Есть подозрение на вирус

**PuBlik** · 29.03.2008, 10:02

Вчера Kaspersky ругнулся, что изменились 2 файла (в том числе Iexplorer.exe) Никаких обновлений не было. Сам Kaspersky ничего не находит.
Файлы прикрепил

Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

**kps** · 29.03.2008, 11:13

Выполните скрипт в AVZ:

Код:

begin
QuarantineFile('C:\Program Files\WIDCOMM\Bluetooth Software\btsendto_ie.htm','');
QuarantineFile('G:\autorun.inf','');
QuarantineFile('C:\Program Files\Microsoft Office\Office12\GrooveShellExtensions.dll','');
QuarantineFile('C:\WINDOWS\system32\infocardcpl.cpl','');
QuarantineFile('C:\Program Files\Kaspersky Lab\Kaspersky Internet Security 7.0\dnsq.dll','');
QuarantineFile('C:\DOCUME~1\3AFC~1\APPLIC~1\Mra\Update\menu.dll','');
BC_ImportQuarantineList;
BC_Activate;
DelBHO('{2670000A-7350-4f3c-8081-5663EE0C6C49}');
DelBHO('{06849E9F-C8D7-4D59-B87D-784B7D6BE0B3}');
RebootWindows(true);
end.

Компьютер перезагрузится.

Пришлите карантин согласно приложению №3 правил (загружать здесь: http://virusinfo.info/upload_virus.php?tid=20630 ).

AVZ => Файл => Мастер поиска и устранения проблем. Категория проблемы - поставьте "Системные проблемы", степень опасности - "Все проблемы". Нажмите "Пуск". Всё найденное следует пометить и пофиксить. Данную операцию повторить для категории "Настройки и твики браузера".

**PuBlik** · 29.03.2008, 13:32

Файл карантана выслал.

**Alex Plutoff** · 29.03.2008, 14:36

-файлы в карантине судя по всему безвредны...
-давайте на всякий случай выполним ещё и этот

Код:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 TerminateProcessByName('c:\docume~1\3afc~1\locals~1\temp\rtkbtmnt.exe','');
 QuarantineFile('c:\docume~1\3afc~1\locals~1\temp\rtkbtmnt.exe','');
 QuarantineFile('C:\Program Files\Internet Explorer\iexplore.exe','');
RebootWindows(true);
end.

...дальше вы знаете что с карантином делать, и удалите временные файлы из системы( Dиск > Свойства > Сервис > Очистить диск )

**PuBlik** · 29.03.2008, 16:35

При попытке запустить скрипт пишет:
Ошибка: Too many actual parameters в позиции 4:24
Временные файлы удалил

**Гриша** · 29.03.2008, 16:42

Поправил.

Код:

begin
QuarantineFile('c:\docume~1\3afc~1\locals~1\temp\rtkbtmnt.exe','');
QuarantineFile('C:\Program Files\Internet Explorer\iexplore.exe','');
end.

Прислать карантин согласно приложения 3 правил .
Загружать по ссылке:http://virusinfo.info/showthread.php?t=20630

AVZ => Файл => Мастер поиска и устранения проблем. Категория проблемы - поставьте "Системные проблемы", степень опасности - "Все проблемы". Нажмите "Пуск". Всё найденное следует пометить и пофиксить. Данную операцию повторить для категории "Настройки и твики браузера".

Решите свои проблемы.

**PuBlik** · 29.03.2008, 18:06

:-) скрипт выполняется, только этих файлов в карантине нет

**kps** · 29.03.2008, 18:09

Значит, iexplore.exe прошел по базе безопасных AVZ (т.е. он в порядке).

**Alex Plutoff** · 29.03.2008, 20:01

Сообщение от kps

Значит, iexplore.exe прошел по базе безопасных AVZ (т.е. он в порядке).

-а как с этим соотносится c:\docume~1\3afc~1\locals~1\temp\rtkbtmnt.exe ...которого тоже в карантине не оказалось, неужели тоже безопасный? ...т.е. прошёл по базе безопасных.

**kps** · 29.03.2008, 20:33

Здесь может быть несколько вариантов:
1) Этого файлика уже нет там (что неудивительно, т.к. это папка temp)
2) Он не дает себя карантинить без BC, тогда можно попробовать карантинить с помощью BC, либо посмотреть в IceSworde в меню File, есть ли файлик на указаном месте и если есть- скопировать.

Так что можно поробовать и посмотреть, попадет ли файлик в карантин:
Выполните скрипт в AVZ:

Код:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('c:\docume~1\3afc~1\locals~1\temp\rtkbtmnt.exe','');
BC_ImportQuarantineList;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.

Пришлите карантин, если есть, согласно приложению №3 правил (загружать здесь: http://virusinfo.info/upload_virus.php?tid=20630 ).

Все файлы, которые до сих пор попали в карантин - чистые.

**PuBlik** · 29.03.2008, 21:13

Ничего.
Этот блютусный файлик постоянно в Temp'е сидит. Даже если его выгрузить из процессов и удаить, то после перезагрузки он снова там.

**Alex Plutoff** · 29.03.2008, 21:27

-вот давайте и посмотрим на него внимательней на http://virusinfo.info/upload_virus.php?tid=20630

**PuBlik** · 30.03.2008, 00:14

Посмотрите закачался ли файл?

**V_Bond** · 30.03.2008, 00:30

вашего карантина нет ...

**PuBlik** · 30.03.2008, 00:50

Файл отправил письмом на [email protected].
Через браузер что-то не грузиться

**kps** · 30.03.2008, 15:11

Попробуйте загрузить этот файлик еще раз через http://virusinfo.info/upload_virus.php?tid=20630 (он скорее всего чистый, но можно на всякий случай посмотреть).
Выполните пункт 2 правил.

**PuBlik** · 30.03.2008, 15:26

Оправился

**Гриша** · 30.03.2008, 16:12

Файл чистый.

**PuBlik** · 30.03.2008, 21:52

Всем спасибо за помощь, успокоили

**Гриша** · 30.03.2008, 21:54

Нам интересно Ваше мнение о нашем ресурсе. Будем очень благодарны за отзыв, он может помочь нам улучшить ресурс.

Советуем прочитать электронную книгу "Безопасный Интернет. Универсальная защита для Windows ME - Vista".

Есть подозрение на вирус (заявка № 20630)

Опции темы