Не могу избавиться от W32/Stration.gen@32

[alexeiko]

Не могу избавится от вируса. MCAFEE его распознаёт и может очитить файлы, если вхожу в Защищённом Режиме. Но стоит перезагрузится в обычном, вирус тут же восстанавливается.

Заранее спсибо,
Алексей

[Bratez]

Пункт 2 правил выполняли?
Скачайте свежий CureIt, сделайте полную проверку компьютера, потом сделайте новые логи.

[rubin]

Выполните скрипт и карантин пришлите:

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(true);
 QuarantineFile('statex.dll','');
 QuarantineFile('sisbduse.dll','');
 QuarantineFile('onksd.dll','');
 QuarantineFile('ksdmgr32.dll','');
 QuarantineFile('con321.dll','');
 QuarantineFile('C:\WINDOWS\iexplorer.exe','');
 QuarantineFile('C:\WINDOWS\system32\admewinr.dll','');
 QuarantineFile('C:\WINDOWS\system32\vbscsysi.dll','');
 QuarantineFile('C:\WINDOWS\system32\winnatkc.dll','');
 QuarantineFile('C:\WINDOWS\system32\toolx264.dll','');
 QuarantineFile('C:\WINDOWS\System32\pmspwups.dll','');
 QuarantineFile('C:\WINDOWS\System32\oservmz101.dll','');
 QuarantineFile('C:\WINDOWS\system32\kbdidpla.dll','');
 QuarantineFile('C:\WINDOWS\system32\ipxrir32.dll','');
 QuarantineFile('C:\WINDOWS\System32\e1.dll','');
 DeleteFile('C:\WINDOWS\iexplorer.exe');
 BC_ImportAll;
 BC_Activate;
 ExecuteSysClean;
 RebootWindows(true);
end.

[alexeiko]

Пункт 2 правил выполняли?
Скачайте свежий CureIt, сделайте полную проверку компьютера, потом сделайте новые логи.

Приношу извинение. Действительно забыл выполнить Пункт 2. Всё переделал заново. Новые логи в приложение.
Нужно ли выполнять скрипт, предложенный rubin?

[V_Bond]

пофиксите....

O20 - Winlogon Notify: admewinr - C:\WINDOWS\
O20 - Winlogon Notify: kbdidpla - C:\WINDOWS\
O20 - Winlogon Notify: ksdmgr - ksdmgr32.dll (file missing)
O20 - Winlogon Notify: vbscsysi - C:\WINDOWS\system32\vbscsysi.dll (file missing)
O20 - Winlogon Notify: winnatkc - C:\WINDOWS\

выполните скрипт....

begin
SetAVZGuardStatus(True);
SearchRootkit(true, true);
 QuarantineFile('ksdmgr32.dll','');
 QuarantineFile('C:\WINDOWS\system32\vbscsysi.dll','');
 DeleteFile('C:\WINDOWS\system32\vbscsysi.dll');
 DeleteFile('ksdmgr32.dll');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

пришлите карантин согласно приложения 3 правил....
повторите логи....

[alexeiko]

пофиксите....

O20 - Winlogon Notify: admewinr - C:\WINDOWS\
O20 - Winlogon Notify: kbdidpla - C:\WINDOWS\
O20 - Winlogon Notify: ksdmgr - ksdmgr32.dll (file missing)
O20 - Winlogon Notify: vbscsysi - C:\WINDOWS\system32\vbscsysi.dll (file missing)
O20 - Winlogon Notify: winnatkc - C:\WINDOWS\

выполните скрипт....

begin
SetAVZGuardStatus(True);
SearchRootkit(true, true);
 QuarantineFile('ksdmgr32.dll','');
 QuarantineFile('C:\WINDOWS\system32\vbscsysi.dll','');
 DeleteFile('C:\WINDOWS\system32\vbscsysi.dll');
 DeleteFile('ksdmgr32.dll');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

пришлите карантин согласно приложения 3 правил....
повторите логи....

Логи после выполнения FIX и скриптов в приложении...

[zerocorporated]

Что из этого нужно ?

>> Службы: разрешена потенциально опасная служба TermService (Службы терминалов)
>> Службы: разрешена потенциально опасная служба SSDPSRV (Служба обнаружения SSDP)
>> Службы: разрешена потенциально опасная служба Schedule (Планировщик заданий)
>> Службы: разрешена потенциально опасная служба mnmsrvc (NetMeeting Remote Desktop Sharing)
>> Службы: разрешена потенциально опасная служба RDSessMgr (Диспетчер сеанса справки для удаленного рабочего стола)
> Службы: обратите внимание - набор применяемых на ПК служб зависит от области применения ПК (домашний, ПК в ЛВС компании ...)!
>> Безопасность: разрешен автозапуск программ с CDROM
>> Безопасность: разрешен административный доступ к локальным дискам (C$, D$ ...)
>> Безопасность: к ПК разрешен доступ анонимного пользователя

[alexeiko]

Извините, не очень понятен вопрос... ПК у меня домашний, пользователь - один.

[rubin]

Тогда можно отключить все... оставил автозапуск с CD:

begin
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Control\LSA','RestrictAnonymous', 2);
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'System\CurrentControlSet\Services\LanmanServer\Parameters','AutoShareWks', 0);
SetServiceStart('RDSessMgr', 4);
SetServiceStart('mnmsrvc', 4);
SetServiceStart('Schedule', 4);
SetServiceStart('SSDPSRV', 4);
SetServiceStart('TermService', 4);
RebootWindows(true);
end.

[alexeiko]

Тогда можно отключить все... оставил автозапуск с CD:

begin
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Control\LSA','RestrictAnonymous', 2);
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'System\CurrentControlSet\Services\LanmanServer\Parameters','AutoShareWks', 0);
SetServiceStart('RDSessMgr', 4);
SetServiceStart('mnmsrvc', 4);
SetServiceStart('Schedule', 4);
SetServiceStart('SSDPSRV', 4);
SetServiceStart('TermService', 4);
RebootWindows(true);
end.

Выполнил скрипт. Логи и карантин в приложении. Вирус при загрузке больше не обнаруживается. Можно считать, что его больше нет?

[V_Bond]

в логах чисто ....

[Bratez]

Все чисто. Уберите из сообщения virus.zip - не положено!

[alexeiko]

Всем большое спасибо!!!
Удалить вложение почему-то не могу. Говорит, что прав не хватает.

[zerocorporated]

Рекомендуется прочитать книгу "Безопасный Интернет Универсальная защита для Windows ME – Vista"

Вы можете отблагодарить нас оказав помощь в пополнении базы безопасных файлов.