Вирус(ы)

**falkk** · 27.04.2008, 19:08

Помогите пожайлуста на компе вирус, ах этот ntos.exe ....

Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

**drongo** · 27.04.2008, 19:18

А что это с вторым логом авз приключилось?

Отключить инет и антивирус.

Пофиксите в HijackThis:

Код:

O4 - HKCU\..\Run: [userinit] C:\WINDOWS\system32\ntos.exe
O20 - Winlogon Notify: WLCtrl32 - C:\WINDOWS\SYSTEM32\WLCtrl32.dll

Сразу же после фикса выполните скрипт в AVZ:

Код:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\system32\ntos.exe','');
 QuarantineFile('C:\WINDOWS\system32\DRIVERS\TVICHW32.SYS','');
 QuarantineFile('C:\WINDOWS\System32\Drivers\Oub17.sys','');
 QuarantineFile('C:\WINDOWS\system32\netdde.exe','');
 QuarantineFile('C:\WINDOWS\system32\msdtc.exe','');
 QuarantineFile('C:\WINDOWS\winlogon.exe','');
 QuarantineFile('C:\WINDOWS\system32\mnmsrvc.exe','');
 QuarantineFile('C:\WINDOWS\system32\Drivers\Vls40.sys','');
 QuarantineFile('C:\WINDOWS\system32\Drivers\Elr06.sys','');
 QuarantineFile('C:\WINDOWS\system32\drivers\btserial.sys','');
 QuarantineFile('C:\WINDOWS\system32\WLCtrl32.dll','');
 QuarantineFile('C:\WINDOWS\system32\wsnpoem\audio.dll','');
 DeleteFile('C:\WINDOWS\system32\wsnpoem\audio.dll');
 DeleteFile('C:\WINDOWS\winlogon.exe');
 DeleteFile('C:\WINDOWS\system32\WLCtrl32.dll');
 DeleteFile('C:\WINDOWS\system32\Drivers\Elr06.sys');
 DeleteFile('C:\WINDOWS\system32\Drivers\Vls40.sys');
 DeleteFile('C:\WINDOWS\system32\ntos.exe');
BC_ImportAll;
ExecuteSysClean;
ExecuteRepair(6);
ExecuteRepair(8);
BC_Activate;
RebootWindows(true);
end.

Прислать карантин согласно приложения 3 правил .
Загружать по ссылке: http://virusinfo.info/upload_virus.php?tid=22141

Сделать новые логи .

P.s. Вроде уже давно на форуме, а всё под админом зверей ловите

Не надоело?

**falkk** · 27.04.2008, 20:03

выслал карантин и сделал логи

**drongo** · 27.04.2008, 20:13

скачайте http://mail.ustc.edu.cn/~jfpan/downl...Sword122en.zip ,распаковать
,
Отключить инет и антивирус.

запустить
меню File - найдите
C:\WINDOWS\SYSTEM32\WLCtrl32.dll
C:\WINDOWS\system32\Drivers\Elr06.sys

правой кнопкой мыши - force delete ...
затем выполните скрипт avz :
1.

Код:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 DeleteFile('C:\WINDOWS\system32\WLCtrl32.dll');
 DeleteFile('C:\WINDOWS\system32\Drivers\Elr06.sys');
BC_ImportAll;
ExecuteSysClean;
ExecuteRepair(6);
ExecuteRepair(8);
BC_Activate;
RebootWindows(true);
end.

2.

Код:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\DOCUME~1\sasha\LOCALS~1\Temp\6F.tmp','');
 DeleteFile('C:\WINDOWS\system32\WLCtrl32.dll');
 DeleteFile('C:\WINDOWS\system32\Drivers\Elr06.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Oub17.sys');
 DeleteFile('WLCtrl32.dll');
 DeleteFile('Vls40.sys');
 DeleteFile('C:\WINDOWS\system32\Drivers\Vls40.sys');
BC_ImportALL;
ExecuteSysClean;
BC_QrSvc('Vls40');
BC_DeleteSvc('Vls40');
BC_DeleteSvc('Elr06');
BC_DeleteSvc('Oub17');
BC_Activate;
RebootWindows(true);
end.

**falkk** · 27.04.2008, 20:39

готово. вот логи

**drongo** · 27.04.2008, 20:41

c карантином вы промахнулись, в другой подпапке загляните, там должно много файлов быть

**falkk** · 27.04.2008, 21:08

Выслал карантин

**kps** · 27.04.2008, 21:24

Вы скрипт номер 2 из поста номер 4 выполнили? После него нужны новые логи, начиная с пункта 10 правил.

**falkk** · 27.04.2008, 21:29

скрипт номер 2 из поста номер 4 выдаёт
Ошибка скрипта: 'BEGIN' expected, позиция [1:1]

**V_Bond** · 27.04.2008, 21:30

добавте BEGIN в начало скрипта ...

**kps** · 27.04.2008, 21:31

После перезагрузки компьютера пришлите карантин и сделайте новые логи, начиная с пункта 10 правил.

**falkk** · 27.04.2008, 21:38

готово , карантин тоже выслал

**V_Bond** · 27.04.2008, 21:45

C:\WINDOWS\system32\mnmsrvc.exe
C:\DOCUME~1\sasha\LOCALS~1\Temp\6F.tmp
C:\WINDOWS\system32\netdde.exe
поищите через авз - сервис - поиск файлов на диске ... и пришлите по правилам ..

**drongo** · 27.04.2008, 21:48

мусор убрать в hijackthis

Код:

O20 - Winlogon Notify: WLCtrl32 - C:\WINDOWS\
O23 - Service: MSIServer - Unknown owner - C:\DOCUME~1\sasha\LOCALS~1\Temp\6F.tmp (file missing)

**falkk** · 27.04.2008, 22:06

C:\DOCUME~1\sasha\LOCALS~1\Temp\6F.tmp вот этого файла нет. а остальное выслал,
мусор убрал в hijackthis.

**V_Bond** · 27.04.2008, 22:50

выполните скрипт ...

Код:

begin
 ClearQuarantine;
end.

C:\WINDOWS\system32\mnmsrvc.exe
C:\WINDOWS\system32\netdde.exe
добавте через поиск авз и пришлите ...

**falkk** · 27.04.2008, 23:15

АВЗ файлы находит но в карантин добавить не могу.Жму Копировать отмеченные файлы в карантин ...захожу в карантин а там пусто.

**Гриша** · 27.04.2008, 23:25

Значит файлы проходят по базе безопасных потому и не копируются

**falkk** · 27.04.2008, 23:39

Так что делать дальше ?

**V_Bond** · 27.04.2008, 23:53

больше в логах ничего подозрительного ...
остались какие-то проблемы ?

Вирус(ы) (заявка № 22141)

Опции темы

Вирус(ы)

Ваши права в разделе