Показано с 1 по 14 из 14.

ntos.exe и его последствия (заявка № 22075)

  1. #1
    Junior Member Репутация
    Регистрация
    25.04.2008
    Сообщений
    7
    Вес репутации
    39

    Thumbs up ntos.exe и его последствия

    Здравствуйте! Больной комп не подключается к инету и видимо до сих пор заражен какой-то гадостью. Выхожу на связь с Вами с чистого компа. Теперь о больном. После недавней проверки Авастом обнаружилось несколько вирусов: ntos.exe (определился как Rootkit), Agent-VGV,Agent-USI и еще что-то. Аваст с горем пополам уничтожил все, кроме ntos. после каждого включения создавались в темпе файлы BN2.tmp,BN3.tmp,BN4.tmp и т.д. С помощью CIA Commander вытер ntos.exe из папки system32. Темп-файлы BN ужу не появлялись, но отключился интернет. А точнее, IP-адрес, маска подсети, основной шлюз... все это прописано, уведомление показывает, что все подключено, скорость 10.0 Мбит\с, а обмен пакетами - 0 и 0. Реально связи нет. Команда "netstat -an" показывает какой-то левый внешний адрес 208.66.195.15:80 Старался все выполнять по "Правилам". Высылаю логи. Помогите! (Дело еще в том, что переставлять систему КРАЙНЕ не желательно)
    Вложения Вложения

  2. Будь в курсе!
    Реклама на VirusInfo

    Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

    Anti-Malware Telegram
     

  3. #2
    Banned Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    18.11.2007
    Сообщений
    3,293
    Вес репутации
    0
    1.AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".
    Код:
    begin
    SearchRootkit(true, true);
    SetAVZGuardStatus(True);
     ClearQuarantine;
     QuarantineFile('_.exe','');
     QuarantineFile('C:\WINDOWS\system32\WLCtrl32.dll','');
     DeleteFile('C:\WINDOWS\system32\WLCtrl32.dll');
     DeleteFile('C:\WINDOWS\System32\Drivers\Dim38.sys');
     DeleteFile('_.exe');
     DeleteFile('WLCtrl32.dll');
    BC_ImportAll;
    BC_DeleteSvc('Dim38');
    ExecuteSysClean;
    BC_Activate;
    RebootWindows(true);
    end.
    После выполнения скрипта компьютер перезагрузится.
    Прислать карантин согласно приложения 3 правил .
    Загружать по ссылке: http://virusinfo.info/upload_virus.php?tid=22075

    2.Пофиксить в HijackThis следующие строчки? если будут ( http://virusinfo.info/showthread.php?t=4491 )
    Код:
    F2 - REG:system.ini: UserInit=c:\windows\system32\userinit.exe,_,
    Повторите логи.

  4. #3
    Junior Member Репутация
    Регистрация
    25.04.2008
    Сообщений
    7
    Вес репутации
    39
    Следовал Вашим рекомендациям. Выполнил скрипт. А вот профиксить в HijackThis нечего. строчка F2 отсутствует. Скрипт в AVZ выполнял два раза. В первый раз забыл отключить сканер Аваста. В процессе выполнения скрипта Аваст выловил нечто по имени vdy4njqz.sys . Команда "netstat -an" показывает теперь уже чуть другой внешний адрес 208.66.195.71:80, после перезагрузки: 208.66.194.232:80. Меняются цифры перед двоеточием. Подозреваю что это не есть нормально. Отправиляю Вам AVZ карантин. С интернетом все по прежнему. Все установки прописаны, связи нет. Высылаю новые логи. (Может быть я что-то не так делаю?)
    Вложения Вложения

  5. #4
    VIP Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    07.07.2005
    Адрес
    Moscow region
    Сообщений
    30,462
    Вес репутации
    2502
    Новый зверь - WinNt32.dll. Выполнить скрипт:
    Код:
    begin
    SearchRootkit(true, true);
    SetAVZGuardStatus(True);
     SetServiceStart('Rwb72', 4);
     QuarantineFile('C:\WINDOWS\system32\Drivers\Rwb72.sys','');
     QuarantineFile('C:\WINDOWS\system32\WinNt32.dll','');
     DeleteFile('C:\WINDOWS\system32\WinNt32.dll');
     DeleteFile('C:\WINDOWS\system32\Drivers\Rwb72.sys');
    BC_ImportDeletedList;
    ExecuteSysClean;
    BC_Activate;
    RebootWindows(true);
    end.
    Загрузить карантин. Сделать новые логи.

    Если вдруг не будет загружаться, то использовать посл. успешную кофигурацию
    Павел
    AVZ HijackThis помощь с 10-00 до 18-00МСК

    Windows7, SEP(work)
    WindowsXP KIS(home)

    На up не реагирую

  6. #5
    Junior Member Репутация
    Регистрация
    25.04.2008
    Сообщений
    7
    Вес репутации
    39
    Выполнил. Карантин прислал. Прикрепляю логи. Меняющийся внешний адрес пропал. Но связи нет по прежнему. Сетевую карточку переставлял. Протокол TCP/IP проверил. Соседние компьютеры (с этого же краба) работают нормально. Что делать? Руки опускаются...
    Вложения Вложения

  7. #6
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    26.12.2006
    Адрес
    Vladivostok
    Сообщений
    23,299
    Вес репутации
    1557
    Все в логах хорошо, осталось пофиксить в HijackThis:
    Код:
    O20 - Winlogon Notify: WinNt32 - WinNt32.dll (file missing)
    O20 - Winlogon Notify: WLCtrl32 - C:\WINDOWS\
    Попробуйте эту программку:
    http://www.tksinc.us/downloads/WinsockXPFix.exe
    (запустить и нажать Fix; после перезагрузки заново ввести настройки сетевых подключений).
    I am not young enough to know everything...

  8. #7
    Junior Member Репутация
    Регистрация
    25.04.2008
    Сообщений
    7
    Вес репутации
    39
    Профиксил две строчки. Запустил WinsockXPFix. Соединение переустановил. Прописал протокол. Видимо, тяжелый случай. Связи нет. Может я чего-то не понимаю? ("сложно вырезать гланды по телефону" - это я понимаю...)

  9. #8
    Senior Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    10.01.2007
    Сообщений
    22,817
    Вес репутации
    1503
    Цитата Сообщение от VladVictim Посмотреть сообщение
    Связи нет.
    это как ? нет соединения или нет интернета ?
    ping 127.0.0.1 что пишет ?

  10. #9
    VIP Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    07.07.2005
    Адрес
    Moscow region
    Сообщений
    30,462
    Вес репутации
    2502
    После еще ping 213.141.192.71

    Это все выполняется в режиме командной строки (Пуск - Выполнить - cmd)
    Павел
    AVZ HijackThis помощь с 10-00 до 18-00МСК

    Windows7, SEP(work)
    WindowsXP KIS(home)

    На up не реагирую

  11. #10
    Junior Member Репутация
    Регистрация
    25.04.2008
    Сообщений
    7
    Вес репутации
    39
    Профиксил две строчки, запустил WinsockXPFix. Переустановил протокол. Все по прежнему. т.е. связи нет. Пропинговал "по адресу замыкания на себя" - прошло четыре пакета, все в порядке. Пропинговал по IP-компьютера - 4 пакета, все в порядке. Пропинговка IP-адреса основного шлюза дает превышение времени ожидания (сигнал не проходит). Ради эксперимента повторил всю операцию с WinsockXPFix на здоровом компе. Проставил протокол - все работает. Наверное, я чего-то не понимаю...

  12. #11
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    26.12.2006
    Адрес
    Vladivostok
    Сообщений
    23,299
    Вес репутации
    1557
    Может у вас просто хаб (или роутер) завис? Бывает с ними такое. Передерните ему питание.
    I am not young enough to know everything...

  13. #12
    Junior Member Репутация
    Регистрация
    25.04.2008
    Сообщений
    7
    Вес репутации
    39
    ВСЕ! Проблема снята. Причина была в сетевой карте, а точнее в некорректном драйвере, который WinXP ставил автоматически. ВСЕМ огромное спасибо за помощь. Вирусов нет. Чем я могу Вас отблагодарить?

  14. #13
    Banned Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    18.11.2007
    Сообщений
    3,293
    Вес репутации
    0
    Нам интересно Ваше мнение о нашей работе, будем очень благодарны за ответ. Ваш ответ поможет нам улучшить оказание помощи.

    Советуем прочитать электронную книгу "Безопасный Интернет. Универсальная защита для Windows ME - Vista".

  15. #14
    Cybernetic Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    29.12.2008
    Сообщений
    48,313
    Вес репутации
    956

    Итог лечения

    Статистика проведенного лечения:
    • Получено карантинов: 2
    • Обработано файлов: 9
    • В ходе лечения обнаружены вредоносные программы:
      1. c:\\windows\\system32\\winnt32.dll - Trojan-Downloader.Win32.Agent.nsl (DrWEB: Trojan.DownLoader.59496)


  • Уважаемый(ая) VladVictim, наши специалисты оказали Вам всю возможную помощь по вашему обращению.

    В целях поддержания безопасности вашего компьютера настоятельно рекомендуем:

     

     

    Чтобы всегда быть в курсе актуальных угроз в области информационной безопасности и сохранять свой компьютер защищенным, рекомендуем следить за последними новостями ИТ-сферы портала Anti-Malware.ru:

     

     

    Anti-Malware VK

     

    Anti-Malware Telegram

     

     

    Надеемся больше никогда не увидеть ваш компьютер зараженным!

     

    Если Вас не затруднит, пополните пожалуйста нашу базу безопасных файлов.

  • Похожие темы

    1. ntos.exe
      От Veselyi_Rodger в разделе Помогите!
      Ответов: 5
      Последнее сообщение: 22.02.2009, 07:37
    2. ntos
      От CandyMAN в разделе Помогите!
      Ответов: 16
      Последнее сообщение: 22.02.2009, 05:17
    3. ntos.exe
      От Dunkelheit в разделе Помогите!
      Ответов: 14
      Последнее сообщение: 02.10.2008, 17:53
    4. Последствия после ntos.exe
      От Aleks121 в разделе Помогите!
      Ответов: 7
      Последнее сообщение: 08.06.2008, 12:14
    5. ntos.exe!
      От 912095 в разделе Вредоносные программы
      Ответов: 7
      Последнее сообщение: 16.08.2007, 12:36

    Свернуть/Развернуть Ваши права в разделе

    • Вы не можете создавать новые темы
    • Вы не можете отвечать в темах
    • Вы не можете прикреплять вложения
    • Вы не можете редактировать свои сообщения
    •  
    Page generated in 0.00250 seconds with 17 queries