Страница 1 из 2 12 Последняя
Показано с 1 по 20 из 26.

Проблема-1 (заявка № 12388)

  1. #1
    Junior Member Репутация
    Регистрация
    12.09.2007
    Сообщений
    36
    Вес репутации
    38

    Question Проблема-1

    Собственно, заболел комп, куча троянов, AVZ убил почти все, но вот несколько остались и никак удаляться не хотят, стало быть хэлп, логи сканов прилагаются...

    P.S. Попытка выполнить стандартный скрипт лечения/карантина вызвала перезагрузку компа, его выполнить удалось только в сейф-моде...
    После его сбор информации и скрипт хайджека были выполнены в обычном режиме.
    Вложения Вложения

  2. Будь в курсе!
    Реклама на VirusInfo

    Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

    Anti-Malware Telegram
     

  3. #2
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    26.12.2006
    Адрес
    Vladivostok
    Сообщений
    23,299
    Вес репутации
    1555
    Выполните скрипт в AVZ:
    Код:
    begin
     SearchRootkit(false, true);
     RegKeyParamDel('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Services\Uaa12', 'Start');
     RebootWindows(true); 
    end.
    После перезагрузки поищите вручную файл Uaa12.sys и пришлите его по правилам.

    Добавлено через 13 минут

    Ну вот, навстречу работали. Я свой скрипт удалил, и Павел тоже
    Тогда возвращаю свой:
    Код:
    begin
    SearchRootkit(true, true);
    SetAVZGuardStatus(True);
     QuarantineFile('C:\WINDOWS\system32\adtool.dll','');
     QuarantineFile('C:\WINDOWS\system32\ipv6monl.dll','');
     QuarantineFile('C:\WINDOWS\system32\SysCVMS.exe','');
     QuarantineFile('C:\WINDOWS\System32\drivers\protect.sys','');
     QuarantineFile('C:\WINDOWS\system32\mstscex.dll','');
     QuarantineFile('C:\WINDOWS\system32\y1.dll','');
     QuarantineFile('C:\WINDOWS\system32\winlogon.exe','');
    DeleteFile('C:\WINDOWS\system32\vedxga5me3.exe');
    DeleteFile('C:\WINDOWS\system32\drivers\Baqn60.sys');
    DeleteFile('C:\WINDOWS\system32\drivers\Allu74.sys');
    BC_ImportALL;
    BC_QrSvc('ICF');
    BC_QrSvc('LicCtrlService');
    BC_DeleteSvc('ICF');
    BC_DeleteSvc('LicCtrlService');
    BC_Activate;
    RebootWindows(true);
    end.
    После перезагрузки - карантин пришлите по правилам.
    Последний раз редактировалось Bratez; 12.09.2007 в 15:21. Причина: Добавлено
    I am not young enough to know everything...

  4. #3
    Junior Member Репутация
    Регистрация
    12.09.2007
    Сообщений
    36
    Вес репутации
    38
    Файл Uaa12.sys вручную и через поиск не находится...
    Выполнение скрипта сходу вызвало перезагрузку Виндовс, сейчас попытаюсь выполнить его же в сейф-моде...

  5. #4
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    26.12.2006
    Адрес
    Vladivostok
    Сообщений
    23,299
    Вес репутации
    1555
    Вручную - имеется ввиду в AVZ: Сервис - Поиск файлов на диске.
    I am not young enough to know everything...

  6. #5
    Junior Member Репутация
    Регистрация
    12.09.2007
    Сообщений
    36
    Вес репутации
    38
    выслал

  7. #6
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    26.12.2006
    Адрес
    Vladivostok
    Сообщений
    23,299
    Вес репутации
    1555
    1. Скачайте программу WinSockxpFix.

    2. Выполните скрипт в AVZ:
    Код:
    begin
    SearchRootkit(true, true);
    SetAVZGuardStatus(True);
     DeleteFile('C:\WINDOWS\system32\mstscex.dll');
     DeleteFile('\SystemRoot\System32\drivers\protect.sys');
     DeleteFile('C:\WINDOWS\system32\SysCVMS.exe');
     DeleteFile('C:\WINDOWS\system32\ipv6monl.dll');
     DelSPIByFileName('y1.dll',true);
     BC_DeleteFile('C:\WINDOWS\system32\y1.dll');
    BC_ImportDeletedList;
    ExecuteSysClean;
    BC_Activate;
    AutoFixSPI;
    RebootWindows(true);
    end.
    Компьютер перезагрузится.

    3. Если нарушится связь с локалкой и/или интернетом, запишите настройки сетевых подключений и используйте скачанную программу, потом при необходимости введите настройки заново.

    4. Пофиксите в HijackThis:
    Код:
    O2 - BHO: (no name) - {36DBC179-A19F-48F2-B16A-6A3E19B42A87} - C:\WINDOWS\system32\ipv6monl.dll (file missing)
    O2 - BHO: HtmlView Helper - {E496675D-472B-4A82-A4F7-2EBBE5DA6754} - C:\WINDOWS\system32\adtool.dll (file missing)
    5. Winlogon.exe у вас патченный, надо восстанавливать из дистрибутива. Вариант - попробовать вылечить антивирусом Касперского.

    6. Сделайте новые логи.
    I am not young enough to know everything...

  8. #7
    Junior Member Репутация
    Регистрация
    12.09.2007
    Сообщений
    36
    Вес репутации
    38
    а как правильно восстановить винлогон с дистрибутива?

  9. #8
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    26.12.2006
    Адрес
    Vladivostok
    Сообщений
    23,299
    Вес репутации
    1555
    1. Загрузить консоль восстановления.
    2. Я обычно выполняю последовательность команд:
    C:\Windows> cd system32
    C:\Windows\system32> del winlogon.exe
    C:\Windows\system32> D:
    D:\> cd i386 (или путь к папке i386, если он более длинный)
    D:\i386> copy winlogon.ex_ C:
    D:\i386> C:
    C:\Windows\system32> expand winlogon.ex_ winlogon.exe
    C:\Windows\system32> exit
    D соответствует букве CD дисковода.

    По идее можно было короче - перейти в i386 и сделать expand в папку назначения C:\Windows\system32, но на практике почему-то не срабатывало, а так 100% надежно.
    I am not young enough to know everything...

  10. #9
    Junior Member Репутация
    Регистрация
    12.09.2007
    Сообщений
    36
    Вес репутации
    38
    все сделал, как надо до того этапа, когда надо было выполнить команду ехраnd , при попытке выполнение пишет - не удается распаковать файл

  11. #10
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    26.12.2006
    Адрес
    Vladivostok
    Сообщений
    23,299
    Вес репутации
    1555
    Оригинал удалился?
    Файл точно скопировался куда надо?
    На С: перейти не забыли?

    После копирования, стоя в папке C:\windows\system32 выдайте
    dir winlogon.*
    должен показать winlogon.ex_
    I am not young enough to know everything...

  12. #11
    Junior Member Репутация
    Регистрация
    12.09.2007
    Сообщений
    36
    Вес репутации
    38
    я все сделал, как было написано, и даже дистрибутив менял, та же фигня, не удается распаковать и все тут, в итоге тупо rename сделал winlogon.ex_ на winlogon.exе
    вроде загрузилась машина, логи прикреплю уже завтра, рабдень закончен )

  13. #12
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    26.12.2006
    Адрес
    Vladivostok
    Сообщений
    23,299
    Вес репутации
    1555
    rename сделал winlogon.ex_ на winlogon.exе
    вроде загрузилась машина,
    Забавно, в упакованном виде все равно работает!
    Ну что ж, не мытьем, так катаньем...
    Ждем логов, интересно жив ли еще Uaa12.
    I am not young enough to know everything...

  14. #13
    Junior Member Репутация
    Регистрация
    12.09.2007
    Сообщений
    36
    Вес репутации
    38
    Итак, выкладываю логи...
    Как и в начале темы, при попытки выполнить стандартный скрипт лечения машина перегружается (как раз проходит красные строки о Uaa112, пишет, что функция восстановлена по моему, и тут же перегружается), пришлось первый лог получать в сейф моде...
    Зато исчезли сообщения постоянные о трех вирусах, которые никак не удавалось излечить...
    Вообщем...
    Вложения Вложения

  15. #14
    VIP Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    07.07.2005
    Адрес
    Moscow region
    Сообщений
    30,462
    Вес репутации
    2499
    Все звери на старых местах в логе AVZ.

    Выполнить скрипт в Safe Mode:
    Код:
    begin
    SearchRootkit(true, true);
    SetAVZGuardStatus(True);
     DeleteFile('C:\WINDOWS\system32\mstscex.dll');
     DeleteFile('\SystemRoot\System32\drivers\protect.sys');
     DeleteFile('C:\WINDOWS\system32\SysCVMS.exe');
     DeleteFile('C:\WINDOWS\system32\ipv6monl.dll');
     DelSPIByFileName('y1.dll',true);
     BC_DeleteFile('C:\WINDOWS\system32\y1.dll');
    BC_ImportDeletedList;
    ExecuteSysClean;
    BC_Activate;
    AutoFixSPI;
    RebootWindows(true);
    end.
    Если скрипт пройдет, то после сделать новые логи.
    Павел
    AVZ HijackThis помощь с 10-00 до 18-00МСК

    Windows7, SEP(work)
    WindowsXP KIS(home)

    На up не реагирую

  16. #15
    Junior Member Репутация
    Регистрация
    12.09.2007
    Сообщений
    36
    Вес репутации
    38
    такой же скрипт мне братец советовал выполнить, и выполнял уже, правда не в сейв-моде )

  17. #16
    VIP Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    07.07.2005
    Адрес
    Moscow region
    Сообщений
    30,462
    Вес репутации
    2499
    Наверное, поэтому все живы и остались. Хотя можно провериться след. образом:
    Поискать в AVZ y1.dll и прочих из этого скрипта. Если не найдутся, то это только следы в реестре, но мне кажется, что они все-таки живы.
    Павел
    AVZ HijackThis помощь с 10-00 до 18-00МСК

    Windows7, SEP(work)
    WindowsXP KIS(home)

    На up не реагирую

  18. #17
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    26.12.2006
    Адрес
    Vladivostok
    Сообщений
    23,299
    Вес репутации
    1555
    Видимо, скрипт не сработал по той же причине, что и лог лечения/карантина. Сейчас напишу по-другому...

    Добавлено через 9 минут

    1. Выполните скрипт в AVZ:
    Код:
    begin
     BC_DeleteSvc('protect');
     BC_DeleteFile('C:\WINDOWS\system32\mstscex.dll');
     BC_DeleteFile('C:\WINDOWS\system32\y1.dll');
     BC_DeleteFile('C:\WINDOWS\System32\drivers\protect.sys');
     BC_DeleteFile('C:\WINDOWS\system32\SysCVMS.exe');
    BC_Activate;
    RebootWindows(true);
    end.
    После перезагрузки есть вероятность, что система сильно затупит при запуске, ничего страшного, просто подождите минут 5.

    2. Запустите программу WinSockxpFix и нажмите кнопочку Fix.
    После того, как она отработает, перезагрузитесь.

    3. Пофиксите в HijackThis:
    Код:
    O4 - HKLM\..\Run: [SysCVMS.exe] C:\WINDOWS\system32\SysCVMS.exe
    4. Попробуйте выполнить маленький скрипт из сообщения #2 и поискать этот Uaa12.sys.

    5. Сделайте такой лог.
    Последний раз редактировалось Bratez; 13.09.2007 в 12:46. Причина: Добавлено
    I am not young enough to know everything...

  19. #18
    Junior Member Репутация
    Регистрация
    12.09.2007
    Сообщений
    36
    Вес репутации
    38
    Значит всё сделал, как было написано, итоги таковы:
    1. Uaa112.sys таки появился, и я его затащил в карантин, который заархивировал и пересылаю вам.
    2. Лог который требовалось сделал и его прикрепляю

    Ну и еще при стандартной проверке авз наконец-то исчезли те, строки красные про "тра-та-та машинный код джамп уаа" и т.п.
    Вложения Вложения

  20. #19
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    26.12.2006
    Адрес
    Vladivostok
    Сообщений
    23,299
    Вес репутации
    1555
    Присланный файл детектируется Касперским как Rootkit.Win32.Agent.ea
    Выполните такой скрипт:
    Код:
    begin
    ClearQuarantine;
    SearchRootkit(true, true);
    SetAVZGuardStatus(True);
     QuarantineFile('C:\WINDOWS\system32\drivers\kcp.sys','');
     QuarantineFile('c:\windows\system32\msvc32.dll','');
     DeleteFile('c:\windows\system32\msvc32.dll');
     DeleteFile('C:\WINDOWS\system32\drivers\Uaa12.sys');
    BC_ImportALL;
    ExecuteSysClean;
    BC_Activate;
    RebootWindows(true);
    end.
    После перезагрузки пришлите новый карантин по правилам (думаю, последний).
    I am not young enough to know everything...

  21. #20
    Junior Member Репутация
    Регистрация
    12.09.2007
    Сообщений
    36
    Вес репутации
    38
    выслал )

  • Уважаемый(ая) SonarMaster, наши специалисты оказали Вам всю возможную помощь по вашему обращению.

    В целях поддержания безопасности вашего компьютера настоятельно рекомендуем:

     

     

    Чтобы всегда быть в курсе актуальных угроз в области информационной безопасности и сохранять свой компьютер защищенным, рекомендуем следить за последними новостями ИТ-сферы портала Anti-Malware.ru:

     

     

    Anti-Malware VK

     

    Anti-Malware Telegram

     

     

    Надеемся больше никогда не увидеть ваш компьютер зараженным!

     

    Если Вас не затруднит, пополните пожалуйста нашу базу безопасных файлов.

  • Страница 1 из 2 12 Последняя

    Похожие темы

    1. проблема, очень большая проблема
      От Osomos в разделе Помогите!
      Ответов: 10
      Последнее сообщение: 19.06.2011, 11:23
    2. Проблема
      От GRomaN в разделе Помогите!
      Ответов: 6
      Последнее сообщение: 15.08.2010, 10:57
    3. Проблема с траффиком + проблема с AVZ.
      От Seventeenth в разделе Помогите!
      Ответов: 11
      Последнее сообщение: 30.06.2010, 15:21
    4. Проблема
      От KonstanZT в разделе Помогите!
      Ответов: 5
      Последнее сообщение: 03.06.2009, 16:23
    5. Проблема :(
      От Евгений91 в разделе Помогите!
      Ответов: 0
      Последнее сообщение: 15.03.2008, 11:47

    Свернуть/Развернуть Ваши права в разделе

    • Вы не можете создавать новые темы
    • Вы не можете отвечать в темах
    • Вы не можете прикреплять вложения
    • Вы не можете редактировать свои сообщения
    •  
    Page generated in 0.00746 seconds with 17 queries