Показано с 1 по 15 из 15.

WORM/Ntech.AA (заявка № 18706)

  1. #1
    Junior Member Репутация
    Регистрация
    26.02.2008
    Сообщений
    7
    Вес репутации
    37

    Exclamation WORM/Ntech.AA

    Avira находит WORM/Ntech.AA, Spyboot - Murlo.ff, AVZ - подозрение на Agent. Ничем не лечица. Help please!

    P.S. Симптомов вроде не видно. Avira при каждой перезагрузке ругается, но сделать ничего не может.
    Вложения Вложения

  2. Будь в курсе!
    Реклама на VirusInfo

    Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

    Anti-Malware Telegram
     

  3. #2
    VIP Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    07.07.2005
    Адрес
    Moscow region
    Сообщений
    30,462
    Вес репутации
    2500
    Авира, спайбот, Касперский, остаток Симантека - не много ли для одного компьютера?

    Отключить антивирус и спайбот.
    Выполнить скрипт:
    Код:
    begin
    SearchRootkit(true, true);
    SetAVZGuardStatus(True);
     QuarantineFile('C:\WINDOWS\system32\_svchosta.exe','');
     QuarantineFile('C:\WINDOWS\Temp\startdrv.exe','');
     QuarantineFile('C:\WINDOWS\system32\drivers\ctl_w32.sys','');
     DeleteFile('C:\WINDOWS\system32\drivers\ctl_w32.sys');
     BC_DeleteFile('C:\WINDOWS\system32\drivers\ctl_w32.sys');
     DeleteFile('C:\WINDOWS\Temp\startdrv.exe');
     BC_DeleteFile('C:\WINDOWS\Temp\startdrv.exe');
     DeleteFile('C:\WINDOWS\system32\_svchosta.exe');
     BC_DeleteFile('C:\WINDOWS\system32\_svchosta.exe');
    BC_ImportDeletedList;
    ExecuteSysClean;
    BC_Activate;
    RebootWindows(true);
    end.
    Загрузить карантин.

    Добавлено через 11 минут

    @drongo Я еще не все написал в скрипт. Это так первая порция.
    Последний раз редактировалось PavelA; 26.02.2008 в 19:28. Причина: Добавлено
    Павел
    AVZ HijackThis помощь с 10-00 до 18-00МСК

    Windows7, SEP(work)
    WindowsXP KIS(home)

    На up не реагирую

  4. #3
    Junior Member Репутация
    Регистрация
    26.02.2008
    Сообщений
    7
    Вес репутации
    37
    Дык до этого были еще вирусы, а идеального антивиря нету, вот приходилося лечить всяким разным.
    карантин выслал.

  5. #4
    Visiting Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для rubin
    Регистрация
    15.10.2007
    Адрес
    Казань
    Сообщений
    2,934
    Вес репутации
    542
    Повторяйте логи с п.10 Правил, карантин сейчас проверю

    Добавлено через 2 минуты

    Trojan.Win32.Agent.dfa C:\WINDOWS\Temp\startdrv.exe
    Rootkit.Win32.Agent.pq C:\WINDOWS\system32\drivers\ctl_w32.sys
    Последний раз редактировалось rubin; 27.02.2008 в 18:01. Причина: Добавлено

  6. #5
    Junior Member Репутация
    Регистрация
    26.02.2008
    Сообщений
    7
    Вес репутации
    37
    что-то не понял. зашел второй раз, а моего сообщения уже нету?
    повторю на всякий случай: карантин загрузил

  7. #6
    VIP Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    07.07.2005
    Адрес
    Moscow region
    Сообщений
    30,462
    Вес репутации
    2500
    Логи вообще-то полный комплект сделать, там еще есть над чем поработать.
    Павел
    AVZ HijackThis помощь с 10-00 до 18-00МСК

    Windows7, SEP(work)
    WindowsXP KIS(home)

    На up не реагирую

  8. #7
    Junior Member Репутация
    Регистрация
    26.02.2008
    Сообщений
    7
    Вес репутации
    37
    новые логи
    Вложения Вложения

  9. #8
    Visiting Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для rubin
    Регистрация
    15.10.2007
    Адрес
    Казань
    Сообщений
    2,934
    Вес репутации
    542
    Выполните:
    Код:
    begin
     SearchRootkit(true, true);
     SetAVZGuardStatus(true);
     RegKeyDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\atiddaxx');                                 
     QuarantineFile('C:\WINDOWS\system32\DRIVERS\Ip6Fw.sys','');
     QuarantineFile('C:\WINDOWS\system32\w32sys5.exe','');
     DeleteFile('C:\WINDOWS\system32\w32sys5.exe');
     DeleteFile('C:\WINDOWS\system32\drivers\ctl_w32.sys');
     DeleteFile('atiddaxx.dll');
     DeleteFile('C:\WINDOWS\Temp\startdrv.exe');   
     BC_ImportAll;
     BC_DeleteSvc('ctl_w32');   
     BC_DeleteSvc('RasMan');  
     BC_Activate;
     ExecuteSysClean;
     RebootWindows(true);
    end.
    Карантин пришлите.
    Пофиксьте:
    Код:
    O4 - HKLM\..\Run: [startdrv] C:\WINDOWS\Temp\startdrv.exe
    O20 - Winlogon Notify: atiddaxx - atiddaxx.dll (file missing)
    O21 - SSODL: DCOM Server 25319 - {2C1CD3D7-86AC-4068-93BC-A02304B25319} - (no file)
    O22 - SharedTaskScheduler: DCOM Server 25319 - {2C1CD3D7-86AC-4068-93BC-A02304B25319} - (no file)
    O22 - SharedTaskScheduler: sdf4dr4gfdgeetj - {B5AC49A2-94F3-42BD-F434-2604812C897D} - (no file)
    O22 - SharedTaskScheduler: JGhjddf9dtj - {B5AF0562-94F3-42BD-F434-2604812C297D} - (no file)
    Удалите лишние антивирусы, оставив 1.

    Затем повторите логи с п.10 Правил

  10. #9
    Junior Member Репутация
    Регистрация
    26.02.2008
    Сообщений
    7
    Вес репутации
    37
    в карантине пусто. антивирь оставил тока Авиру.
    новые логи
    Вложения Вложения

  11. #10
    Senior Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    10.01.2007
    Сообщений
    22,817
    Вес репутации
    1501
    ничего зловредного влогах ....правда нет вашего последнего карантина , на сайте касперского возьмите деинстолятор для вашей версии и почистите следы ...

  12. #11
    Junior Member Репутация
    Регистрация
    26.02.2008
    Сообщений
    7
    Вес репутации
    37
    дык пусто в карантине. или все равно выслать?

  13. #12
    Senior Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    10.01.2007
    Сообщений
    22,817
    Вес репутации
    1501
    тогда не стоит ...

  14. #13
    VIP Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    07.07.2005
    Адрес
    Moscow region
    Сообщений
    30,462
    Вес репутации
    2500
    Ежели пусто то можно и не слать.

    что-то мне лог HJ не понравился.
    Поищите через AVZ след. файлы:
    C:\WINDOWS\system32\cisvc.exe
    C:\WINDOWS\system32\imapi.exe
    C:\WINDOWS\system32\rsvp.exe

    Их действительно нет, или это HJ врет.
    Павел
    AVZ HijackThis помощь с 10-00 до 18-00МСК

    Windows7, SEP(work)
    WindowsXP KIS(home)

    На up не реагирую

  15. #14
    Junior Member Репутация
    Регистрация
    26.02.2008
    Сообщений
    7
    Вес репутации
    37
    данные файлы не найдены. пока вроде все ок. понаблюдаю еще.
    всем спс.

  16. #15
    Cybernetic Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    29.12.2008
    Сообщений
    48,317
    Вес репутации
    954

    Итог лечения

    Статистика проведенного лечения:
    • Получено карантинов: 1
    • Обработано файлов: 2
    • В ходе лечения обнаружены вредоносные программы:
      1. c:\\windows\\system32\\drivers\\ctl_w32.sys - Rootkit.Win32.Agent.pq (DrWEB: Trojan.NtRootKit.496)
      2. c:\\windows\\temp\\startdrv.exe - Trojan.Win32.Agent.dfa (DrWEB: BackDoor.Bulknet.105)


  • Уважаемый(ая) Rams, наши специалисты оказали Вам всю возможную помощь по вашему обращению.

    В целях поддержания безопасности вашего компьютера настоятельно рекомендуем:

     

     

    Чтобы всегда быть в курсе актуальных угроз в области информационной безопасности и сохранять свой компьютер защищенным, рекомендуем следить за последними новостями ИТ-сферы портала Anti-Malware.ru:

     

     

    Anti-Malware VK

     

    Anti-Malware Telegram

     

     

    Надеемся больше никогда не увидеть ваш компьютер зараженным!

     

    Если Вас не затруднит, пополните пожалуйста нашу базу безопасных файлов.

  • Похожие темы

    1. Worm.AutoRun а так же Worm.Kolab
      От Dimihi в разделе Помогите!
      Ответов: 6
      Последнее сообщение: 26.12.2009, 20:23
    2. Net-Worm.Win32.Kido.ih и Worm.Win32.AutoRun.ezt
      От zagraba в разделе Помогите!
      Ответов: 8
      Последнее сообщение: 06.12.2009, 11:53
    3. Ответов: 24
      Последнее сообщение: 11.04.2009, 23:10
    4. Net-Worm.Win32.Slammer Он же Win.MSSQL.worm.Helkern.
      От TeXeT в разделе Вредоносные программы
      Ответов: 4
      Последнее сообщение: 28.07.2008, 12:21
    5. Помогите - WORM/RJUMP.B.1+WORM/RJUMP.E+W32.Fakerecy
      От Ultra Breaker в разделе Помогите!
      Ответов: 5
      Последнее сообщение: 23.12.2007, 00:49

    Свернуть/Развернуть Ваши права в разделе

    • Вы не можете создавать новые темы
    • Вы не можете отвечать в темах
    • Вы не можете прикреплять вложения
    • Вы не можете редактировать свои сообщения
    •  
    Page generated in 0.01427 seconds with 17 queries