Показано с 1 по 20 из 20.

Вирус 'Rootkit.Win32.Agent.fq' (заявка № 12239)

  1. #1
    Junior Member Репутация
    Регистрация
    06.09.2007
    Сообщений
    23
    Вес репутации
    38

    Вирус 'Rootkit.Win32.Agent.fq'

    Обнаружил вирус - троянская программа 'Rootkit.Win32.Agent.fq'. Но удалить и вылечить не могу...Появляется надпись " Файл C:\WINDOWS\system32\syssrv.sys не вылечен: нет прав на запись" и пишет пропустить. Что делать?
    Вложения Вложения
    Последний раз редактировалось Vitamin5; 07.09.2007 в 13:50.

  2. Будь в курсе!
    Реклама на VirusInfo

    Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

    Anti-Malware Telegram
     

  3. #2
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    26.12.2006
    Адрес
    Vladivostok
    Сообщений
    23,299
    Вес репутации
    1555
    Выполните скрипт в AVZ:
    Код:
    begin
    SearchRootkit(true, true);
    SetAVZGuardStatus(True);
     QuarantineFile('C:\WINDOWS\system32\syssrv.sys ','');
     QuarantineFile('C:\Program Files\BitAccelerator\BitAccelerator.dll','');
     DeleteFile('C:\Program Files\BitAccelerator\BitAccelerator.dll');
    BC_ImportALL;
    ExecuteSysClean;
    BC_Activate;
    RebootWindows(true);
    end.
    После перезагрузки пришлите карантин согласно приложению 3 правил.

    Добавлено через 4 минуты

    И еще: поищите с помощью AVZ (Сервис - Поиск файлов) файл ctfmon.exe. Если найдется где-нибудь, кроме system32, пришлите по правилам.
    Последний раз редактировалось Bratez; 06.09.2007 в 18:02. Причина: Добавлено
    I am not young enough to know everything...

  4. #3
    Junior Member Репутация
    Регистрация
    06.09.2007
    Сообщений
    23
    Вес репутации
    38

    Ответ

    Все сделал...Файл ctfmon.exe находится только вsystem32.
    Посылаю архив.


    [moderated! Запрошенные файлы нужно присылать в соответствии с приложением 3 правил.]
    Последний раз редактировалось Shu_b; 07.09.2007 в 09:49.

  5. #4
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для Muzzle
    Регистрация
    07.02.2007
    Адрес
    Владивосток
    Сообщений
    1,068
    Вес репутации
    67
    карантин отправтьпе по этой ссылке
    http://virusinfo.info/upload_virus.php?tid=12239

    выполните скрипт
    Код:
    begin
    SearchRootkit(true, true);
    SetAVZGuardStatus(True);
    DeleteFile('C:\WINDOWS\system32\syssrv.sys');
    BC_DeleteFile('C:\WINDOWS\system32\syssrv.sys');
    ExecuteSysClean;
    BC_Activate;
    RebootWindows(true);
    end.
    после выполнения скрипта,компьютер перезагрузиться.

    Повторите лог

  6. #5
    Junior Member Репутация
    Регистрация
    06.09.2007
    Сообщений
    23
    Вес репутации
    38

    Все сделал

    Посылаю лог.
    Вложения Вложения

  7. #6
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для Muzzle
    Регистрация
    07.02.2007
    Адрес
    Владивосток
    Сообщений
    1,068
    Вес репутации
    67
    простите опечатался,повторите все логи

  8. #7
    Junior Member Репутация
    Регистрация
    06.09.2007
    Сообщений
    23
    Вес репутации
    38

    Предыдущий лог

    Посылаю предущий лог

    Добавлено через 4 минуты

    Пишит, что уже существует в теме
    Последний раз редактировалось Vitamin5; 07.09.2007 в 12:34. Причина: Добавлено

  9. #8
    VIP Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    07.07.2005
    Адрес
    Moscow region
    Сообщений
    30,462
    Вес репутации
    2499
    удали старые логи.
    Павел
    AVZ HijackThis помощь с 10-00 до 18-00МСК

    Windows7, SEP(work)
    WindowsXP KIS(home)

    На up не реагирую

  10. #9
    Junior Member Репутация
    Регистрация
    06.09.2007
    Сообщений
    23
    Вес репутации
    38

    Посылаю.....предыдущий лог

    Понял. Посылаю.....предыдущий лог
    Вложения Вложения

  11. #10

  12. #11
    Junior Member Репутация
    Регистрация
    06.09.2007
    Сообщений
    23
    Вес репутации
    38

    ? только 2 лога

    Первый сделан после первоначальной проверки и отослан вместе с 2 файлами virusinfo_syscure.zip и virusinfo_syscheck.zip...я его переслал...А последний после выполнения скрипта тоже послал в 12.37

  13. #12
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для Muzzle
    Регистрация
    07.02.2007
    Адрес
    Владивосток
    Сообщений
    1,068
    Вес репутации
    67
    Так,что-то вы наворотили тут,нужно было сделать новые три лога после выполнения скрипта,и прикрепить их к своему последними сообщению.

  14. #13
    Junior Member Репутация
    Регистрация
    06.09.2007
    Сообщений
    23
    Вес репутации
    38

    Все понял...высылаю

    Высылаю 3 лога.
    Вложения Вложения

  15. #14
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    26.12.2006
    Адрес
    Vladivostok
    Сообщений
    23,299
    Вес репутации
    1555
    Пофиксите в HijackThis:
    Код:
    O2 - BHO: BitAccelerator module - {92860A02-4D69-48c1-82D7-EF6B2C609502} - C:\Program Files\BitAccelerator\BitAccelerator.dll (file missing)
    O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
    O4 - HKCU\..\Run: [Energy Controller] ctfmon.exe
    В карантине AVZ есть файл U.exe - пришлите его по правилам.

    Сообщите, что используется из этого:
    Код:
    >> Службы: разрешена потенциально опасная служба RemoteRegistry (Удаленный реестр)
    >> Службы: разрешена потенциально опасная служба TermService (Службы терминалов)
    >> Службы: разрешена потенциально опасная служба SSDPSRV (Служба обнаружения SSDP)
    >> Службы: разрешена потенциально опасная служба Schedule (Планировщик заданий)
    >> Службы: разрешена потенциально опасная служба mnmsrvc (NetMeeting Remote Desktop Sharing)
    >> Службы: разрешена потенциально опасная служба RDSessMgr (Диспетчер сеанса справки для удаленного рабочего стола)
    > Службы: обратите внимание - набор применяемых на ПК служб зависит от области применения ПК (домашний, ПК в ЛВС компании ...)!
    >> Безопасность: разрешен автозапуск программ с CDROM
    >> Безопасность: разрешен административный доступ к локальным дискам (C$, D$ ...)
    >> Безопасность: к ПК разрешен доступ анонимного пользователя
    >> Безопасность: Разрешена отправка приглашений удаленному помошнику
    остальное поправим.
    I am not young enough to know everything...

  16. #15
    Junior Member Репутация
    Регистрация
    06.09.2007
    Сообщений
    23
    Вес репутации
    38

    Отослал

    А что с кодом делать?

  17. #16
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для drongo
    Регистрация
    17.09.2004
    Адрес
    Israel
    Сообщений
    7,165
    Вес репутации
    971
    Vitamin5, не понял, всё это используешь ? нужно всё закрыть, у меня всё закрыто и не жалуюсь

  18. #17
    Junior Member Репутация
    Регистрация
    06.09.2007
    Сообщений
    23
    Вес репутации
    38

    Да нет конечно!

    А где закрыть то?
    ..да вроде ничего не использую...

  19. #18
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для drongo
    Регистрация
    17.09.2004
    Адрес
    Israel
    Сообщений
    7,165
    Вес репутации
    971
    Цитата Сообщение от Vitamin5 Посмотреть сообщение
    А где закрыть то?
    в системе при помощи выполнения скрипта (в AVZ):
    Код:
    begin
    RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Control\Terminal Server','fAllowToGetHelp', 0);
    RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Control\LSA','RestrictAnonymous', 2);
    RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'System\CurrentControlSet\Services\LanmanServer\Parameters','AutoShareWks', 0);
    RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'System\CurrentControlSet\Services\CDROM','AutoRun', 0);
    SetServiceStart('RDSessMgr', 4);
    SetServiceStart('mnmsrvc', 4);
    SetServiceStart('Schedule', 4);
    SetServiceStart('SSDPSRV', 4);
    SetServiceStart('TermService', 4);
    SetServiceStart('RemoteRegistry', 4);
    ExecuteRepair(2);
    ExecuteRepair(3);
    ExecuteRepair(4);
    RebootWindows(true);
    end.
    Добавлено через 5 минут

    не забыть каспера обновить. уже 7-ка давно вышла.
    Чтобы уменьшить шанс заражения, советуем на будущее :
    1) Работать за компьютером с правами ограниченного пользователя.
    2) Пользоваться для хождения по интернету альтернативным браузером с отключёнными скриптами по умолчанию с лёгкостью разрешая доверенным сайтам выполнять скрипты (Firefox и Opera это позволяют делать в отличии от IE 7 ,6....)
    3) Прочитать электронную книгу "Безопасный Интернет". Универсальная защита для Windows ME - Vista": http://security-advisory.newmail.ru

    Вы можете нас отблагодарить, оказав нам помощь в сборе базы безопасных файлов : http://virusinfo.info/showthread.php?t=3519
    Мы будем Вам очень благодарны!

    Удачи!
    Последний раз редактировалось drongo; 07.09.2007 в 14:27. Причина: Добавлено

  20. #19
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    26.12.2006
    Адрес
    Vladivostok
    Сообщений
    23,299
    Вес репутации
    1555
    В карантине только ini-файл. Поищите C:\U.exe, он точно у вас есть, причем подозревается в принадлежности к семейству LdPinch!
    I am not young enough to know everything...

  21. #20
    Cybernetic Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    29.12.2008
    Сообщений
    48,317
    Вес репутации
    954

    Итог лечения

    Статистика проведенного лечения:
    • Получено карантинов: 3
    • Обработано файлов: 7
    • В ходе лечения обнаружены вредоносные программы:
      1. c:\\program files\\bitaccelerator\\bitaccelerator.dll - not-a-virus:WebToolbar.Win32.BitAccelerator.d (DrWEB: Trojan.BitAcc)


  • Уважаемый(ая) Vitamin5, наши специалисты оказали Вам всю возможную помощь по вашему обращению.

    В целях поддержания безопасности вашего компьютера настоятельно рекомендуем:

     

     

    Чтобы всегда быть в курсе актуальных угроз в области информационной безопасности и сохранять свой компьютер защищенным, рекомендуем следить за последними новостями ИТ-сферы портала Anti-Malware.ru:

     

     

    Anti-Malware VK

     

    Anti-Malware Telegram

     

     

    Надеемся больше никогда не увидеть ваш компьютер зараженным!

     

    Если Вас не затруднит, пополните пожалуйста нашу базу безопасных файлов.

  • Похожие темы

    1. jодолел вирус win32/rootkit.agent.nsf
      От Кирикович Дмитрий в разделе Помогите!
      Ответов: 1
      Последнее сообщение: 18.03.2010, 23:05
    2. вирус Win32/Rootkit.Agent.ODG в оперативке
      От ollbonn в разделе Помогите!
      Ответов: 6
      Последнее сообщение: 13.08.2009, 15:41
    3. вирус Win32/Rootkit.Agent.ODG.
      От Снегирев Роман в разделе Помогите!
      Ответов: 15
      Последнее сообщение: 24.05.2009, 03:41
    4. Вирус Rootkit.Win32.Agent.fq !!!
      От Vitamin5 в разделе Помогите!
      Ответов: 1
      Последнее сообщение: 06.09.2007, 09:02
    5. Вирус: Rootkit.Win32.Agent.dp
      От LamBerT в разделе Помогите!
      Ответов: 4
      Последнее сообщение: 26.07.2007, 12:15

    Свернуть/Развернуть Ваши права в разделе

    • Вы не можете создавать новые темы
    • Вы не можете отвечать в темах
    • Вы не можете прикреплять вложения
    • Вы не можете редактировать свои сообщения
    •  
    Page generated in 0.01420 seconds with 17 queries