Показано с 1 по 18 из 18.

startdrv.exe в папке Windows/Temp (заявка № 14799)

  1. #1
    Junior Member Репутация
    Регистрация
    30.11.2007
    Сообщений
    7
    Вес репутации
    40

    Exclamation startdrv.exe в папке Windows/Temp

    Здравствуйте.
    В папке Windows/Temp появился файл startdrv.exe, я как-то смог его оттуда удалить, но в AVZ/диспетчер процессов он виден и не останавливается.
    И какой-то процесс постоянно ищет соединения с разными адресами в Интернете.
    Спасибо.
    Вложения Вложения

  2. Будь в курсе!
    Реклама на VirusInfo

    Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

    Anti-Malware Telegram
     

  3. #2
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    26.12.2006
    Адрес
    Vladivostok
    Сообщений
    23,299
    Вес репутации
    1557
    Выполните скрипт в AVZ:
    Код:
    begin
     BC_QrFile('C:\WINDOWS\Temp\startdrv.exe');
     BC_QrFile('C:\WINDOWS\System32\drivers\runtime.sys');
     BC_QrFile('C:\WINDOWS\system32\drivers\ip6fw.sys');
     BC_QrFile('C:\WINDOWS\system32\drivers\ctl_w32.sys');
     BC_DeleteSvc('runtime');
     BC_DeleteFile('C:\WINDOWS\System32\drivers\runtime.sys');
     BC_DeleteFile('C:\WINDOWS\Temp\startdrv.exe');
    BC_Activate;
    RebootWindows(true);
    end.
    Компьютер перезагрузится.
    Пришлите карантин согласно приложению 3 правил.
    I am not young enough to know everything...

  4. #3
    Senior Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    10.01.2007
    Сообщений
    22,817
    Вес репутации
    1503
    затем еще один...
    Код:
    begin
    SearchRootkit(true, true);
    SetAVZGuardStatus(True);
    QuarantineFile('C:\WINDOWS\system32\ntos.exe','');
    DeleteFile('C:\WINDOWS\system32\ntos.exe');
    DeleteFile('C:\WINDOWS\Temp\startdrv.exe');
    BC_ImportDeletedList;
    ExecuteSysClean;
    BC_Activate;
    RebootWindows(true);
    end.
    Последний раз редактировалось V_Bond; 03.12.2007 в 11:06.

  5. #4
    Junior Member Репутация
    Регистрация
    30.11.2007
    Сообщений
    7
    Вес репутации
    40
    Выслал карантин по первому скрипту, второй пока не выполнял.

  6. #5
    Senior Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    10.01.2007
    Сообщений
    22,817
    Вес репутации
    1503
    віполняйте ...

  7. #6
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    26.12.2006
    Адрес
    Vladivostok
    Сообщений
    23,299
    Вес репутации
    1557
    Отключите антивирус.
    Выполните скрипт V_Bond и такой:
    Код:
    begin
     BC_QrFile('C:\WINDOWS\system32\drivers\ip6fw.sys');
     BC_QrFile('C:\WINDOWS\system32\drivers\ctl_w32.sys');
    BC_Activate;
    RebootWindows(true);
    end.
    Пришлите новый карантин.
    Антивирус включать только после формирования архива карантина!
    I am not young enough to know everything...

  8. #7
    Junior Member Репутация
    Регистрация
    30.11.2007
    Сообщений
    7
    Вес репутации
    40
    Оба скрипта выполнил, файл выслал.
    Outpost теперь пропускает исходящие на разные адреса, например:
    smtp.messagingengine.com
    mail7.digitalwaves.co.nz
    gsmtp183.google.com
    gmail-smtp-in.l.google.com
    mxs.mail.ru

  9. #8
    VIP Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    07.07.2005
    Адрес
    Moscow region
    Сообщений
    30,462
    Вес репутации
    2502
    C:\WINDOWS\system32\ntos.exe - может воровать пароли. Желательно их сменить.
    Павел
    AVZ HijackThis помощь с 10-00 до 18-00МСК

    Windows7, SEP(work)
    WindowsXP KIS(home)

    На up не реагирую

  10. #9
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    26.12.2006
    Адрес
    Vladivostok
    Сообщений
    23,299
    Вес репутации
    1557
    Опять нет нужных файлов:
    C:\WINDOWS\system32\drivers\ip6fw.sys
    C:\WINDOWS\system32\drivers\ctl_w32.sys
    хотя написано в ini-шках, что добавлены.

    Очистите папку Quarantine и выполните последний скрипт еще раз. После перезагрузки проверьте наличие нужных файлов в карантине. Если на них реагирует ваш антивирус - можно не присылать, просто сообщите об этом.
    I am not young enough to know everything...

  11. #10
    Junior Member Репутация
    Регистрация
    30.11.2007
    Сообщений
    7
    Вес репутации
    40
    Файлы в карантине появились.
    В диспетчере процессов все равно виден startdrv.exe
    и осуществляются соединения с вышеуказанными адресами в интернете.

  12. #11
    Senior Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    10.01.2007
    Сообщений
    22,817
    Вес репутации
    1503
    вы отослали карантин ?

  13. #12
    Junior Member Репутация
    Регистрация
    30.11.2007
    Сообщений
    7
    Вес репутации
    40
    Теперь отослал карантин.

  14. #13
    Senior Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    10.01.2007
    Сообщений
    22,817
    Вес репутации
    1503
    выполните скрипт ... Bratez из поста 6 в safe mode .... и заново пришлите карантин ..

  15. #14
    Junior Member Репутация
    Регистрация
    30.11.2007
    Сообщений
    7
    Вес репутации
    40
    Скрипты в безопасном режиме выполнил. Карантин отослал, но файлы в нем те же, что до выполнения.

  16. #15
    Senior Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    10.01.2007
    Сообщений
    22,817
    Вес репутации
    1503
    найдите файлы в ручную( искать лучшев FAR) ... заархивируйте с паролем .... и отправте ...

  17. #16
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    26.12.2006
    Адрес
    Vladivostok
    Сообщений
    23,299
    Вес репутации
    1557
    После этого выполните скрипт:
    Код:
    begin
     BC_DeleteSvc('ctl_w32');
     BC_DeleteSvc('ip6fw');
     BC_DeleteFile('C:\WINDOWS\system32\drivers\ctl_w32.sys');
     BC_DeleteFile('C:\WINDOWS\system32\drivers\ip6fw.sys');
     BC_DeleteFile('C:\WINDOWS\Temp\startdrv.exe');
    BC_Activate;
    RebootWindows(true);
    end.
    и сделайте такой лог в безопасном режиме:
    http://virusinfo.info/showthread.php?t=10387
    I am not young enough to know everything...

  18. #17
    Junior Member Репутация
    Регистрация
    30.11.2007
    Сообщений
    7
    Вес репутации
    40
    Спасибо большое всем, кто откликнулся. Сегодня ничего сделать уже не успею, буду пробовать позже. Пока отключаю вредные процессы в диспетчере процессов AVZ, слежу в Outpost.

  19. #18
    Cybernetic Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    29.12.2008
    Сообщений
    48,313
    Вес репутации
    956

    Итог лечения

    Статистика проведенного лечения:
    • Получено карантинов: 4
    • Обработано файлов: 13
    • В ходе лечения обнаружены вредоносные программы:
      1. c:\\windows\\system32\\ntos.exe - Trojan-Spy.Win32.Zbot.dv (DrWEB: Trojan.Proxy.1731)


  • Уважаемый(ая) Filosoff, наши специалисты оказали Вам всю возможную помощь по вашему обращению.

    В целях поддержания безопасности вашего компьютера настоятельно рекомендуем:

     

     

    Чтобы всегда быть в курсе актуальных угроз в области информационной безопасности и сохранять свой компьютер защищенным, рекомендуем следить за последними новостями ИТ-сферы портала Anti-Malware.ru:

     

     

    Anti-Malware VK

     

    Anti-Malware Telegram

     

     

    Надеемся больше никогда не увидеть ваш компьютер зараженным!

     

    Если Вас не затруднит, пополните пожалуйста нашу базу безопасных файлов.

  • Похожие темы

    1. Ответов: 8
      Последнее сообщение: 21.02.2011, 16:39
    2. в папке С:\windows\temp поселился некий csrrs.exe
      От brutalist в разделе Помогите!
      Ответов: 5
      Последнее сообщение: 02.02.2011, 17:12
    3. Ответов: 9
      Последнее сообщение: 23.02.2010, 15:38
    4. Плодится в папке Windows/Temp, потом звонит
      От Imperiuz в разделе Помогите!
      Ответов: 11
      Последнее сообщение: 22.02.2009, 01:35
    5. Файл startdrv.exe в \Windows\Temp
      От AlexSh1 в разделе Помогите!
      Ответов: 3
      Последнее сообщение: 25.05.2007, 01:36

    Свернуть/Развернуть Ваши права в разделе

    • Вы не можете создавать новые темы
    • Вы не можете отвечать в темах
    • Вы не можете прикреплять вложения
    • Вы не можете редактировать свои сообщения
    •  
    Page generated in 0.01016 seconds with 17 queries