меня атакует P001.exe

[Натали09]

Добрый вечер!
На мой компьютер напала свора вирусов, NOD не помогает.
В день нападает до 200 вирусов P001.exe. Когда подключен интернет - система виснет...
пож. пом., плз

[vegas]

Прочитайте и выполните Правила http://virusinfo.info/pravila.html

[Натали09]

Забыла добавить логи. Исправляюсь...

[vegas]

Выполните скрипт

begin
 SearchRootkit(true,true);
 SetAVZGuardStatus(true);
 QuarantineFile('C:\WINDOWS\system32\ynhba.dll','');
 QuarantineFile('C:\WINDOWS\system32\twain_32.dll','');
 QuarantineFile('C:\WINDOWS\system32\qjtmj.dll','');
 QuarantineFile('C:\WINDOWS\system32\jrgeo.dll','');
 QuarantineFile('C:\WINDOWS\system32\wqzalin.tmp','');
 QuarantineFile('C:\WINDOWS\system32\fqlrjrf.tmp','');
 QuarantineFile('Nlrporsw.sys','');
 QuarantineFile('c:\docume~1\networ~1\applic~1\yrsxe\yvqrx.dll','');
 DeleteFile('c:\docume~1\networ~1\applic~1\yrsxe\yvqrx.dll');
 DeleteFile('C:\WINDOWS\system32\fqlrjrf.tmp');
 DeleteFile('C:\WINDOWS\system32\wqzalin.tmp');
 DeleteFile('C:\WINDOWS\system32\jrgeo.dll');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SYSTEM\CurrentControlSet\Services\ias\Parameters','ServiceDll');
 DeleteFile('C:\WINDOWS\system32\qjtmj.dll');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SYSTEM\CurrentControlSet\Services\6to4\Parameters','ServiceDll');
 DeleteFile('C:\WINDOWS\system32\ynhba.dll');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SYSTEM\CurrentControlSet\Services\ynhba\Parameters','ServiceDll');
 BC_ImportALL;
 BC_DeleteSvc('ShadowC');
 BC_DeleteSvc('cass');
 ExecuteSysClean;
 BC_Activate;
 RebootWindows(true);
end.

Закачайте карантин по красной ссылке вверху. Повторите логи

[Натали09]

еще вопрос: как запретить анонимный доступ с сети?

[vegas]

Что с проблемами? P001.exe так и появляются? CDBurnerXP у вас установлена?

[Натали09]

Добрый вечер,
P001 больше не видела,
но теперь с завидной регулярностью заходят в гости:
hттp://218.60.128.24:88/nb.exe Win32/AutoRun.Agent.TS
hттp://218.60.128.24:88/ds.exe модифицированный Win32/Аgent.NWM троян
CDBurnerXP не установлен, по моему

[vegas]

Выполните скрипт

begin
 SearchRootkit(true,true);
 SetAVZGuardStatus(true);
 DeleteFile('Nlrporsw.sys');
 DeleteFile('C:\Documents and Settings\Администратор\Local Settings\Temp\{B6CD014B-A8C8-41DE-B54A-669D0F54EEBE}\NMSAccessU.exe');
 RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Control\LSA','RestrictAnonymous', 2);
 RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Control\Terminal Server','fAllowToGetHelp', 0);
 SetServiceStart('RDSessMgr', 4);
 SetServiceStart('mnmsrvc', 4);
 SetServiceStart('RemoteRegistry', 4);
 BC_ImportALL;
 BC_DeleteSvc('NMSAccessU');
 BC_DeleteSvc('Nlrporsw');
 ExecuteSysClean;
 BC_LogFile(GetAVZDirectory + 'boot_cleaner.log');
 BC_Activate;
 RebootWindows(true);
end.

Обновите базы AVZ, лог virusinfo syscheck повторите.

еще вопрос: как запретить анонимный доступ с сети?

Запретили скриптом

но теперь с завидной регулярностью заходят в гости:
218.60.128.24:88/nb.exe Win32/AutoRun.Agent.TS
218.60.128.24:88/ds.exe модифицированный Win32/Аgent.NWM троян

Установите SP3 и вышедшие после него обновления (может потребоваться активация), система у вас как решето

[Натали09]

, хорошо

[vegas]

, хорошо

Как то вы не особенно рады, какие то сложности?

[Натали09]

разве это не смертный приговор моему компу?
или еще поживет?

[vegas]

Да почему же приговор, все нормально, выполняйте - и скоро он будет совсем здоров

[Натали09]

при выполнении скриптов, AVZ красным пишет, что разрешена автозагрузка дисков, как ее отключить?

еще подскажите где взять CP3,

[vegas]

http://www.microsoft.com/downloads/d...displaylang=en - это SP3,

отключаем автозапуск

[Натали09]

Добрый вечер.
Что-то страшновато устанавливать SP3 на мой нелиценз. Windows. Подстажите как быть?

[pig]

Как вариант - все обновления на SP2, благо их исправно штампуют.

[Натали09]

Хорошо попробую.
Со вчерашнего дня я не видела ни одного вируса.
Запустила AVZ, находит много неопределенных перехватчиков,
еще что-то нужно делать?

[vegas]

Запустила AVZ, находит много неопределенных перехватчиков

- это нормально,

еще что-то нужно делать?

- почитайте здесь http://virusinfo.info/showthread.php?t=30339.
Безопасного интернета

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 21
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\docume~1\networ~1\applic~1\yrsxe\yvqrx.dll - Trojan-PSW.Win32.Bjlog.dsi ( DrWEB: Trojan.Siggen.33753, BitDefender: Trojan.Generic.2833512, AVAST4: Win32:Malware-gen )
  2. c:\windows\system32\jrgeo.dll - Trojan-PSW.Win32.Bjlog.drj ( DrWEB: Adware.Baidu.1466, AVAST4: Win32:Trojan-gen )
  3. c:\windows\system32\qjtmj.dll - Trojan-PSW.Win32.Bjlog.drj ( DrWEB: Adware.Baidu.1466, BitDefender: Trojan.Generic.2860769, AVAST4: Win32:Trojan-gen )
  4. c:\windows\system32\twain_32.dll - Trojan-GameThief.Win32.Magania.cprk ( DrWEB: Trojan.Click.28443, BitDefender: DeepScan:Generic.Rincux2.5E27BD3E )
  5. c:\windows\system32\ynhba.dll - Trojan-PSW.Win32.Bjlog.drj ( DrWEB: Adware.Baidu.1466, BitDefender: Trojan.Generic.2860769, AVAST4: Win32:Trojan-gen )

Рекомендации:

1. Обнаружены троянские программы класса Trojan-PSW/Trojan-Spy - настоятельно рекомендуется поменять все пароли !