Показано с 1 по 14 из 14.

В корне локальных дисков создается файл autorun.inf (заявка № 43722)

  1. #1
    Junior Member Репутация
    Регистрация
    13.04.2009
    Сообщений
    7
    Вес репутации
    32

    Thumbs up В корне локальных дисков создается файл autorun.inf

    В корне локальных дисков создается файл autorun.inf с содержанием:
    Код:
    [autorun]
    ;jexivuwcnqdfmvttzluycuvfxblweyrjqeli
    shellexecute="RECYCLER\S-2-5-79-100022072-100019035-100031376-1866.com c:\"
    ;moeysmr
    shell\Open\command="RECYCLER\S-2-5-79-100022072-100019035-100031376-1866.com c:\"
    ;dndumnnpnrtlnuaumtzgjwkqps
    shell=Open
    Подозреваю, что есть какая-то гадость.
    В системе установлен антивирус Kaspersky Anti-Virus 6.0 for Windows Workstations с последними обновлениями. Никаких предупреждений о заражении с его стороны не было.
    Проверил утилитой Virus Removal Tool в автоматическом режиме - все чисто. Прилогаю отчет, сделаный утилитой, в ручном режиме.
    Выручайте...
    Вложения Вложения
    Последний раз редактировалось Rene-gad; 13.04.2009 в 15:07.

  2. Будь в курсе!
    Реклама на VirusInfo

    Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

    Anti-Malware Telegram
     

  3. #2
    VIP Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    07.07.2005
    Адрес
    Moscow region
    Сообщений
    30,462
    Вес репутации
    2499
    Лог HijackThis тоже надо сделать.

    Добавлено через 4 минуты

    Выполнить:
    Код:
    begin
    SearchRootkit(true, true);
    SetAVZGuardStatus(True);
    
    DeleteFile('D:\RECYCLER\S-2-5-79-100022072-100019035-100031376-1866.com');
    QuarantineFile('d:\RECYCLER\S-2-5-79-100022072-100019035-100031376-1866.com','');
     QuarantineFile('C:\autorun.inf','');
     QuarantineFile('D:\autorun.inf','');
     QuarantineFile('E:\autorun.inf','');
     QuarantineFile('I:\autorun.inf','');
    DeleteFile('E:\RECYCLER\S-2-5-79-100022072-100019035-100031376-1866.com');
    QuarantineFile('E:\RECYCLER\S-2-5-79-100022072-100019035-100031376-1866.com','');
    DeleteFile('I:\RECYCLER\S-2-5-79-100022072-100019035-100031376-1866.com');
    QuarantineFile('I:\RECYCLER\S-2-5-79-100022072-100019035-100031376-1866.com','');
    ExecuteRepair(6);
    ExecuteRepair(8);
     DeleteFile('I:\autorun.inf');
     DeleteFile('E:\autorun.inf');
     DeleteFile('D:\autorun.inf');
     DeleteFile('C:\autorun.inf');
    BC_ImportDeletedList;
    ExecuteSysClean;
    BC_Activate;
    RebootWindows(true);
    end.
    Сделать новые логи.
    Загрузить карантин по http://virusinfo.info/upload_virus.php?tid=43722
    Последний раз редактировалось PavelA; 13.04.2009 в 14:46. Причина: Добавлено
    Павел
    AVZ HijackThis помощь с 10-00 до 18-00МСК

    Windows7, SEP(work)
    WindowsXP KIS(home)

    На up не реагирую

  4. #3
    Junior Member Репутация
    Регистрация
    13.04.2009
    Сообщений
    7
    Вес репутации
    32
    Выполнил скрипт. Загрузил карантин. Сделал новые логи
    Вложения Вложения
    Последний раз редактировалось Rene-gad; 13.04.2009 в 15:07.

  5. #4
    VIP Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    07.07.2005
    Адрес
    Moscow region
    Сообщений
    30,462
    Вес репутации
    2499
    Чего-то я поторопился. Сейчас скрипт поправлю и надо его будет повторить.

    Настройки сети Ваши:
    Код:
    O17 - HKLM\System\CCS\Services\Tcpip\..\{15ED9123-6CF9-4D60-A48D-F23C4DE4C9DF}: NameServer = 85.255.112.106,85.255.112.128
    O17 - HKLM\System\CCS\Services\Tcpip\..\{99CF9021-F67D-4499-9AA4-B250E5B210FA}: NameServer = 77.106.108.135,77.106.109.139
    O17 - HKLM\System\CS1\Services\Tcpip\Parameters: NameServer = 85.255.112.106,85.255.112.128
    O17 - HKLM\System\CS2\Services\Tcpip\Parameters: NameServer = 85.255.112.187,85.255.112.208
    O17 - HKLM\System\CCS\Services\Tcpip\Parameters: NameServer = 85.255.112.106,85.255.112.128
    Если нет, то профиксить.

    Добавлено через 6 минут

    И еще выполнить вот этот:
    Код:
    begin
    SearchRootkit(true, true);
    SetAVZGuardStatus(True);
     QuarantineFile('C:\WINDOWS\system32\dll.dll','');
     QuarantineFile('C:\WINDOWS\TEMP\tempo-84025312.tmp','');
    BC_ImportAll;
    ExecuteSysClean;
    BC_Activate;
    RebootWindows(true);
    end.
    Карантин загрузить.
    Последний раз редактировалось PavelA; 13.04.2009 в 14:50. Причина: Добавлено
    Павел
    AVZ HijackThis помощь с 10-00 до 18-00МСК

    Windows7, SEP(work)
    WindowsXP KIS(home)

    На up не реагирую

  6. #5
    Junior Member Репутация
    Регистрация
    13.04.2009
    Сообщений
    7
    Вес репутации
    32
    Пофиксил настройки сети. Выполнил скрипт. Карантин загружен. И еще раз логи, если нужно
    Вложения Вложения
    Последний раз редактировалось cenod; 13.04.2009 в 15:09. Причина: КАРАНТИН В ТЕМЕ

  7. #6
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    03.04.2006
    Сообщений
    21,108
    Вес репутации
    3000
    Цитата Сообщение от cenod Посмотреть сообщение
    И еще раз логи, если нужно
    Разницу между ЛОГОМ и КАРАНТИНОМ понимаете?

  8. #7
    Junior Member Репутация
    Регистрация
    13.04.2009
    Сообщений
    7
    Вес репутации
    32
    Цитата Сообщение от Rene-gad Посмотреть сообщение
    Разницу между ЛОГОМ и КАРАНТИНОМ понимаете?
    Да, понимаю. Прошу прощения, просто запарился...

  9. #8
    VIP Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    07.07.2005
    Адрес
    Moscow region
    Сообщений
    30,462
    Вес репутации
    2499
    Выполнить:
    Код:
    begin
    SearchRootkit(true, true);
    SetAVZGuardStatus(True);
    DeleteFile('C:\WINDOWS\TEMP\tempo-84025312.tmp');
     DeleteFile('I:\autorun.inf');
     DeleteFile('E:\autorun.inf');
     DeleteFile('D:\autorun.inf');
     DeleteFile('C:\autorun.inf');
    BC_ImportDeletedList;
    ExecuteSysClean;
    BC_Activate;
    RebootWindows(true);
    end.
    Повторить логи.
    Павел
    AVZ HijackThis помощь с 10-00 до 18-00МСК

    Windows7, SEP(work)
    WindowsXP KIS(home)

    На up не реагирую

  10. #9
    Junior Member Репутация
    Регистрация
    13.04.2009
    Сообщений
    7
    Вес репутации
    32

  11. #10
    VIP Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    07.07.2005
    Адрес
    Moscow region
    Сообщений
    30,462
    Вес репутации
    2499
    Вроде бы справились. Теперь надо отключить автозапуск флешек (см. "Чаво"),
    поставить обновления системы, и решить вопросы из низа лога.
    Павел
    AVZ HijackThis помощь с 10-00 до 18-00МСК

    Windows7, SEP(work)
    WindowsXP KIS(home)

    На up не реагирую

  12. #11
    Junior Member Репутация
    Регистрация
    13.04.2009
    Сообщений
    7
    Вес репутации
    32
    решить вопросы из низа лога
    Не понял, какие вопросы?

  13. #12
    VIP Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    07.07.2005
    Адрес
    Moscow region
    Сообщений
    30,462
    Вес репутации
    2499
    Вот эти все дела:

    >> Службы: разрешена потенциально опасная служба RemoteRegistry (Удаленный реестр)
    >> Службы: разрешена потенциально опасная служба TermService (Службы терминалов)
    >> Службы: разрешена потенциально опасная служба SSDPSRV (Служба обнаружения SSDP)
    >> Службы: разрешена потенциально опасная служба Messenger (Служба сообщений)
    >> Службы: разрешена потенциально опасная служба Schedule (Планировщик заданий)
    >> Службы: разрешена потенциально опасная служба mnmsrvc (NetMeeting Remote Desktop Sharing)
    >> Службы: разрешена потенциально опасная служба RDSessMgr (Диспетчер сеанса справки для удаленного рабочего стола)
    > Службы: набор применяемых на компьютере служб зависит от области его применения (домашний, компьютер в сети предприятия и т.д.)!
    >> Безопасность: разрешен автозапуск программ с CDROM
    >> Безопасность: разрешен административный доступ к локальным дискам (C$, D$ ...)
    >> Безопасность: к компьютеру разрешен доступ анонимного пользователя
    >> Безопасность: разрешены терминальные подключения к компьютеру
    >> Безопасность: разрешена отправка приглашений удаленному помошнику
    >> Отключить автозапуск с жестких дисков
    >> Отключить автозапуск с сетевых дисков
    >> Отключить автозапуск с CD-ROM
    >> Отключить автозапуск с съемных носителей
    >> Отключено автоматическое обновление системы (Windows Update)
    Павел
    AVZ HijackThis помощь с 10-00 до 18-00МСК

    Windows7, SEP(work)
    WindowsXP KIS(home)

    На up не реагирую

  14. #13
    Junior Member Репутация
    Регистрация
    13.04.2009
    Сообщений
    7
    Вес репутации
    32
    Ясно. Думаю, с этим я сам разберусь.
    Спасибо за помощь!

  15. #14
    Cybernetic Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    29.12.2008
    Сообщений
    48,318
    Вес репутации
    953

    Итог лечения

    Статистика проведенного лечения:
    • Получено карантинов: 2
    • Обработано файлов: 13
    • В ходе лечения обнаружены вредоносные программы:
      1. c:\windows\temp\tempo-84025312.tmp - Trojan.Win32.Agent.cbdu


  • Уважаемый(ая) cenod, наши специалисты оказали Вам всю возможную помощь по вашему обращению.

    В целях поддержания безопасности вашего компьютера настоятельно рекомендуем:

     

     

    Чтобы всегда быть в курсе актуальных угроз в области информационной безопасности и сохранять свой компьютер защищенным, рекомендуем следить за последними новостями ИТ-сферы портала Anti-Malware.ru:

     

     

    Anti-Malware VK

     

    Anti-Malware Telegram

     

     

    Надеемся больше никогда не увидеть ваш компьютер зараженным!

     

    Если Вас не затруднит, пополните пожалуйста нашу базу безопасных файлов.

  • Похожие темы

    1. В корне дисков появляется файл Documents.scr
      От Arhimed в разделе Помогите!
      Ответов: 2
      Последнее сообщение: 20.10.2009, 23:00
    2. Замучал autorun.inf в корне логических дисков...
      От splaiter в разделе Помогите!
      Ответов: 5
      Последнее сообщение: 22.02.2009, 07:23
    3. Ответов: 4
      Последнее сообщение: 22.02.2009, 03:39
    4. Ответов: 1
      Последнее сообщение: 30.01.2009, 11:48
    5. Ответов: 15
      Последнее сообщение: 16.11.2008, 15:05

    Свернуть/Развернуть Ваши права в разделе

    • Вы не можете создавать новые темы
    • Вы не можете отвечать в темах
    • Вы не можете прикреплять вложения
    • Вы не можете редактировать свои сообщения
    •  
    Page generated in 0.00246 seconds with 17 queries