Подозрения на вирусы

**roach** · 27.07.2009, 15:49

Макафи ругался на рассылку почты services.exe

Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

**thyrex** · 27.07.2009, 16:13

Отключить восстановление системы

Выполните скрипт в AVZ

Код:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DelCLSID('{67KLN5J0-4OPM-33WE-AAX5-34KC2A3453431}');
 QuarantineFile('C:\Program Files\CCS\Temp\217222A.tmp','');
 QuarantineFile('C:\SETUP\DATA\June.exe','');
 DelBHO('{35A6E2B1-27A9-47D2-913C-559E1EF1D034}');
 QuarantineFile('C:\Program Files\Common Files\Target Marketing Agency\TMAgent\tmagent.dll','');
 QuarantineFile('crypts.dll','');
 QuarantineFile('digiwet.dll','');
 QuarantineFile('C:\Documents and Settings\user\Application Data\WindowsLive.exe','');
 QuarantineFile('00000A56.sys','');
 TerminateProcessByName('c:\program files\common files\target marketing agency\tmagent\tmasrv.exe');
 QuarantineFile('c:\program files\common files\target marketing agency\tmagent\tmasrv.exe','');
 TerminateProcessByName('c:\windows\system32\servises.exe');
 QuarantineFile('c:\windows\system32\servises.exe','');
 DeleteFile('c:\windows\system32\servises.exe');
 DeleteFile('c:\program files\common files\target marketing agency\tmagent\tmasrv.exe');
 DeleteFile('00000A56.sys');
 DeleteFile('C:\Documents and Settings\user\Application Data\WindowsLive.exe');
 DeleteFile('digiwet.dll');
 DeleteFile('crypts.dll');
 DeleteFile('C:\Program Files\Common Files\Target Marketing Agency\TMAgent\tmagent.dll');
 DeleteFile('C:\SETUP\DATA\June.exe');
 DeleteFile('C:\Program Files\CCS\Temp\217222A.tmp');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.

Пришлите карантин согласно Приложения 3 правил по красной ссылке Прислать запрошенный карантин вверху темы

Обновить базы AVZ
Сделайте новые логи

**roach** · 27.07.2009, 16:42

сюда карантин почемуто не получилось выложить, выложил на свой локальный сервис, извините(((:
http://share.bashtel.ru/download.php...0b95cc0eae790a
новые логи прилагаются тоже

**Bratez** · 27.07.2009, 16:50

Отключите восстановление системы!
Пофиксите в HijackThis:

Код:

O1 - Hosts: 88.198.72.190 css.yandex.net #AdwMtam_MicroSoft
O3 - Toolbar: ICQToolBar - {855F3B16-6D32-4fe6-8A56-BBB695989046} - C:\Program Files\ICQ6Toolbar\ICQToolBar.dll (file missing)
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O9 - Extra button: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Program Files\ICQ6.5\ICQ.exe (file missing)
O9 - Extra 'Tools' menuitem: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Program Files\ICQ6.5\ICQ.exe (file missing)
O20 - Winlogon Notify: crypt - C:\WINDOWS\

Отключив интернет и антивирус, выполните скрипт в AVZ:

Код:

begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\system32\drivers\eneorz.sys','');
 DeleteFile('C:\WINDOWS\system32\drivers\eneorz.sys');
BC_ImportALL;
ExecuteSysClean;
BC_DeleteSvc('ljoqykqv');
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.
Пришлите новый карантин согласно приложению 3 правил.
Повторите логи.

**roach** · 27.07.2009, 17:16

на компьютере стоит винда порезаная гейм едишн, там вкладки восстановления системы нету)) (скрин прикрепил)

Файл сохранён как 090727_171727_virus_4a6da8e740f88.zip
Размер файла 495851
MD5 365417abd3a19ad5f960837631d1a5b7
Файл закачан, спасибо!

**Bratez** · 27.07.2009, 17:24

Выполните скрипт:

Код:

begin
ExecuteRepair(13);
ExecuteRepair(6);
ExecuteRepair(8);
RegKeyIntParamWrite( 'HKLM', 'SOFTWARE\Microsoft\Windows\CurrentVersion\policies\NonEnum', '{BDEADF00-C265-11D0-BCED-00A0C90AB50F}', 1);
RebootWindows(true); 
end.

После перезагрузки проверьте наличие вкладки "Восстановление системы". Если появится - отключите для профилактики.

Деинсталлируйте программу Target Marketing Agency.

В логах больше ничего плохого не видно.

**roach** · 27.07.2009, 18:51

скрипт выполнил, но вкладки не появилось
прогу деинсталировал

после всех сегодняшних манипуляций не пускается сервис макафи - висит в службах с надписью "приостановлено"

Добавлено через 1 час 9 минут

проблемы были в самой макаке - переустановил - вроде все работает

всем спасибо!

**CyberHelper** · 28.07.2009, 18:51

Статистика проведенного лечения:

Получено карантинов: 1
Обработано файлов: 2
В ходе лечения обнаружены вредоносные программы:
1. c:\windows\system32\drivers\eneorz.sys - Rootkit.Win32.Pakes.ou ( DrWEB: Trojan.NtRootKit.2714, BitDefender: Trojan.Generic.1642169 )

Подозрения на вирусы (заявка № 50787)

Опции темы