-
Junior Member
- Вес репутации
- 54
Найден Win32/Olmarik в оперативной памяти. ПОМОГИТЕ удалить!
На компьютере установлен НОД32 4
в оперативной памяти постоянно обнаруживается Win32/Olmarik а на экран выпадают картинки различного интимного содержания
ПЛИЗ ХЕЛП. Боюсь за ребёнка такое рано видеть
все необходимые логи прилагаются.
ЗАранее благодарен
-
Будь в курсе!
Будь в курсе!
Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:
-
Выполните скрипт в AVZ (AVZ, Меню Файл\Выполнить скрипт. Подробнее...):
Код:
begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
QuarantineFile('C:\WINDOWS\system32\twex.exe','');
QuarantineFile('C:\WINDOWS\system32\sdra64.exe','');
QuarantineFile('C:\WINDOWS\system32\01.tmp','');
DeleteService('ttquwif');
QuarantineFile('c:\windows\system32\drivers\port_nt.sys','');
QuarantineFile('c:\windows\system32\mssrv32.exe','');
DeleteService('msupdate');
DeleteFile('c:\windows\system32\mssrv32.exe');
DeleteFile('C:\WINDOWS\system32\01.tmp');
DeleteFile('C:\WINDOWS\system32\02.tmp');
DeleteFile('C:\WINDOWS\system32\sdra64.exe');
DeleteFile('C:\WINDOWS\system32\twex.exe');
BC_ImportAll;
ExecuteSysClean;
BC_DeleteSvc('ttquwif');
BC_DeleteSvc('msupdate');
ExecuteRepair(16);
SetAVZPMStatus(true);
BC_Activate;
RebootWindows(true);
end.
После выполнения скрипта компьютер перезагрузится.
После перезагрузки пришлите попавшие в карантин файлы согласно правилам (для отправки файлов следует воспользоваться ссылкой "Прислать запрошенные файлы" над первым сообщением темы).
Сделайте лог GMER по правилам - http://virusinfo.info/showthread.php?t=40118
Пофиксить в HJT (строки могут отсутствовать):
Код:
F2 - REG:system.ini: Shell=
F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,C:\WINDOWS\system32\sdra64.exe,
R3 - URLSearchHook: (no name) - - (no file)
O2 - BHO: MyCentria Internet Mate v2.0 - {FFFC57DB-1DE3-4303-B24D-CEE6DCDD3D86} - (no file)
Готовьте также новые логи AVZ.
-
-
Junior Member
- Вес репутации
- 54
итак:
1. Скрипт выполнен.
2. Перезагрузка компьютера выполнена.
3. Файлы карантина отосланы.
4. А вот лог GMER создать не удалось. после запуска программы начинается скан, и выпадает окошко с предупреждением "ваша система модифицирована" и на фоне видно подсвеченые красные строки:
Service C:\WINDOWS\system32\svchost.exe (*** hidden *** ) [AUTO] kgzrjmvwj <-- ROOTKIT !!!
Service C:\WINDOWS\system32\svchost.exe (*** hidden *** ) [AUTO] kwuatlfg <-- ROOTKIT !!!
Service C:\WINDOWS\system32\svchost.exe (*** hidden *** ) [AUTO] nuzurvohd <-- ROOTKIT !!!
Service C:\WINDOWS\system32\svchost.exe (*** hidden *** ) [AUTO] oqbhfax <-- ROOTKIT !!!
Service C:\WINDOWS\system32\svchost.exe (*** hidden *** ) [AUTO] qpszlfx <-- ROOTKIT !!!
Service C:\WINDOWS\system32\svchost.exe (*** hidden *** ) [AUTO] selprgqcz <-- ROOTKIT !!!
Service C:\WINDOWS\system32\drivers\TDSSmxwt.sys (*** hidden *** ) [SYSTEM] TDSSserv.sys <-- ROOTKIT !!!
Service C:\WINDOWS\system32\svchost.exe (*** hidden *** ) [AUTO] tfjdvghpn <-- ROOTKIT !!!
и и спрашивает "продолжить полное сканирование?" отвечаю да. начинается сканирование. Проходит буквально 20-30 секнд сканирования и данное приложение не отвечает, затем через 10 сек подвисает курсор мышки, в общем ступор всей системы. только ресет. Пробовал это процедуру - 8 раз. Результат - или подвисаем - или синий экран.
5. пофиксены строки в HJT. строки F2 отсутствовали.
6. сделаны новые логи AVZ и HijackThis.
Последний раз редактировалось deline; 22.09.2009 в 16:45.
-
Выполните скрипт в AVZ
Код:
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\drivers\TDSSmxwt.sys','');
DeleteFile('C:\WINDOWS\system32\drivers\TDSSmxwt.sys');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
Компьютер перезагрузится.
Пришлите карантин согласно Приложения 3 правил по красной ссылке Прислать запрошенный карантин вверху темы
Попробуйте теперь сделать лог gmer
Microsoft MVP 2012-2016 Consumer Security
Microsoft MVP 2016 Reconnect
-
-
Junior Member
- Вес репутации
- 54
Итак.
1. Скрипт выполнен.
2. Перегрузились
3. Карантин отправлен вам.
4. Лог gmer так и не удается зделать. те же грабли.
Ну и самое главное - НОД32 уже не показывает Олмарика в оперативе и скан по файлам тоже в порядке.
Я Вам очень признателен и благодарен господа
Есть необходимость делать AVZ логи и присылать вам?
ПС. Но при запуске gmer выскакивает всё тоже окно, и написаны всё те же красные строки...
-
Попробуйте воспользоваться этой программой.
-
-
+ пролечитесь от кидо.
Лог гмера после вышеозначенных процедур сделайте без сканирования файловой системы.
-
-
Итог лечения
Статистика проведенного лечения:
- Получено карантинов: 2
- Обработано файлов: 14
- В ходе лечения обнаружены вредоносные программы:
- c:\windows\system32\twex.exe - Trojan-Spy.Win32.Zbot.rua ( DrWEB: Trojan.Packed.366, BitDefender: Trojan.Generic.1460556, AVAST4: Win32:Falder [Trj] )
Рекомендации:
- Обнаружены троянские программы класса Trojan-PSW/Trojan-Spy - настоятельно рекомендуется поменять все пароли !
-