Посмотрите логи после лечения

**mrHill** · 12.11.2009, 11:41

Комп стал долго грузиться. Посмотрите логи, плс. Было удалено пару вирусов.

Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

**snifer67** · 12.11.2009, 11:52

Выполните скрипт в avz

Код:

begin
DeleteFileMask(GetAVZDirectory+'Quarantine', '*.*', true);
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\Documents and Settings\ludabux1\tgw.exe','');
 QuarantineFile('C:\WINDOWS\msmacro64.exe','');
 QuarantineFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1455\fresdg.exe','');
 DeleteFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1455\fresdg.exe');
 DeleteFile('C:\WINDOWS\msmacro64.exe');
 DeleteFile('C:\Documents and Settings\ludabux1\tgw.exe');
 RegKeyParamDel('HKEY_USERS','.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run','msmacro32');
 RegKeyParamDel('HKEY_USERS','S-1-5-18\Software\Microsoft\Windows\CurrentVersion\Run','msmacro32');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

ПК перезагрузится.

Пришлите карантин согласно Приложения 3 правил по красной ссылке Прислать запрошенный карантин вверху темы

Сделайте новые логи.

**mrHill** · 12.11.2009, 12:41

выполнил

после выполнени скрипта и перезагрузки, в топике появился не тот ответ и скрипт который я выполнял. Страно

**DefesT** · 12.11.2009, 12:44

Скрипт тот не выполняйте.
Отключите компьютер от интернета, а также антивирус и/или файрвол.
Закройте все программы, выполните скрипт в AVZ:

Код:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\system32\sdra64.exe','');
 QuarantineFile('C:\WINDOWS\system32\CRYPTO32W.DLL','');
 DeleteFile('C:\WINDOWS\system32\sdra64.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится!!!
Пришлите карантин по ссылке согласно правил Прислать запрошенный карантин вверху темы. Сделайте новые логи по правилам
Вы пользуетесь WebMoney Advisor?

**mrHill** · 12.11.2009, 12:49

я выполнил скрипт который был вначале
Адвизором не пользуюсь

**DefesT** · 12.11.2009, 12:51

выполните последний скрипт.
Пришлите карантин по ссылке согласно правил Прислать запрошенный карантин вверху темы. После сделайте новые логи по правилам

**mrHill** · 12.11.2009, 13:41

выполнил. карантин второй раз не захотел загружаться:Ошибка загрузки. Данный файл уже был загружен

**Rene-gad** · 12.11.2009, 13:48

C:\WINDOWS\system32\CRYPTO32W.DLL пришлите по правилам (приложения 2 и 3)

**mrHill** · 12.11.2009, 13:50

обратил внимание, что в логах АВП в разделе подозрительные объекты каждый раз разный файл

Добавлено через 1 минуту

выслал карантин

**DefesT** · 12.11.2009, 14:25

Карантин получен:
C:\WINDOWS\system32\sdra64.exe - Trojan-Banker.Win32.Bancos.icm
C:\WINDOWS\system32\CRYPTO32W.DLL - похоже новый зловред
Я не зря спрашивал про WebMoney Advisor, желательно поменять пароли
Отключите компьютер от интернета, а также антивирус и/или файрвол.
Закройте все программы, выполните скрипт в AVZ:

Код:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 DeleteFile('C:\WINDOWS\system32\CRYPTO32W.DLL');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится!!!
Сделайте новые логи по правилам - virusinfo_syscheck.zip и hijackthis.log

Сообщение от mrHill

обратил внимание, что в логах АВП в разделе подозрительные объекты каждый раз разный файл

spln.sys - Вы про этот, например? он не зловредный!

**mrHill** · 12.11.2009, 14:52

обратил внимание, БАТ не отправляет почту, т.е. письмо уходит, а до адресата не доходит

Добавлено через 17 минут

Не могу загрузить логи: пишет, что превысил предел вложений

**mrHill** · 12.11.2009, 14:55

выполнил

**DefesT** · 12.11.2009, 14:57

Пофиксите в Hijackthis:

Код:

O21 - SSODL: WebCheck - {FF4EC53A-CA51-9A39-6CDD-5FFB26FB445C} - CRYPTO32W.DLL (file missing)

выполните скрипт в AVZ:

Код:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 DeleteFile('C:\WINDOWS\system32\CRYPTO32W.DLL');
 DeleteFile('CRYPTO32W.DLL');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad','WebCheck');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Сделайте новый лог - virusinfo_syscheck.zip
п.с. C:\WINDOWS\system32\CRYPTO32W.DLL - уже детектируется антивирусом Касперского как Trojan.Win32.Delf.rmb

**mrHill** · 12.11.2009, 15:17

выполнил

как решить это?
9. Мастер поиска и устранения проблем
>> Таймаут завершения процессов находится за пределами допустимых значений
>> Заблокирован пункт меню Справка и техподдержка
>> Разрешен автозапуск с HDD
>> Разрешен автозапуск с сетевых дисков
>> Разрешен автозапуск со сменных носителей

**DefesT** · 12.11.2009, 15:23

Сообщение от mrHill

как решить это?
9. Мастер поиска и устранения проблем
>> Таймаут завершения процессов находится за пределами допустимых значений
>> Заблокирован пункт меню Справка и техподдержка
>> Разрешен автозапуск с HDD
>> Разрешен автозапуск с сетевых дисков
>> Разрешен автозапуск со сменных носителей

AVZ - меню "Файл" - Мастер поиска и устранения проблем
В логе чисто

**mrHill** · 12.11.2009, 15:23

Спасибо за помощь!

**CyberHelper** · 13.11.2009, 15:23

Статистика проведенного лечения:

Получено карантинов: 2
Обработано файлов: 3
В ходе лечения обнаружены вредоносные программы:
1. c:\windows\system32\crypto32w.dll - Trojan.Win32.Delf.rmb ( BitDefender: Trojan.Generic.2671326, AVAST4: Win32:Trojan-gen )
2. c:\windows\system32\sdra64.exe - Trojan-Banker.Win32.Bancos.icm ( DrWEB: Trojan.DownLoad.41506, AVAST4: Win32:Rootkit-gen [Rtk] )

Посмотрите логи после лечения (заявка № 60040)

Опции темы