ещё один imax

**romango** · 13.12.2009, 10:55

Добрый день, попался ещё один комп с Imax, лечил фактически руками, загрузил PE, убрал dll с размером 133К и прибил srda64 (вроде так назывался).
после чего сделал восстановление avz
сейчас вроде всё запускается и зараза не выскакивает, но хотелось бы убедится...
сорри, скрипты выполнял при запущенном avp tools
посмотрите пожалуйста

Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

**romango** · 13.12.2009, 10:56

вложения

**snifer67** · 13.12.2009, 11:00

Пофиксить в HijackThis

Код:

O3 - Toolbar: (no name) - {E0E899AB-F487-11D5-8D29-0050BA6940E3} - (no file)
O20 - AppInit_DLLs: C:\WINDOWS\system32\kbgbmvq.dll

ПК перезагрузите.

Выполните скрипт в avz

Код:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 DelBHO('{88888888-8888-8888-8888-888888888888}');
 DelBHO('{9D64F819-9380-8473-DAB2-702FCB3D7A3E}');
 QuarantineFile('C:\Documents and Settings\user\Application Data\bpfeed.dll','');
 DeleteFile('C:\Documents and Settings\user\Application Data\bpfeed.dll');
 DeleteFile('C:\WINDOWS\system32\kbgbmvq.dll');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

ПК перезагрузится.

Пришлите карантин согласно Приложения 3 правил по красной ссылке Прислать запрошенный карантин вверху темы

Сделайте новые логи.

**romango** · 13.12.2009, 11:24

спасибо
насчёт kbgbmvq.dll тоже сомневался, хотел прибить но не успел

логи кроме сбора карантина прикладываю, остальное если успею - позже
cure ессно старый - до лечения

а.. cure не грузицца, он под мег размером
куда прислать?

**snifer67** · 13.12.2009, 11:28

Это вам знакомо ? E:\autorun.inf

**romango** · 13.12.2009, 11:32

спасибо, надо же, такую очевидность недоглядел, это флэшка на которой таскал логи на здоровый комп, небось ещё и заразил его...

**snifer67** · 13.12.2009, 11:33

Выполните скрипт в avz

Код:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 DeleteFile('E:\autorun.inf');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

ПК перезагрузится.

Что с проблемой ?

**romango** · 13.12.2009, 11:46

да autorun то я руками уже прибил с этой флэшки, на другом компе, в нём был прописан запуск ap.dll из RECYCLER

что с проблемой - уж не знаю теперь с которой из них

imax то не появляется, но всё равно стрёмно, сейчас сбор карантина добегает - пришлю ещё раз
а с этим autorun на втором компе можно проверить не успел ли он напакостить, или надо опять по полной по правилам и на втором тоже?

Добавлено через 5 минут

syscure

**romango** · 13.12.2009, 11:48

грузится долго, от момента приветствие до рабочего стола - минуты две -три
но правда не знаю как раньше было

Добавлено через 33 секунды

ну чего, больше ничего не делать?
ждать симптомов?

**romango** · 13.12.2009, 12:18

в догонку, вижу в модулях пространства ядра
defrag32.sys
и
defrag32b.sys

это не может быть заразой?

**thyrex** · 13.12.2009, 14:41

Ничего плохого в последнем логе

**romango** · 13.12.2009, 16:30

вкурил таки правила

переслал запрошенный карантин

**CyberHelper** · 14.12.2009, 16:30

Статистика проведенного лечения:

Получено карантинов: 1
Обработано файлов: 4
В ходе лечения обнаружены вредоносные программы:
1. c:\windows\system32\sdra64.exe - Trojan-Spy.Win32.Zbot.adhe ( DrWEB: Trojan.PWS.Panda.171, BitDefender: Trojan.Generic.2850275, NOD32: Win32/Spy.Zbot.UN trojan, AVAST4: Win32:Zbot-MKO [Trj] )

Рекомендации: