Посмотрите пожалуйста логи

**Alexey1980** · 11.07.2008, 09:55

Вчера при каждой загрузке NOD32 находил Win32/Wigon.CK, а потом Win32/Wigon.CG. Выполнил диагностику в соответствии с инструкцией, посмотрите пожалуйста логи.

Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

**V_Bond** · 11.07.2008, 10:22

выполните скрипт ...

Код:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\system32\ntos.exe','');
 QuarantineFile('crypts.dll','');
 QuarantineFile('C:\WINDOWS\system32\rwssapi.dll','');
 QuarantineFile('WinCtrl32.dll','');
 QuarantineFile('C:\Documents and Settings\bezrukova\svchost.exe','');
 QuarantineFile('C:\Documents and Settings\LocalService\svchost.exe','');
 QuarantineFile('C:\WINDOWS\System32\Drivers\Winlo36.sys','');
 BC_DeleteSvc('Winlo36');
 QuarantineFile('C:\WINDOWS\System32\Drivers\Winfj71.sys','');
 BC_DeleteSvc('Winfj71');
 BC_DeleteSvc('Wineh25');
 QuarantineFile('C:\WINDOWS\System32\Drivers\Wineh25.sys','');
 BC_DeleteSvc('Schedule');
 QuarantineFile('C:\WINDOWS\system32\drivers\services.exe','');
 DeleteFile('C:\WINDOWS\system32\drivers\services.exe');
 DeleteFile('C:\WINDOWS\System32\Drivers\Wineh25.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Winfj71.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Winlo25.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Winlo36.sys');
 DeleteFile('C:\Documents and Settings\LocalService\svchost.exe');
 DeleteFile('C:\Documents and Settings\bezrukova\svchost.exe');
 DeleteFile('WinCtrl32.dll');
 DeleteFile('crypts.dll');
 DeleteFile('C:\WINDOWS\system32\ntos.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

пришлите карантин согласно приложения 3 правил ...
повторите логи ...

**Alexey1980** · 11.07.2008, 11:25

Большое спасибо!
Логи повторил. Карантин отправил, дошел ли он?

**V_Bond** · 11.07.2008, 13:18

карантина нет ....

**Alexey1980** · 11.07.2008, 14:03

Отправил еще раз.

**V_Bond** · 11.07.2008, 15:24

в карантине только C:\WINDOWS\system32\ntos.exe Trojan-Spy.Win32.Zbot.cyn
C:\WINDOWS\system32\rwssapi.dll - пришлите согласно приложения 2 правил ....

**Alexey1980** · 11.07.2008, 18:20

В соответствие с п. 2 ввел файл, который Вы меня просили прислать. В окне протокола появилась на следующая запись:

Ошибка карантина файла, попытка прямого чтения (C:\WINDOWS\system32\rwssapi.dll)
Карантин с использованием прямого чтения - ошибка

В окне "просмотр карантина" единственный файл:
C:\WINDOWS\system32\ntos.exe

**V_Bond** · 11.07.2008, 20:17

выполните скрипт ...

Код:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 DeleteFile('C:\WINDOWS\system32\rwssapi.dll');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

какие-то проблемы остались ?

**Alexey1980** · 14.07.2008, 13:16

Спасибо большое за помощь. Все в порядке.

**CyberHelper** · 22.02.2009, 06:28

Статистика проведенного лечения:

Получено карантинов: 1
Обработано файлов: 1
В ходе лечения обнаружены вредоносные программы:
1. c:\\windows\\system32\\ntos.exe - Trojan-Spy.Win32.Zbot.cyn (DrWEB: Trojan.Packed.511)

Посмотрите пожалуйста логи (заявка № 26295)

Опции темы