Снова Qhost

[new]

Здравствуйте, помогите, пожалуйста! Qhost опять на компьютере появился, я понял с какого сайта троян попадает - больше туда просто не буду заходить.
Опять есть файл ntfs_ext7.exe. И подозрительный файл loqk.pso
Заранее спасибо.

[snifer67]

Выполните скрипт в avz

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 DeleteService('catchme');
 QuarantineFile('\\?\globalroot\systemroot\system32\ntfs_ext7.exe','');
 QuarantineFile('C:\WINDOWS\system32\loqk.pso','');
 DeleteFile('C:\WINDOWS\system32\loqk.pso');
 DeleteFile('C:\DOCUME~1\Fedadm\LOCALS~1\Temp\catchme.sys');
 DeleteFile('\\?\globalroot\systemroot\system32\ntfs_ext7.exe');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','NTFS_ext_drv');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
ExecuteRepair(16);
RebootWindows(true);
end.

ПК перезагрузится.

Пришлите карантин согласно Приложения 3 правил по красной ссылке Прислать запрошенный карантин вверху темы

Пофиксить в HijackThis(некоторых строчек может и не быть)

F2 - REG:system.ini: Shell=explorer.exe rundll32.exe loqk.pso dqqgra

ПК перезагрузите.

Сделайте новые логи.

[new]

Скрипт выполнил.
Карантин отправил.
Пофиксить в HijackThis - такой строки не было.
Вот новые логи.

[thyrex]

Ничего плохого не увидел

[new]

Сообщений об попытке изменения файла host больше небыло).
Подскажите еще где можно посмотреть информацию про написание скриптов под avz?
Файл loqk.pso в ручную не как не удалялся. Очень бы хотелось самому научиться с помощью скриптов удалять подозрительные файлы.

[Rene-gad]

Очень бы хотелось самому научиться с помощью скриптов удалять подозрительные файлы.

Подозрительные файлы удалять НИКОГДА не надо, их надо анализировать.
Насчёт научиться: http://virusinfo.info/profile.php?do=editusergroups и подайте заявку в Студенты.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 2
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\windows\system32\loqk.pso - Backdoor.Win32.Bredavi.asm ( DrWEB: Trojan.DownLoad1.11049, AVAST4: Win32:Oficla-D [Trj] )
  2. \\?\globalroot\systemroot\system32\ntfs_ext7.exe - Packed.Win32.Katusha.i ( DrWEB: Trojan.Inject.6510, BitDefender: Trojan.Generic.2662479 )