Страница 1 из 2 12 Последняя
Показано с 1 по 20 из 25.

руткиты и трояны, как избавится? (заявка № 15273)

  1. #1
    Junior Member Репутация
    Регистрация
    14.12.2007
    Сообщений
    13
    Вес репутации
    60

    Thumbs up руткиты и трояны, как избавится?

    Здравствуйте.
    Завелась дрянь, от которой не могу избавится. При сканировании NOD'ом и CureIT'ом находит трояны и руткиты, но удалить их не могут.
    Вложения Вложения

  2. Будь в курсе!
    Реклама на VirusInfo

    Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

    Anti-Malware Telegram
     

  3. #2
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    26.12.2006
    Адрес
    Vladivostok
    Сообщений
    23,298
    Вес репутации
    1578
    Пофиксите в HijackThis:
    Код:
    F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,C:\WINDOWS\system32\ntos.exe,
    O20 - Winlogon Notify: abc32reg - C:\Documents and Settings\All Users\Документы\Settings\abc32.dll (file missing)
    O20 - Winlogon Notify: botreg - C:\WINDOWS\
    Выполните скрипт в AVZ:
    Код:
    begin
    SearchRootkit(true, true);
    SetAVZGuardStatus(True);
     QuarantineFile('C:\WINDOWS\system32\winlogon.scr','');
     QuarantineFile('C:\WINDOWS\system32\ntos.exe','');
     QuarantineFile('C:\WINDOWS\system32\newmaxxsv234.exe','');
     QuarantineFile('C:\WINDOWS\system32\kernelwind32.exe','');
     QuarantineFile('C:\WINDOWS\system32\drivers\system.exe','');
     QuarantineFile('C:\WINDOWS\Temp\startdrv.exe','');
     QuarantineFile('C:\Documents and Settings\LocalService\winmain.exe','');
     QuarantineFile('C:\Documents and Settings\All Users\Документы\Settings\abc32.dll','');
     QuarantineFile('C:\WINDOWS\System32\drivers\protect.sys','');
     QuarantineFile('C:\WINDOWS\system32\drivers\ntoss.sys','');
     QuarantineFile('C:\WINDOWS\system32\drivers\ntosnh.sys','');
     QuarantineFile('C:\WINDOWS\System32\drivers\Djr53.sys','');
     QuarantineFile('C:\WINDOWS\system32\drivers\ctl_w32.sys','');
     QuarantineFile('C:\WINDOWS\system32\drivers\asc3550p.sys','');
     QuarantineFile('C:\lich.exe','');
     QuarantineFile('C:\WINDOWS\system32\msxmqhs.dll','');
     DeleteFile('C:\lich.exe');
     DeleteFile('C:\WINDOWS\system32\drivers\asc3550p.sys');
     DeleteFile('C:\WINDOWS\system32\drivers\ctl_w32.sys');
     DeleteFile('C:\WINDOWS\System32\drivers\Djr53.sys');
     DeleteFile('C:\WINDOWS\system32\drivers\ntosnh.sys');
     DeleteFile('C:\WINDOWS\system32\drivers\ntoss.sys');
     DeleteFile('C:\WINDOWS\System32\drivers\protect.sys');
     DeleteFile('C:\Documents and Settings\All Users\Документы\Settings\abc32.dll');
     DeleteFile('C:\Documents and Settings\LocalService\winmain.exe');
     DeleteFile('C:\WINDOWS\Temp\startdrv.exe');
     DeleteFile('C:\WINDOWS\system32\drivers\system.exe');
     DeleteFile('C:\WINDOWS\system32\kernelwind32.exe');
     DeleteFile('C:\WINDOWS\system32\newmaxxsv234.exe');
     DeleteFile('C:\WINDOWS\system32\ntos.exe');
    BC_ImportDeletedList;
    ExecuteSysClean;
    BC_QrSvc('FCI');
    BC_DeleteSvc('FCI');
    BC_Activate;
    RebootWindows(true);
    end.
    Компьютер перезагрузится.
    Пришлите карантин согласно приложению 3 правил.
    Сделайте новые логи.
    I am not young enough to know everything...

  4. #3
    Junior Member Репутация
    Регистрация
    14.12.2007
    Сообщений
    13
    Вес репутации
    60
    карантин отправил
    Вложения Вложения

  5. #4
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    26.12.2006
    Адрес
    Vladivostok
    Сообщений
    23,298
    Вес репутации
    1578
    Выполните скрипт в AVZ:
    Код:
    begin
    SearchRootkit(true, true);
    SetAVZGuardStatus(True);
    DeleteFile('C:\Documents and Settings\1\Local Settings\Temp\Temporary Internet Files\Content.IE5\WUDNCM83\a8f5a020e4b833865a1034489887c8b9[1].zip');
    DeleteFile('C:\Documents and Settings\catchme.zip');
    DeleteFile('C:\WINDOWS\system32\drivers\symavc32.sys');
    DeleteFile('C:\WINDOWS\system32\msxmqhs.dll');
    BC_ImportDeletedList;
    ExecuteSysClean;
    BC_Activate;
    RebootWindows(true);
    end.
    После перезагрузки пофиксите в HijackThis, если останется:
    Код:
    O20 - Winlogon Notify: kerberos4 - C:\WINDOWS\SYSTEM32\msxmqhs.dll
    Посмотрите, нужно ли вам что-то из этого:
    Код:
    >> Службы: разрешена потенциально опасная служба TermService (Службы терминалов)
    >> Службы: разрешена потенциально опасная служба SSDPSRV (Служба обнаружения SSDP)
    >> Службы: разрешена потенциально опасная служба Schedule (Планировщик заданий)
    >> Службы: разрешена потенциально опасная служба mnmsrvc (NetMeeting Remote Desktop Sharing)
    >> Службы: разрешена потенциально опасная служба RDSessMgr (Диспетчер сеанса справки для удаленного рабочего стола)
    >> Безопасность: разрешен автозапуск программ с CDROM
    >> Безопасность: разрешен административный доступ к локальным дискам (C$, D$ ...)
    >> Безопасность: к ПК разрешен доступ анонимного пользователя
    >> Безопасность: Разрешена отправка приглашений удаленному помошнику
    Лишнее отключим.

    Очистите временные файлы IE через Свойства обозревателя.
    I am not young enough to know everything...

  6. #5
    Junior Member Репутация
    Регистрация
    14.12.2007
    Сообщений
    13
    Вес репутации
    60
    Цитата Сообщение от Bratez Посмотреть сообщение
    >> Безопасность: разрешен административный доступ к локальным дискам (C$, D$ ...)
    Лишнее отключим.
    Это нужно

    Очистите временные файлы IE через Свойства обозревателя.
    Сделал.

    Большое спасибо!

  7. #6
    Visiting Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для rubin
    Регистрация
    15.10.2007
    Адрес
    Казань
    Сообщений
    2,934
    Вес репутации
    565
    Если я правильно все понял - остальное не нужно?
    Код:
    begin
    RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Control\Terminal Server','fAllowToGetHelp', 0);
    RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Control\LSA','RestrictAnonymous', 2);
    RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'System\CurrentControlSet\Services\CDROM','AutoRun', 0);
    SetServiceStart('RDSessMgr', 4);
    SetServiceStart('mnmsrvc', 4);
    SetServiceStart('Schedule', 4);
    SetServiceStart('SSDPSRV', 4);
    SetServiceStart('TermService', 4);
    RebootWindows(true);
    end.

  8. #7
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    26.12.2006
    Адрес
    Vladivostok
    Сообщений
    23,298
    Вес репутации
    1578
    [skip]

    Если не трудно, сделайте финальный комплект логов для контроля.
    Последний раз редактировалось Bratez; 14.12.2007 в 16:48. Причина: со скриптом опоздал :)
    I am not young enough to know everything...

  9. #8
    Junior Member Репутация
    Регистрация
    14.12.2007
    Сообщений
    13
    Вес репутации
    60
    финальный комплект
    Вложения Вложения

  10. #9
    Visiting Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для rubin
    Регистрация
    15.10.2007
    Адрес
    Казань
    Сообщений
    2,934
    Вес репутации
    565
    Уже новое появилось.... Называется "антивируса не обнаружено"
    Выполните:
    Код:
    begin
     SearchRootkit(true, true);
     SetAVZGuardStatus(true);
     QuarantineFile('C:\Program Files\WinAble\winable.exe','');
     QuarantineFile('C:\WINDOWS\noskrnl.exe','');
     QuarantineFile('C:\WINDOWS\system32\ntos.exe','');
     QuarantineFile('C:\WINDOWS\system32\vedxg6ame4.exe','');
     DeleteFile('C:\WINDOWS\system32\ntos.exe');
     DeleteFile('C:\WINDOWS\noskrnl.exe');
     DeleteFile('C:\WINDOWS\system32\vedxg6ame4.exe');
     BC_ImportAll;
     BC_Activate;
     ExecuteSysClean;
     RebootWindows(true);
    end.
    Карантин пришлите...

  11. #10
    Senior Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    10.01.2007
    Сообщений
    22,817
    Вес репутации
    1523
    пофиксите ...
    Код:
    O4 - HKCU\..\Run: [Service Pack 1] C:\WINDOWS\system32\vedxg6ame4.exe
    O4 - HKCU\..\Run: [noskrnl] C:\WINDOWS\noskrnl.exe
    O4 - HKCU\..\Run: [userinit] C:\WINDOWS\system32\ntos.exe
    выполните скрипт ...
    Код:
    begin
    SearchRootkit(true, true);
    SetAVZGuardStatus(True);
     QuarantineFile('C:\WINDOWS\system32\winlogon.scr','');
     QuarantineFile('C:\WINDOWS\system32\ntos.exe','');
     QuarantineFile('C:\Program Files\WinAble\winable.exe','');
     QuarantineFile('C:\WINDOWS\noskrnl.exe','');
     QuarantineFile('c:\windows\system32\vedxg6ame4.exe','');
     DeleteFile('c:\windows\system32\vedxg6ame4.exe');
     DeleteFile('C:\WINDOWS\noskrnl.exe');
     DeleteFile('C:\WINDOWS\system32\ntos.exe');
    BC_ImportDeletedList;
    ExecuteSysClean;
    BC_Activate;
    RebootWindows(true);
    end.
    пришлите карантин согласно приложения 3 правил ...

  12. #11
    Junior Member Репутация
    Регистрация
    14.12.2007
    Сообщений
    13
    Вес репутации
    60
    Цитата Сообщение от rubin Посмотреть сообщение
    Карантин пришлите...
    отправил

    Добавлено через 34 секунды

    Цитата Сообщение от V_Bond Посмотреть сообщение
    пришлите карантин согласно приложения 3 правил ...
    Сейчас сделаю
    Последний раз редактировалось hexm; 14.12.2007 в 18:24. Причина: Добавлено

  13. #12
    Visiting Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для rubin
    Регистрация
    15.10.2007
    Адрес
    Казань
    Сообщений
    2,934
    Вес репутации
    565
    Поищите вручную через AVZ winable.exe и пришлите файлик по правилам

  14. #13
    Junior Member Репутация
    Регистрация
    14.12.2007
    Сообщений
    13
    Вес репутации
    60
    2V_Bond
    Скрипт выполнил. карантин пуст

  15. #14
    Senior Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    10.01.2007
    Сообщений
    22,817
    Вес репутации
    1523
    winlogon.scr - очень интересен ...

  16. #15
    Junior Member Репутация
    Регистрация
    14.12.2007
    Сообщений
    13
    Вес репутации
    60
    ни winable.exe ни winlogon.scr AVZ не нашел

  17. #16
    Visiting Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для rubin
    Регистрация
    15.10.2007
    Адрес
    Казань
    Сообщений
    2,934
    Вес репутации
    565
    Тогда давайте еще раз логи посмотрим

  18. #17
    Junior Member Репутация
    Регистрация
    14.12.2007
    Сообщений
    13
    Вес репутации
    60
    еще раз логи...
    Вложения Вложения

  19. #18
    Senior Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    10.01.2007
    Сообщений
    22,817
    Вес репутации
    1523
    логи нужны не в safe mode

  20. #19
    Junior Member Репутация
    Регистрация
    14.12.2007
    Сообщений
    13
    Вес репутации
    60
    уфф... ща

  21. #20
    Junior Member Репутация
    Регистрация
    14.12.2007
    Сообщений
    13
    Вес репутации
    60
    Здравствуйте.
    Вчера не получилось залить логи на форум.
    Вложения Вложения

  • Уважаемый(ая) hexm, наши специалисты оказали Вам всю возможную помощь по вашему обращению.

    В целях поддержания безопасности вашего компьютера настоятельно рекомендуем:

     

     

    Чтобы всегда быть в курсе актуальных угроз в области информационной безопасности и сохранять свой компьютер защищенным, рекомендуем следить за последними новостями ИТ-сферы портала Anti-Malware.ru:

     

     

    Anti-Malware VK

     

    Anti-Malware Telegram

     

     

    Надеемся больше никогда не увидеть ваш компьютер зараженным!

     

    Если Вас не затруднит, пополните пожалуйста нашу базу безопасных файлов.

  • Страница 1 из 2 12 Последняя

    Похожие темы

    1. трояны!!!! руткиты!!!! троянские dll
      От Dron23 в разделе Помогите!
      Ответов: 12
      Последнее сообщение: 06.09.2011, 09:37
    2. руткиты+трояны+бекдоры
      От uceps в разделе Помогите!
      Ответов: 7
      Последнее сообщение: 08.04.2010, 00:22
    3. Трояны, руткиты
      От rustamakhmetov в разделе Помогите!
      Ответов: 3
      Последнее сообщение: 02.09.2009, 14:53
    4. Набор: руткиты и трояны.
      От qoma в разделе Помогите!
      Ответов: 18
      Последнее сообщение: 21.03.2009, 18:33
    5. трояны...руткиты
      От lemurz9 в разделе Помогите!
      Ответов: 12
      Последнее сообщение: 10.10.2008, 09:58

    Свернуть/Развернуть Ваши права в разделе

    • Вы не можете создавать новые темы
    • Вы не можете отвечать в темах
    • Вы не можете прикреплять вложения
    • Вы не можете редактировать свои сообщения
    •  
    Page generated in 0.00046 seconds with 20 queries