Backdoor.tro и другие...

**tiger74** · 12.01.2008, 15:13

Добрый день всем! Такая проблемка: установил звуковую карту 5.1 PCI Genius с дровами, решил установить винамп 5.5 . После установки пропал звук напрочь... Даже приветствия виндового нет. В колонках и наушниках только шум(хотя рабочие).. Снёс винамп. При попытке отката системы выскакивает ошибка- "подпись ошибки appname: rstrui.exe appver: 5.1.2600.2180 modname: urlmon.dll modver: 6.0.2900.3199 offset: 0005abcd " При попытке запуска WinMedia Player 9.0 такая ошибка -Код ошибки = 0xC00D11BA, код состояния = 0x00000000. AVAST молчит, а Dr.Web куреит нашёл таких зверей- win.32.hllw.gavir.ini., win32.hllm.rancheg , DLOADER Trojan, adware.onestep и ещё Backdoor.tro!!! зоопарк вобщем... удалил при отключённом восстановлении системмы. Но проблемма со звуком осталась! прошу помочь навести порядок. Спасибо!

Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

**rubin** · 12.01.2008, 15:24

Пришлите по правилам c:\windows\system32\lsass.exe
Мне кажется, что DrWeb почти все перебил...
PS: HiJackThis нужно не из архива запускать...

**tiger74** · 12.01.2008, 16:24

Файл сохранён как 080112_072007_virus_4788be87e689c.zip
Размер файла 777724
MD5 14099cbffa03afd1a693688ade160372

**rubin** · 12.01.2008, 16:27

в карантине C:\Documents and Settings\User\Local Settings\Temp\RarSFX1\setup.exe

А нужно было c:\windows\system32\lsass.exe

**tiger74** · 12.01.2008, 17:34

пароль virys

Добавлено через 2 минуты

avz не нашел нашли сами поисковиком спаковали в зип - пароль virys

Добавлено через 4 минуты

название c:\windows\system32\lsass.exe....zip
avz не нашел файл

**V_Bond** · 12.01.2008, 17:47

присланный файл чистый ...
больше ничего подозрительного в логах нет ...
что из этого не используется ?

>> Службы: разрешена потенциально опасная служба RemoteRegistry (Удаленный реестр)
>> Службы: разрешена потенциально опасная служба TermService (Службы терминалов)
>> Службы: разрешена потенциально опасная служба SSDPSRV (Служба обнаружения SSDP)
>> Службы: разрешена потенциально опасная служба Schedule (Планировщик заданий)
>> Службы: разрешена потенциально опасная служба mnmsrvc (NetMeeting Remote Desktop Sharing)
>> Службы: разрешена потенциально опасная служба RDSessMgr (Диспетчер сеанса справки для удаленного рабочего стола)
> Службы: обратите внимание - набор применяемых на ПК служб зависит от области применения ПК (домашний, ПК в ЛВС компании ...)!
>> Безопасность: разрешен автозапуск программ с CDROM
>> Безопасность: разрешен административный доступ к локальным дискам (C$, D$ ...)
>> Безопасность: к ПК разрешен доступ анонимного пользователя
>> Безопасность: Разрешена отправка приглашений удаленному помошнику

**tiger74** · 12.01.2008, 18:04

У меня домашний ПК. тип подключения skynet по смарт карте, вообще-то не очень разбираюсь в этих службах, но думаю автозапуск CD, доступ анонимного пользователя и администрированный доступ к дискам можно оставить...(сам потом как нибудь) А проблеммы со звуком, как понял, не связаны с заразой... Не подскажите что это может быть? Спасибо за помощь!

**V_Bond** · 12.01.2008, 18:08

вот скрипт для закрытия лишнего ....

Код:

begin
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Control\Terminal Server','fAllowToGetHelp', 0);
SetServiceStart('RDSessMgr', 4);
SetServiceStart('mnmsrvc', 4);
SetServiceStart('Schedule', 4);
SetServiceStart('SSDPSRV', 4);
SetServiceStart('TermService', 4);
SetServiceStart('RemoteRegistry', 4);
RebootWindows(true);
end.

насчет звука ... скачайте с офсайта новые драйвера для вашей звуковой карты ......