-
Junior Member
- Вес репутации
- 59
csrsr.dll Win32/BHO.ABO trojan
NOD32 и AVZ находят
c:\windows\system32\csrsr.dll >>> подозрение на Trojan.Win32.BHO.agz ( 0A5FB1F1 0492B11F 0020FE22 0023D50D 84992)
c:\program files\contentsaver\contentsaver.dll >>> подозрение на AdvWare.Win32.Agent.yw ( 008B695A 00000000 0022DAE3 00198B3D 118784)
c:\program files\connectionservices\connectionservices.dll >>> подозрение на AdvWare.Win32.WebFavoriteSite.c ( 09B937A4 00000000 00201EB2 00214396 420352)
удалить и вылечить не получается, очень прошу помощи!
Последний раз редактировалось cavetroll; 07.04.2008 в 10:42.
-
Будь в курсе!
Будь в курсе!
Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:
-
Выполните скрипт в AVZ
Код:
begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
QuarantineFile('C:\WINDOWS\system32\Drivers\siggnsrj.dat','');
QuarantineFile('C:\WINDOWS\system32\csrsr.dll','');
DeleteFile('C:\Program Files\ConnectionServices\ConnectionServices.dll');
DeleteFile('C:\Program Files\ContentSaver\ContentSaver.dll');
DeleteFile('C:\WINDOWS\system32\csrsr.dll');
DeleteFile('C:\WINDOWS\system32\Drivers\siggnsrj.dat');
BC_ImportALL;
BC_Activate;
ExecuteSysClean;
RebootWindows(true);
end.
Загрузите карантин согласно приложению №3 правил. Повторите логи.
-
-
ContentSaver и SonnectionServices - это действительно adware (рекламные программы), кстати они без проблем деинсталлируются через Установка/удаление программ.
I am not young enough to know everything...
-
-
Junior Member
- Вес репутации
- 59
удалил рекламное ПО через установка удаление, спасибо
при выполнении скрипта машина зависла при перезагрузке(возможно из-за включеного Nod32) помогла только кнопка выключения питания, после загрузки ОС были почищены папки карантина и логов AVZ(потом только понял что не надо было) скрипт был выполнен второй раз при выключенном антивирусе, перезагрузка прошла успешно, папка карантина пуста, при создании логов подозрений нет... NOD32 тоже ничего не нашел...
видимо все чисто, спасибо огромное за помощь, причем так оперативно
PS ещё раз спасибо
Последний раз редактировалось cavetroll; 07.04.2008 в 10:42.
-
Выполните в АВЗ (только обязательно отключите антивирус перед выполнение мскрипта)
Код:
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DelBHO('{6D7B211A-88EA-490c-BAB9-3600D8D7C503}');
DelBHO('{29F340EA-2108-40d0-94A0-62EC2B9EDF59}');
DelBHO('{E12C6A2D-4086-475E-B780-4FE49EF9BB2F}');
DeleteFile('C:\WINDOWS\system32\csrsr.dll');
DeleteFile('C:\Program Files\ContentSaver\ContentSaver.dll');
DeleteFile('C:\Program Files\ConnectionServices\ConnectionServices.dll');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
Профиксите
Код:
O2 - BHO: (no name) - AutorunsDisabled - (no file)
O2 - BHO: ContentSaver module - {29F340EA-2108-40d0-94A0-62EC2B9EDF59} - C:\Program Files\ContentSaver\ContentSaver.dll (file missing)
O2 - BHO: ConnectionServices module - {6D7B211A-88EA-490c-BAB9-3600D8D7C503} - C:\Program Files\ConnectionServices\ConnectionServices.dll (file missing)
O2 - BHO: (no name) - {E12C6A2D-4086-475E-B780-4FE49EF9BB2F} - C:\WINDOWS\system32\csrsr.dll (file missing)
O9 - Extra button: (no name) - AutorunsDisabled - (no file)
Повторите логи.
-
Junior Member
- Вес репутации
- 59
выкладываю логи
прошу прощения за задержку, только добрался до компа...
Последний раз редактировалось cavetroll; 07.04.2008 в 10:41.
-
-
Выполните скрипт в AVZ:
Код:
begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\PROGRA~1\COMMON~1\SANITA~1\GDCcw.exe','');
DeleteFile('C:\PROGRA~1\COMMON~1\SANITA~1\GDCcw.exe');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
Компьютер перезагрузится.
Пришлите карантин согласно приложению 3 правил.
Рекомендуется отключить все что вам не нужно из этого списка:
Код:
>> Службы: разрешена потенциально опасная служба RemoteRegistry (Удаленный реестр)
>> Службы: разрешена потенциально опасная служба TermService (Службы терминалов)
>> Службы: разрешена потенциально опасная служба SSDPSRV (Служба обнаружения SSDP)
>> Службы: разрешена потенциально опасная служба Schedule (Планировщик заданий)
>> Службы: разрешена потенциально опасная служба mnmsrvc (NetMeeting Remote Desktop Sharing)
>> Службы: разрешена потенциально опасная служба RDSessMgr (Диспетчер сеанса справки для удаленного рабочего стола)
>> Безопасность: разрешен автозапуск программ с CDROM
>> Безопасность: разрешен административный доступ к локальным дискам (C$, D$ ...)
>> Безопасность: к ПК разрешен доступ анонимного пользователя
>> Безопасность: Разрешена отправка приглашений удаленному помошнику
I am not young enough to know everything...
-
-
Junior Member
- Вес репутации
- 59
скрипт выполнил, карантин загрузил, службы отключил...
Последний раз редактировалось cavetroll; 26.03.2008 в 20:16.
Причина: Добавлено
-
Junior Member
- Вес репутации
- 59
про логи не написано, но выкладываю на всякий случай
Последний раз редактировалось cavetroll; 07.04.2008 в 10:41.
-
в логах ничего подозрительного ...
-