Показано с 1 по 16 из 16.

Последствия WinLocker (заявка № 78208)

  1. #1
    Junior Member Репутация
    Регистрация
    12.05.2010
    Сообщений
    25
    Вес репутации
    28

    Question Последствия WinLocker

    Какой именно Winlock не знаю, выводит сообщение "internet security обнаружил вредоносное по" и т. д. С помощью загрузки с флешки удалось вылечить заразу (CureIt).

    После этого в реестре оказалось отключено много всяких вещей (например Диспетчер задач, редактор рееста: их я включил с помощью локальных политик). Но последствия явно не ушли.
    1. Так как KIS не хотел запускаться, удалил его, заново он не устанавливается (после распаковки инсталлятора ничего не происходит)
    2. Вылетает svchost при подключенном сетевом кабеле.
    3. Ну и вообще система работает так, что по ней кто-то прошелся.

    Требуемые логи прилагаю. Спасибо за помощь заранее, не хочу переставлять систему.

  2. Будь в курсе!
    Реклама на VirusInfo

    Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

    Anti-Malware Telegram
     

  3. #2
    Visiting Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для ARMA9000
    Регистрация
    16.09.2009
    Сообщений
    1,987
    Вес репутации
    93
    Профиксите:
    Код:
    F2 - REG:system.ini: UserInit=c:\windows\system32\userinit.exe
    Код:
     Внимание !!! База поcледний раз обновлялась 21.08.2009 необходимо обновить базы при помощи автоматического обновления (Файл/Обновление баз)
    Базы обновите и переделайте логи+ сделайте лог гмер.

  4. #3
    Junior Member Репутация
    Регистрация
    12.05.2010
    Сообщений
    25
    Вес репутации
    28
    Все сделал, обновленные базы AVZ, что-то нашли
    Gmer очень долго сканировал, в итоге оставил на ночь, с утра он вылетел, система вообще не работало (было сообщение об ошибке вроде нехватки системных ресурсов)

  5. #4
    Visiting Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для ARMA9000
    Регистрация
    16.09.2009
    Сообщений
    1,987
    Вес репутации
    93
    Отключить восстановление системы, защитное ПО.
    Профиксить:
    Код:
    O20 - AppInit_DLLs: C:\WINDOWS\system32\ntmsoprq.msc:exaS9La5BA
    Выполнить скрипт:
    Код:
    begin
    SearchRootkit(true, true);
    SetAVZGuardStatus(True);
     QuarantineFile('C:\Program Files\TortoiseHg\THgShell.dll','');
     QuarantineFile('L:\autorun.inf','');
     QuarantineFile('C:\WINDOWS\system32\ntmsoprq.msc:exaS9La5BA','');
     QuarantineFile('C:\WINDOWS\system32\ntmsoprq.msc','');
     QuarantineFile('C:\WINDOWS\system32\ovjp.fbo','');
     DeleteFile('C:\WINDOWS\system32\ovjp.fbo');
     DeleteFile('C:\WINDOWS\system32\ntmsoprq.msc:exaS9La5BA');
    BC_ImportALL;
    ExecuteSysClean;
    ExecuteWizard('TSW', 2, 2, true);
    ExecuteWizard('SCU', 2, 2, true);
    BC_Activate;
    RebootWindows(true);
    end.
    Компьютер перезагрузится. Карантин прислать согласно приложению 3. Логи переделать + попытаться сделать лог гмер.

  6. #5
    Junior Member Репутация
    Регистрация
    12.05.2010
    Сообщений
    25
    Вес репутации
    28
    Дело в том, что WinLocker судя по всему запретил мне отключать восстановление системы (галочка неактивна)

  7. #6
    Visiting Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    01.06.2007
    Сообщений
    3,112
    Вес репутации
    270
    пропустите это. Выполняйте скрипт, присылайте карантин и делайте запрашиваемые логи

  8. #7
    Junior Member Репутация
    Регистрация
    12.05.2010
    Сообщений
    25
    Вес репутации
    28
    Код:
    QuarantineFile('C:\Program Files\TortoiseHg\THgShell.dll','');
    Вопрос еще один по этой строчке. Это нормальная DLL, приложение называется TortoiseHG, которое устанавливается как shell extention,
    QuarantineFile не похачит его? Просто положит в карантин?

  9. #8
    Невымерший Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для thyrex
    Регистрация
    07.03.2009
    Адрес
    Soligorsk, Belarus
    Сообщений
    96,357
    Вес репутации
    3019
    Цитата Сообщение от Camarada Посмотреть сообщение
    Просто положит в карантин?
    Да
    Microsoft MVP 2012-2016 Consumer Security
    Microsoft MVP 2016 Reconnect

  10. #9
    Junior Member Репутация
    Регистрация
    12.05.2010
    Сообщений
    25
    Вес репутации
    28
    Все сделал, карантин выслал (не вижу, чтобы он отображался).

  11. #10
    Junior Member Репутация
    Регистрация
    12.05.2010
    Сообщений
    25
    Вес репутации
    28
    Цитата Сообщение от Camarada Посмотреть сообщение
    Все сделал, карантин выслал (не вижу, чтобы он отображался).
    Грешу на svchost, который в логе gmer отображается как Service Hidden

  12. #11
    Junior Member Репутация
    Регистрация
    12.05.2010
    Сообщений
    25
    Вес репутации
    28
    Скажите, моя проблема ожидает очереди, или про меня просто забыло, просто уж столько времени ушло на сбор этих логов, хотелось бы, чтобы не зря.

  13. #12
    Невымерший Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для thyrex
    Регистрация
    07.03.2009
    Адрес
    Soligorsk, Belarus
    Сообщений
    96,357
    Вес репутации
    3019
    Цитата Сообщение от Camarada Посмотреть сообщение
    Грешу на svchost, который в логе gmer отображается как Service Hidden
    Грешу на ложное срабатывание. Но не уверен
    Microsoft MVP 2012-2016 Consumer Security
    Microsoft MVP 2016 Reconnect

  14. #13
    Junior Member Репутация
    Регистрация
    12.05.2010
    Сообщений
    25
    Вес репутации
    28
    Цитата Сообщение от thyrex Посмотреть сообщение
    Грешу на ложное срабатывание. Но не уверен
    Дело в том, что процссов svchost аж 7 штук, в то время, как более привычно видеть их 6

  15. #14
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для AndreyKa
    Регистрация
    08.01.2005
    Адрес
    Россия
    Сообщений
    13,625
    Вес репутации
    1291
    Запустите AVZ.
    Выполните скрипт через меню Файл:
    Код:
    begin
    RegKeyResetSecurity('HKLM', 'SYSTEM\CurrentControlSet\Services\Remotemgmt');
    RegKeyResetSecurity('HKLM', 'SYSTEM\CurrentControlSet\Services\Remotemgmt\Parameters');
    RegKeyDel('HKLM','SYSTEM\CurrentControlSet\Services\Remotemgmt');
    BC_DeleteReg('HKLM\SYSTEM\CurrentControlSet\Services\Remotemgmt');
     BC_ImportAll;
     BC_Activate;
     end.
    Проблема решена?

  16. #15
    Junior Member Репутация
    Регистрация
    12.05.2010
    Сообщений
    25
    Вес репутации
    28
    Цитата Сообщение от AndreyKa Посмотреть сообщение
    Проблема решена?
    Процессов после перезагрузки осталось столько же, инсталл KIS работает по прежнему. Работу с сетевым проводом проверить не удалось пока.

  17. #16
    Cybernetic Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    29.12.2008
    Сообщений
    48,318
    Вес репутации
    953

    Итог лечения

    Статистика проведенного лечения:
    • Получено карантинов: 1
    • Обработано файлов: 12
    • В ходе лечения обнаружены вредоносные программы:
      1. c:\windows\system32\ovjp.fbo - Trojan.Win32.Agent2.cnil ( DrWEB: Trojan.Oficla.4, BitDefender: Trojan.Generic.2994233, NOD32: Win32/Oficla.CS trojan, AVAST4: Win32:Oficla-G [Trj] )


  • Уважаемый(ая) Camarada, наши специалисты оказали Вам всю возможную помощь по вашему обращению.

    В целях поддержания безопасности вашего компьютера настоятельно рекомендуем:

     

     

    Чтобы всегда быть в курсе актуальных угроз в области информационной безопасности и сохранять свой компьютер защищенным, рекомендуем следить за последними новостями ИТ-сферы портала Anti-Malware.ru:

     

     

    Anti-Malware VK

     

    Anti-Malware Telegram

     

     

    Надеемся больше никогда не увидеть ваш компьютер зараженным!

     

    Если Вас не затруднит, пополните пожалуйста нашу базу безопасных файлов.

  • Похожие темы

    1. новый winlocker
      От Barboris в разделе Описания вредоносных программ
      Ответов: 4
      Последнее сообщение: 20.07.2012, 15:08
    2. winlocker
      От ckkem в разделе Помогите!
      Ответов: 5
      Последнее сообщение: 09.04.2012, 20:35
    3. Похоже на winlocker
      От bedxdf в разделе Microsoft Windows
      Ответов: 5
      Последнее сообщение: 31.03.2012, 03:11
    4. Атаковал winlocker
      От parenek43 в разделе Помогите!
      Ответов: 5
      Последнее сообщение: 12.02.2011, 11:18
    5. WinLocker
      От Dr.Zoidberg в разделе Помогите!
      Ответов: 6
      Последнее сообщение: 10.07.2009, 15:17

    Метки для этой темы

    Свернуть/Развернуть Ваши права в разделе

    • Вы не можете создавать новые темы
    • Вы не можете отвечать в темах
    • Вы не можете прикреплять вложения
    • Вы не можете редактировать свои сообщения
    •  
    Page generated in 0.01599 seconds with 16 queries