Zapchast вирус

[DPS [CCCP]]

Приветствую Вас уважаемые! Вот вновь, к моему сожалению, приходиться обращаться к Вам за помощью

Открыл экзешник один подозрительный (хотя проверка его антивирусом ничего не обнаружила) и словил "Запчасть"....

При запуске системы NOD32 ругаеться на создаваемый файл C:\a.bat. Утверждает что там Zapchast, файл отправляет в карантин...

Появился странный процесс winupdate.exe, вроде небыло его раньше...

А ну еще трафик исходящий увеличился в разы

[Зайцев Олег]

Выполните скрипт:

begin
 SetAVZGuardStatus(True);
 QuarantineFile('c:\windows\system32\winupdate.exe','');
 DeleteFile('c:\windows\system32\winupdate.exe');
 BC_ImportDeletedList;
 ExecuteSysClean;
 BC_Activate;
 RebootWindows(true);
end.

После чего пришлите содержимое карантина на анализ и сделайте повторные логи. После выполнения скрипта симптомы должны пропасть

[PavelA]

C:\Documents and Settings\Pavel\Главное меню\Программы\Автозагрузка\virtP.bat - вот эточто такое?

[DPS [CCCP]]

Спасибо, все вылечилось вроде. Финальные логи прикрепил.

PavelA Это созданый мною батник, для создания виртуального диска P Чистый.


Спасибо большое еще раз!

[PavelA]

Что из этого не используете? Можем помочь закрыть.

>> Службы: разрешена потенциально опасная служба RemoteRegistry (Удаленный реестр)
>> Службы: разрешена потенциально опасная служба TermService (Службы терминалов)
>> Службы: разрешена потенциально опасная служба SSDPSRV (Служба обнаружения SSDP)
>> Службы: разрешена потенциально опасная служба Schedule (Планировщик заданий)
>> Службы: разрешена потенциально опасная служба mnmsrvc (NetMeeting Remote Desktop Sharing)
>> Службы: разрешена потенциально опасная служба RDSessMgr (Диспетчер сеанса справки для удаленного рабочего стола)
> Службы: обратите внимание - набор применяемых на ПК служб зависит от области применения ПК (домашний, ПК в ЛВС компании ...)!
>> Безопасность: разрешен автозапуск программ с CDROM
>> Безопасность: разрешен административный доступ к локальным дискам (C$, D$ ...)
>> Безопасность: Разрешена отправка приглашений удаленному помошнику

[DPS [CCCP]]

Кроме автозапуска с CD-rom, пожалуй ничего не использую
(не знаю только что такое SSDPSRV и для чего оно)

[PavelA]

Вот скрипт:

begin
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Control\Terminal Server','fAllowToGetHelp', 0);
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'System\CurrentControlSet\Services\LanmanServer\Parameters','AutoShareWks', 0);
SetServiceStart('RDSessMgr', 4);
SetServiceStart('mnmsrvc', 4);
SetServiceStart('Schedule', 4);
SetServiceStart('SSDPSRV', 4);
SetServiceStart('TermService', 4);
SetServiceStart('RemoteRegistry', 4);
end.

Машина в локальной сети? Если да, то кое-что придется включить.
По сервисам см.http://oszone.net/2357/Services

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 1
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\windows\\system32\\winupdate.exe - Backdoor.Win32.Rbot.ebs (DrWEB: Win32.HLLW.MyBot)