Вирус отключает службу брандмауэра и закрывает доступ по сети к этому компьютеру

**ovmiev** · 02.02.2009, 16:07

Вирус отключает службу брандмауэра и закрывает доступ по сети к этому компьютеру. Nod 32 не видит, передается через флэшки, модифицирует эксплорер. Explorer.exe C:\WINDOWS\system32\drivers\SbCtri.exe Avz его удаляет, а как восстановить доступ по сети не знаю.

Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

**Гриша** · 02.02.2009, 16:09

AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".

Код:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('F:\RECYCLER\S-1-6-21-2434476501-1644491937-600003330-1213\SbCtr.exe','');
 QuarantineFile('F:\autorun.inf','');
 DeleteService('Service Controler');
 SetServiceStart('Service Controler', 4);
 StopService('Service Controler');
 QuarantineFile('c:\windows\system32\drivers\sbctri.exe','');
 TerminateProcessByName('c:\windows\system32\drivers\sbctri.exe');
 DeleteFile('c:\windows\system32\drivers\sbctri.exe');
 DeleteFile('F:\autorun.inf');
 DeleteFile('F:\RECYCLER\S-1-6-21-2434476501-1644491937-600003330-1213\SbCtr.exe');
BC_ImportALL;  
ExecuteSysClean;
BC_DeleteSvc('Service Controler');    
BC_Activate;
ExecuteRepair(16);    
RebootWindows(true);
end.

Пришлите карантин по правилам и повторите логи...

**ovmiev** · 02.02.2009, 17:02

Сделал скрипт, создались файлы в папке карантин

**Гриша** · 02.02.2009, 17:05

Удалите архив и прочитайте на будущее приложение 3 правил...

**Bratez** · 02.02.2009, 17:08

Карантин надо загружать по красной ссылке вверху темы, а сюда - новые логи.

Добавлено через 2 минуты

Кстати, ваш карантин пуст.

**ovmiev** · 02.02.2009, 17:14

После того как отправил вам логи, почистил компьютер AVZ, вирус удален, а доступ к компьютеру восстановить не могу. Попытаюсь опять заразить компьютер и прислать карантин.

Добавлено через 1 минуту

Есть еще в папке карантин файлы с расширением DTA, правда созданы они часом ранее, может это карантин?

**Гриша** · 02.02.2009, 17:14

Пришлите что есть...

**ovmiev** · 02.02.2009, 17:47

правильно прислал?

**Гриша** · 02.02.2009, 17:55

Да, логи повторите...

**ovmiev** · 02.02.2009, 18:39

Новые логи

**Гриша** · 02.02.2009, 19:51

В логах чисто, установите SP3+all updates...

**ovmiev** · 02.02.2009, 20:35

В логах чисто, только доступ к зараженному компьютеру не восстановлен, SP3 не помогает, так же не помогает восстановление windows. Помогает только восстановление системы, но не на всех компьютерах его можно провести. Когда запускаю брандмауэр, там неактивен выбор включения или выключения брандмауэра.

**Bratez** · 03.02.2009, 04:52

Посмотрите тут:
http://virusinfo.info/showthread.php?t=30079
и тут:
http://virusinfo.info/showthread.php?t=12078

**ovmiev** · 03.02.2009, 12:28

Брандмауэр заработал, а доступ к компьютеру по сети нет. При попытке зайти на него пишет: Нет доступа. возможно у вас нет прав на использование этого сетевого ресурса. Вход в систему не произведен: выбранный режим входа для данного пользователя на этом компьютере не предусмотрен.

Добавлено через 2 часа 53 минуты

Все разобрался, в локальной политике безопасности не был разрешен доступ Гостю по сети.

**CyberHelper** · 04.02.2009, 12:28

Статистика проведенного лечения:

Получено карантинов: 2
Обработано файлов: 16
В ходе лечения обнаружены вредоносные программы:
1. c:\windows\system32\drivers\sbctri.exe - Backdoor.Win32.SdBot.jtm (DrWEB: BackDoor.IRC.Sdbot.4639)
2. f:\autorun.inf - Worm.Win32.AutoRun.dui
3. f:\recycler\s-1-6-21-2434476501-1644491937-600003330-1213\sbctr.exe - Backdoor.Win32.SdBot.jtm (DrWEB: BackDoor.IRC.Sdbot.4639)

Вирус отключает службу брандмауэра и закрывает доступ по сети к этому компьютеру (заявка № 38783)

Опции темы