Вирус

[deco90]

Подхватил недавно где-то вирус, грузит процес svchost и создает какие-то копии в папке windows. Что приводит к заполнению диска.

[Макcим]

Выполните скрипт в AVZ

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(true);
 StopService('symavc32');
 StopService('smtpdrv');
 StopService('lanmandrv');
 StopService('Fkn72');
 QuarantineFile('C:\WINDOWS\system32\rpcc.dll','');
 QuarantineFile('C:\WINDOWS\system32\msindeo.dll','');
 QuarantineFile('C:\WINDOWS\system32\drivers\symavc32.sys','');
 QuarantineFile('C:\WINDOWS\system32\DRIVERS\smtpdrv.sys','');
 QuarantineFile('C:\WINDOWS\System32\lanmandrv.sys','');
 QuarantineFile('C:\WINDOWS\system32\Drivers\Fkn72.sys','');
 QuarantineFile('C:\Documents and Settings\All Users\Документы\Settings\partnership.dll','');
 DeleteFile('C:\Documents and Settings\All Users\Документы\Settings\partnership.dll');
 DeleteFile('C:\WINDOWS\system32\Drivers\Fkn72.sys');
 DeleteFile('C:\WINDOWS\System32\lanmandrv.sys');
 DeleteFile('C:\WINDOWS\system32\DRIVERS\smtpdrv.sys');
 DeleteFile('C:\WINDOWS\system32\drivers\symavc32.sys');
 DeleteFile('C:\WINDOWS\system32\msindeo.dll');
 DeleteFile('C:\WINDOWS\system32\rpcc.dll');
 DeleteService('Microsoft Int Service');
 BC_ImportALL;
 BC_Activate;
 ExecuteSysClean;
 RebootWindows(true);
end.

Загрузите карантин согласно приложению №3 правил. Повторите логи.

[deco90]

Карантин загрузил

[Макcим]

А логи где?

Добавлено через 2 минуты

В карантине:

rpcc.dll - Trojan-Proxy.Win32.Agent.tq
lanmandrv.sys - Rootkit.Win32.Agent.tc

[deco90]

Что значит "повторить логи"?
надо заново зайти в HijackThis и сделать все заново?

[deco90]

Вот сделал логи заново

[zerocorporated]

А avz логи ?

[deco90]

Загрузил

[Макcим]

Выполните скрипт в AVZ

begin
 SysCleanAddFile('C:\WINDOWS\system32\msindeo.dll');
 ExecuteSysClean;
 RebootWindows(true);
end.

Повторите лог virusinfo_syscheck.zip. Outpost нужно выгружать перед созданием лога.

[deco90]

Скрипт выполнил, повторил лог, без исп файервола

[Макcим]

"Пофиксите" в HijackThis

O2 - BHO: (no name) - {7ACB5731-5839-13AB-EABC-124791194525} - C:\WINDOWS\system32\msindeo.dll (file missing)

Повторите лог HijackThis.

Что из этого не нужно?

>> Службы: разрешена потенциально опасная служба RemoteRegistry (Удаленный реестр)
>> Службы: разрешена потенциально опасная служба TermService (Службы терминалов)
>> Службы: разрешена потенциально опасная служба SSDPSRV (Служба обнаружения SSDP)
>> Службы: разрешена потенциально опасная служба Schedule (Планировщик заданий)
>> Службы: разрешена потенциально опасная служба mnmsrvc (NetMeeting Remote Desktop Sharing)
>> Службы: разрешена потенциально опасная служба RDSessMgr (Диспетчер сеанса справки для удаленного рабочего стола)
>> Безопасность: разрешен автозапуск программ с CDROM
>> Безопасность: разрешен административный доступ к локальным дискам (C$, D$ ...)
>> Безопасность: к ПК разрешен доступ анонимного пользователя
>> Безопасность: Разрешена отправка приглашений удаленному помошнику

[deco90]

Ненужно
>> Безопасность: к ПК разрешен доступ анонимного пользователя

Лог загрузил

[Макcим]

Компьютер здоров. Проблемы остались?

[deco90]

Нет, спасибо, всё нормально.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 16
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\windows\\system32\\lanmandrv.sys - Rootkit.Win32.Agent.cvt (DrWEB: Trojan.NtRootKit.77
  2. c:\\windows\\system32\\rpcc.dll - Trojan-Proxy.Win32.Agent.tq (DrWEB: Trojan.Spambot)