Последствия инфицирования

**biatob** · 08.02.2010, 20:26

Здравствуйте.

После заражения произвел лечние без доступа к инету, с помощью старой версии AVZ. Получив доступ к интернет, скачал и Cureit, Virus Removal Tool(Как оказалось не зря: только с помощью него удалось избавиться от Trojan.WinSpy.527), HiJackThis. Обновил. Пока возился, вирус восстановился. Выполнил чистку компьютера по правилам раздела "Лечение ПК от вирусов".
На данный момент: доступ в интернет есть, исчез "экран смерти"(появлялся при выключнии и работе некоторых программ), могу заходить на сайты Касперского и устнавливать ПО.

Проверьте пожалуйста логи.

Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

**Bratez** · 09.02.2010, 04:27

Ничего подозрительного.

**PavelA** · 09.02.2010, 09:48

карантин пришлите на проверку по красной ссылке.

**Bratez** · 09.02.2010, 13:39

Извиняюсь, проглядел в ваших логах одну штукенцию...

Выполните скрипт в AVZ:

Код:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\drivers\sfc.sys','');
QuarantineFile('C:\WINDOWS\System32\sfcfiles.dll','');
RenameFile('C:\WINDOWS\System32\sfcfiles.dll', 'C:\WINDOWS\System32\sfcfiles.bak');
CopyFile('C:\WINDOWS\System32\dllcache\sfcfiles.dll','C:\WINDOWS\System32\sfcfiles.dll');
DeleteFile('C:\WINDOWS\system32\drivers\sfc.sys');
BC_ImportALL;
ExecuteSysClean;
BC_DeleteFile('C:\WINDOWS\System32\sfcfiles.bak');
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.
Пришлите карантин согласно приложению 3 правил
(загружать тут: http://virusinfo.info/upload_virus.php?tid=70644).
Сделайте новый лог syscheck (только п.2 раздела Диагностика).

**biatob** · 09.02.2010, 20:19

Карантин загружен успешно(от 2010-02-09.). Скрипт сбора информации выполнил.

PS:
C:\WINDOWS\system32\iertutil.dll - определился как подозрительный. Сейчас перемещу в карантин(в загруженном карантине его нет). Размер фаила 1,89 МБ (1*985*536 байт).

**polword** · 10.02.2010, 09:55

в логах чисто.

**biatob** · 10.02.2010, 18:03

Хорошо. А что с iertutil.dll и карантином?

PS: при обновлении Windows, некоторые компоненты не удалось установить
Обновление для системы безопасности Windows XP (KB977165)
Обновление для системы безопасности Windows XP (KB978251)
Обновление для системы безопасности Windows XP (KB97146

Накопительное обновление для системы безопасности флагов блокировки элементов ActiveX ....и т.д. В общем... подозрительно. Раньше проблем с обновлением не было.

**biatob** · 13.02.2010, 20:51

Скажите пожалуйста, моя тема действительно в работе или уже в чулане? Очень жду ответа. Комп постоянно пытается обновится, жутко тормозит из-за этого. В общем, пришлось автоматическое обновление отключить. В остальном - все так же, только загружается долго (возможно из-за Kasp.RTool).

**polword** · 15.02.2010, 06:57

попробуйте скачать например обновления тут и поставить их вручную...

**biatob** · 15.02.2010, 10:47

При попытке установить обновление KB977165(просто с него начал) произошла ошибка:
"Диспетчеру установки не удалось проверить целостность фаила Update.inf. Убедитесь, что службы криптографии запущены на данном компьютере."

PS: дома стоит 2 компютера. При настройке локальной сети, на втором компьютере OutpostFireWallPro зафиксировал и заблокировал атаку с данного компьютера.

**polword** · 15.02.2010, 12:08

почитайте тут http://support.microsoft.com/?id=822798

**biatob** · 15.02.2010, 19:00

Загрузил новую версию AVZ. Вот логи пунктов 1 и 2 правил диагностики.

**polword** · 16.02.2010, 08:23

- Выполните скрипт в AVZ

Код:

begin
 DeleteFileMask(GetAVZDirectory + 'Quarantine', '*.*', true);
 QuarantineFile('C:\WINDOWS\system32\WgaTray2.exe','');
 CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
end.

- Файл quarantine.zip из папки AVZ загрузите по ссылке Прислать запрошенный карантин вверху темы