Troyan-Downloader.Win32.Small.hwc

[sтранник]

и он там вроде даже не 1... трафик улетает неизвесно куда... смог выполнить только 2ой и 3ий пункты т.к. когда выполнял первый программа зависала выдавала кучу ошибок и комп перезагружался. может можно как нить без 1ой части?...

[wise-wistful]

Выполните в АВЗ

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 TerminateProcessByName('c:\documents and settings\странник\local settings\application data\cftmon.exe');
 QuarantineFile('C:\Documents and Settings\LocalService\Local Settings\Application Data\cftmon.exe','');
 QuarantineFile('C:\WINDOWS\system32\ftpdll.dll','');
 QuarantineFile('C:\WINDOWS\system32\sysfldr.dll','');
 QuarantineFile('C:\WINDOWS\system32\drivers\spools.exe','');
 SetServiceStart('Schedule', 4);
 StopService('Schedule');
 QuarantineFile('c:\documents and settings\странник\local settings\application data\cftmon.exe','');
 DeleteFile('c:\documents and settings\странник\local settings\application data\cftmon.exe');
 DeleteFile('C:\WINDOWS\system32\drivers\spools.exe');
 DeleteFile('C:\WINDOWS\system32\sysfldr.dll');
 DeleteFile('C:\WINDOWS\system32\ftpdll.dll');
 DeleteFile('C:\Documents and Settings\LocalService\Local Settings\Application Data\cftmon.exe');
DeleteService('Schedule');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Загрузите карантин согласно приложению 3 правил ...
Повторите логи ...

[sтранник]

Вот что мне сказало. И ничего не сохранилось.. ):
Карантин с использованием прямого чтения - ошибка
Ошибка карантина файла, попытка прямого чтения (C:\WINDOWS\system32\RebootWindows(true)
Карантин с использованием прямого чтения - ошибка
Ошибка карантина файла, попытка прямого чтения (end.)
Карантин с использованием прямого чтения - ошибка
Ошибка карантина файла, попытка прямого чтения (C:\WINDOWS\end.)
Карантин с использованием прямого чтения - ошибка
Ошибка карантина файла, попытка прямого чтения (C:\WINDOWS\system32\end.)
Карантин с использованием прямого чтения - ошибка

[pig]

Что-то вы не то сделали... Поделитесь опытом, я тоже так хочу.

[sтранник]

ну да я как абычна лох... пакалупался вроде понял как это делать.. только вот еще 1 проблема... скрипт выполняется и сразу черный экран и мы зависаем...

[Bratez]

Если перед зависанием выскакивало сообщение, что выполнен без ошибок, то все нормально. Ждем немного, если сам не перезагрузится - жмем ресет, далее действуем по плану.
Если такого сообщения не было, попробуйте выполнить скрипт в безопасном режиме.

[sтранник]

фу... вроде сделал..

[rubin]

Карантин сюда - http://virusinfo.info/upload_virus.php?tid=18718
Этот все равно пустой...

Повторите логи ...

[sтранник]

блин.. а других методоd совсем никаких нет?... АВЗ уже отказываецца работать.. на середине выполнения скрипта выскакивает штук 100 табличек с надписью "Access violation at address 0040254C in module 'avz.exe'.Write of address 4643535D"

[rubin]

А если в safe mode? или переименовать avz.exe в game.pif

[sтранник]

помогло переименовать avz.exe в game.pif новые логи + выполнил скрипт про который писали.
карантин загрузил по ссылке http://virusinfo.info/upload_virus.php?tid=18718

[rubin]

Выполните:

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(true);
 RegKeyDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\sysfldr');                                          
 DeleteFile('sysfldr.dll');
 BC_ImportDeletedList;
 BC_Activate;
 ExecuteSysClean;
 RebootWindows(true);
end.

Лог HiJackThis повторите

[sтранник]

вот что получилось..

[Bratez]

1. Рекомендуется отключить все что вам не нужно из этого списка:

>> Службы: разрешена потенциально опасная служба RemoteRegistry (Удаленный реестр)
>> Службы: разрешена потенциально опасная служба TermService (Службы терминалов)
>> Службы: разрешена потенциально опасная служба SSDPSRV (Служба обнаружения SSDP)
>> Службы: разрешена потенциально опасная служба mnmsrvc (NetMeeting Remote Desktop Sharing)
>> Службы: разрешена потенциально опасная служба RDSessMgr (Диспетчер сеанса справки для удаленного рабочего стола)
>> Безопасность: разрешен автозапуск программ с CDROM
>> Безопасность: разрешен административный доступ к локальным дискам (C$, D$ ...)
>> Безопасность: к ПК разрешен доступ анонимного пользователя
>> Безопасность: Разрешена отправка приглашений удаленному помошнику

2. Ничего подозрительного в логах не видно, однако:

Внимание !!! База поcледний раз обновлялась 12.12.2007 необходимо обновить базы при помощи автоматического обновления (Файл/Обновление баз)

Если не затруднит, обновите базы AVZ и сделайте логи заново для пущей уверенности.

[sтранник]

обновил базы. пока обновлял улетело 70мб трафика... при выполнение скриптов опять вылетает та же ошибка... хотя avz.exe уже переименован в game.pif...

[Bratez]

Сделайте в безопасном режиме как написано здесь:
http://virusinfo.info/showthread.php?t=10387

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 10
• В ходе лечения вредоносные программы в карантинах не обнаружены