я не лазил, не знаю что за напасть такая.

Новую тему не стал создавать. Прошу помочь.

[Bratez]

Выполните скрипт в AVZ:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 DeleteFile('C:\Documents and Settings\Beta\Application Data\netprotocol.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.
Сделайте новые логи (только п.2 и 3 раздела Диагностика).

Ставьте все обновления безопасности для Windows через Microsoft или вот такой набор.

[unicre]

Ставьте все обновления безопасности для Windows через Microsoft или вот такой набор.

Сейчас буду разбираться с этим делом.

[Bratez]

В логах чисто.

[unicre]

В логах чисто.

Спасибо!

P.S. Bratez, скажите, а чем может быть вызвано повторное появление этого вируса (при условии, что я не посещал варезники и др. опасные сайты)? Насколько я понял, перечитав с десяток разных форумов, этот вирус не может удалить ни один антивирус.

И ещё, об обновлениях. Достаточно будет поставить лишь вот это - Обновление для системы безопасности Windows XP Embedded (KB2686509) ?
http://www.microsoft.com/downloads/r...9#QuickDetails

Задаю этот вопрос по той причине, что использую нелицензионный Windows, а полное обновление, как известно, сулит смертью операционки.

[Bratez]

а чем может быть вызвано повторное появление этого вируса

Подозреваю, что наличием уязвимостей в системе (которые закрываются путем установки обновлений).

Достаточно будет поставить лишь вот это - Обновление для системы безопасности Windows XP Embedded (KB2686509) ?
http://www.microsoft.com/downloads/r...9#QuickDetails

Нет, это вообще не то.

Вы по моей ссылке смотрели? Скачайте оттуда набор Security Pre-SP4 и поставьте, активация не потребуется.

[unicre]

Нет, это вообще не то.

Вы по моей ссылке смотрели? Скачайте оттуда набор Security Pre-SP4 и поставьте, активация не потребуется.

Да, читал. Но я почему-то зациклился на фразе "Если вы домашний пользователь, то рекомендую для обновления операционных систем Windows использовать Microsoft Update или Windows Update". Поэтому и начал искать эти обновления.

Перед использованием рекомендуется сделать образ диска или системной партиции утилитами Symantec Ghost или Acronis True Image.
Этот пункт строго обязателен перед тем как ставить Security Pre-SP4?

[thyrex]

Сделайте лог полного сканирования МВАМ

[Bratez]

Этот пункт строго обязателен перед тем как ставить Security Pre-SP4?

Нет. Я много раз устанавливал эти пакеты, проблем не было никогда.

[unicre]

Сделайте лог полного сканирования МВАМ

thyrex, сделал.

Нет. Я много раз устанавливал эти пакеты, проблем не было никогда.

Bratez, установил, спасибо.

P.S. Пока шло сканирование MBAM Avast переместил в карантин следующие вирусы:
http://i1176.photobucket.com/albums/...st-kanatin.png

[thyrex]

Удалите в МВАМ только указанные строки

Обнаруженные ключи в реестре:  2
HKLM\SOFTWARE\StimulProfit (Adware.Agent) -> Действие не было предпринято.
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\{d08d9f98-1c78-4704-87e6-368b0023d831} (PUP.Adware.RelevantKnowledge) -> Действие не было предпринято.

Обнаруженные папки:  2
C:\Program Files\RelevantKnowledge (PUP.Spyware.MarketScore) -> Действие не было предпринято.
C:\Documents and Settings\All Users.WINDOWS\Главное меню\Программы\RelevantKnowledge (PUP.Spyware.MarketScore) -> Действие не было предпринято.

Обнаруженные файлы:  22
C:\Program Files\RelevantKnowledge\rlls64.dll (PUP.Adware.RelevantKnowledge) -> Действие не было предпринято.
C:\Program Files\RelevantKnowledge\rlvknlg64.exe (PUP.Adware.RelevantKnowledge) -> Действие не было предпринято.
L:\Users\User\DoctorWeb\Quarantine\rlservice.exe (PUP.Adware.RelevantKnowledge) -> Действие не было предпринято.
L:\Users\User\DoctorWeb\Quarantine\rlvknlg.exe (PUP.Adware.RelevantKnowledge) -> Действие не было предпринято.
C:\Program Files\RelevantKnowledge\ncncf.dat (PUP.Spyware.MarketScore) -> Действие не было предпринято.
C:\Program Files\RelevantKnowledge\rloci.bin (PUP.Spyware.MarketScore) -> Действие не было предпринято.
C:\Documents and Settings\All Users.WINDOWS\Главное меню\Программы\RelevantKnowledge\About RelevantKnowledge.lnk (PUP.Spyware.MarketScore) -> Действие не было предпринято.
C:\Documents and Settings\All Users.WINDOWS\Главное меню\Программы\RelevantKnowledge\Privacy Policy and User License Agreement.lnk (PUP.Spyware.MarketScore) -> Действие не было предпринято.
C:\Documents and Settings\All Users.WINDOWS\Главное меню\Программы\RelevantKnowledge\Support.lnk (PUP.Spyware.MarketScore) -> Действие не было предпринято.
C:\Documents and Settings\All Users.WINDOWS\Главное меню\Программы\RelevantKnowledge\Uninstall Instructions.lnk (PUP.Spyware.MarketScore) -> Действие не было предпринято.

[unicre]

Готово.

[thyrex]

Теперь полный порядок

[unicre]

Ребята, огромное вам спасибо за помощь!!