Показано с 1 по 14 из 14.

большой файл в системной папке.. (заявка № 22135)

  1. #1
    Junior Member Репутация
    Регистрация
    23.04.2008
    Сообщений
    7
    Вес репутации
    39

    Exclamation большой файл в системной папке..

    Здравствуйте. Вдруг обнаружил, что на системном диске катастрофически не хватает места. Проверка антивирусами ничего не дала. Начал искать, что съедает пространство и обнаружил в паке Windows\Sistem32\ файл с подозрительным именем «698697763b.sys» объемом примерно 4,3 Гига, и это при том, что сама папка с Windows занимает 7,150 Гиг (вместе с этим файлом). Просто удалить не решаюсь, т.к. во-первых - расширение sys, во вторых – файл скрытый и в третьих – он постоянно обновляется (практически каждую минуту меняется время создания). При отключении от сети обновляться перестает. Посмотрел его просмотрщиком: в появившейся абракодабре ясно просматриваются ссылки Интернет сайтов и цитаты из их содержимого.

    логи прилагаю.
    Вложения Вложения

  2. Будь в курсе!
    Реклама на VirusInfo

    Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

    Anti-Malware Telegram
     

  3. #2
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    26.12.2006
    Адрес
    Vladivostok
    Сообщений
    23,299
    Вес репутации
    1557
    Выполните скрипт в AVZ:
    Код:
    begin
    SearchRootkit(true, true);
    SetAVZGuardStatus(True);
    QuarantineFile('C:\WINDOWS\system32\wmfhotfix.dll','');
    QuarantineFile('C:\WINDOWS\system32\AcSignExtResv.exe','');
    QuarantineFile('C:\Program Files\Common Files\Target Marketing Agency\TMAgent\tmagent.dll','');
    DeleteFile('C:\Program Files\Common Files\Target Marketing Agency\TMAgent\tmagent.dll');
    BC_ImportALL;
    ExecuteSysClean;
    DelBHO('{35A6E2B1-27A9-47D2-913C-559E1EF1D034}');
    BC_QrSvc('Brouhcoercib');
    BC_DeleteSvc('Brouhcoercib');
    BC_Activate;
    RebootWindows(true);
    end.
    Компьютер перезагрузится.
    Пришлите карантин согласно приложению 3 правил
    (загружать тут: http://virusinfo.info/upload_virus.php?tid=22135).
    I am not young enough to know everything...

  4. #3
    Junior Member Репутация
    Регистрация
    23.04.2008
    Сообщений
    7
    Вес репутации
    39
    карантин выслал.
    логи прилагаю.
    Вложения Вложения

  5. #4
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    26.12.2006
    Адрес
    Vladivostok
    Сообщений
    23,299
    Вес репутации
    1557
    Карантин пустой. Выполните скрипт в безопасном режиме:
    Код:
    begin
    ClearQuarantine;
    SearchRootkit(true, true);
    SetAVZGuardStatus(True);
    QuarantineFile('C:\WINDOWS\system32\wmfhotfix.dll','');
    QuarantineFile('C:\WINDOWS\system32\AcSignExtResv.exe','');
    BC_ImportALL;
    BC_Activate;
    RebootWindows(true);
    end.
    После перезагрузки пришлите карантин по правилам.
    При формировании архива карантина антивирус отключите.
    I am not young enough to know everything...

  6. #5
    Junior Member Репутация
    Регистрация
    23.04.2008
    Сообщений
    7
    Вес репутации
    39
    отослал карантин, но при формировании всё таки забыл выключить др. веб. Повторить архивацию без др. веба и прислать вам карантин повторно?

  7. #6
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    26.12.2006
    Адрес
    Vladivostok
    Сообщений
    23,299
    Вес репутации
    1557
    AcSignExtResv.exe - Backdoor.Win32.IRCBot.bmm
    Для удаления выполните скрипт:
    Код:
    begin
    SearchRootkit(true, true);
    SetAVZGuardStatus(True);
     DeleteFile('C:\WINDOWS\system32\AcSignExtResv.exe');
    BC_ImportDeletedList;
     BC_DeleteSvc('NetmanImapiService');
    ExecuteSysClean;
    BC_Activate;
    RebootWindows(true);
    end.
    Интересует файл C:\WINDOWS\system32\wmfhotfix.dll - попробуйте добыть его вручную.
    I am not young enough to know everything...

  8. #7
    Junior Member Репутация
    Регистрация
    23.04.2008
    Сообщений
    7
    Вес репутации
    39
    При выполнении скрипта (при выключении) комп завис. Принудительная перезагрузка. При запуске выдал сообщение "не могу создать ps.log"

    Вышеуказанный файл прилагаю.
    Последний раз редактировалось krab; 27.04.2008 в 19:31.

  9. #8
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    26.12.2006
    Адрес
    Vladivostok
    Сообщений
    23,299
    Вес репутации
    1557
    Этот файл чистый. Уберите его из сообщения.

    Удалите ваш 4gb .sys файл, перезагрузитесь и проверьте, появляется он снова или нет. Сделайте еще раз логи.
    I am not young enough to know everything...

  10. #9
    Junior Member Репутация
    Регистрация
    23.04.2008
    Сообщений
    7
    Вес репутации
    39
    1. Убрать файл из сообщения не получается: пишет - нет прав.

    2. Что за файл 4gb .sys? Поиском в компе не обнаружил.

  11. #10
    Junior Member Репутация
    Регистрация
    23.04.2008
    Сообщений
    7
    Вес репутации
    39
    Только через час, с помощью сына, понял, что имя указанного Вами файла, это его размер. Все выполнил. Файл удалил. При перезагрузке файл 698697763b.sys не появился.

    Логи прилагаю.
    Вложения Вложения

  12. #11
    Banned Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    18.11.2007
    Сообщений
    3,293
    Вес репутации
    0
    1. Убрать файл из сообщения не получается: пишет - нет прав.
    Удаляйте через мой кабинет--разное--вложения. выбираете wmfhotfix.zip и удаляете.

  13. #12
    Junior Member Репутация
    Регистрация
    23.04.2008
    Сообщений
    7
    Вес репутации
    39
    О.К. удалил.

    Так, что с моим файлом? Что это было?

  14. #13
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    26.12.2006
    Адрес
    Vladivostok
    Сообщений
    23,299
    Вес репутации
    1557
    В логах все нормально.

    Я думаю, тот большой файл создавала программа Target Marketing Agency - это что-то рекламно-шпионское (удалена первым скриптом).
    I am not young enough to know everything...

  15. #14
    Cybernetic Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    29.12.2008
    Сообщений
    48,313
    Вес репутации
    956

    Итог лечения

    Статистика проведенного лечения:
    • Получено карантинов: 2
    • Обработано файлов: 8
    • В ходе лечения обнаружены вредоносные программы:
      1. c:\\windows\\system32\\acsignextresv.exe - Backdoor.Win32.IRCBot.bmm (DrWEB: BackDoor.IRC.Nite)


  • Уважаемый(ая) krab, наши специалисты оказали Вам всю возможную помощь по вашему обращению.

    В целях поддержания безопасности вашего компьютера настоятельно рекомендуем:

     

     

    Чтобы всегда быть в курсе актуальных угроз в области информационной безопасности и сохранять свой компьютер защищенным, рекомендуем следить за последними новостями ИТ-сферы портала Anti-Malware.ru:

     

     

    Anti-Malware VK

     

    Anti-Malware Telegram

     

     

    Надеемся больше никогда не увидеть ваш компьютер зараженным!

     

    Если Вас не затруднит, пополните пожалуйста нашу базу безопасных файлов.

  • Похожие темы

    1. Ответов: 3
      Последнее сообщение: 20.08.2011, 14:00
    2. Ответов: 6
      Последнее сообщение: 19.01.2010, 08:31
    3. Ответов: 7
      Последнее сообщение: 25.08.2009, 13:51
    4. Ответов: 15
      Последнее сообщение: 20.12.2007, 12:30
    5. Ответов: 5
      Последнее сообщение: 27.05.2007, 19:35

    Свернуть/Развернуть Ваши права в разделе

    • Вы не можете создавать новые темы
    • Вы не можете отвечать в темах
    • Вы не можете прикреплять вложения
    • Вы не можете редактировать свои сообщения
    •  
    Page generated in 0.00809 seconds with 17 queries