Добрый день.После удаления порнобаннера в панели задач не отображается Нод32. Помимо этого не подключается icq.
Логи AVZ и HiJack прилагаю.
заранее признателен за ответ.
Добрый день.После удаления порнобаннера в панели задач не отображается Нод32. Помимо этого не подключается icq.
Логи AVZ и HiJack прилагаю.
заранее признателен за ответ.
- Выполните скрипт в AVZ
После перезагрузки:Код:begin SearchRootkit(true, true); SetAVZGuardStatus(True); RegKeyStrParamWrite('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon','UserInit', GetEnvironmentVariable ('WinDir')+'\System32\userinit.exe,'); QuarantineFile('spwk.sys',''); QuarantineFile('H:\WINDOWS\Temp\wpv391256273218.exe',''); QuarantineFile('H:\WINDOWS\inf\msoe50.inf:XVgZ97B:$DATA',''); QuarantineFile('H:\WINDOWS\system32\sdra64.exe',''); DeleteService('systemntmi'); QuarantineFile('H:\WINDOWS\system32\drivers\systemntmi.sys',''); DeleteService('ws2_32sik'); DeleteService('securentm'); QuarantineFile('H:\WINDOWS\system32\drivers\securentm.sys',''); DeleteService('nicsk32'); QuarantineFile('H:\WINDOWS\system32\drivers\nicsk32.sys',''); QuarantineFile('H:\WINDOWS\system32\drivers\netsik.sys',''); DeleteService('netsik'); DeleteService('ksi32sk'); QuarantineFile('H:\WINDOWS\system32\drivers\ksi32sk.sys',''); QuarantineFile('H:\WINDOWS\system32\drivers\i386si.sys',''); DeleteService('i386si'); DeleteService('fips32cup'); QuarantineFile('H:\WINDOWS\system32\drivers\fips32cup.sys',''); QuarantineFile('H:\WINDOWS\system32\drivers\ati64si.sys',''); DeleteService('ati64si'); DeleteService('amd64si'); QuarantineFile('H:\WINDOWS\system32\drivers\amd64si.sys',''); QuarantineFile('H:\WINDOWS\system32\drivers\acpi32.sys',''); DeleteService('acpi32'); QuarantineFile('H:\Program Files\Common Files\System\WebCheck.dll',''); DeleteFile('H:\Program Files\Common Files\System\WebCheck.dll'); DeleteFile('H:\WINDOWS\system32\drivers\acpi32.sys'); DeleteFile('H:\WINDOWS\system32\drivers\amd64si.sys'); DeleteFile('H:\WINDOWS\system32\drivers\ati64si.sys'); DeleteFile('H:\WINDOWS\system32\drivers\i386si.sys'); DeleteFile('H:\WINDOWS\system32\drivers\netsik.sys'); DeleteFile('H:\WINDOWS\system32\drivers\securentm.sys'); DeleteFile('H:\WINDOWS\system32\drivers\ws2_32sik.sys'); DeleteFile('H:\WINDOWS\system32\drivers\systemntmi.sys'); DeleteFile('H:\WINDOWS\system32\sdra64.exe'); DeleteFile('H:\WINDOWS\inf\msoe50.inf:XVgZ97B:$DATA'); DeleteFile('H:\WINDOWS\Temp\wpv391256273218.exe'); BC_ImportAll; ExecuteSysClean; ExecuteRepair(16); ExecuteRepair(6); ExecuteRepair(8); RegKeyIntParamWrite('HKLM', 'SOFTWARE\Microsoft\Windows\CurrentVersion\policies\NonEnum', '{BDEADF00-C265-11D0-BCED-00A0C90AB50F}', 1); ExecuteWizard('TSW', 2, 2, true); ExecuteWizard('SCU', 2, 2, true); RegKeyIntParamWrite('HKLM','SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer','NoDriveTypeAutoRun', 221); BC_Activate; RebootWindows(true); end.
- выполните такой скрипт
- Файл quarantine.zip из папки AVZ загрузите по ссылке Прислать запрошенный карантин вверху темыКод:begin CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); end.
- Сделайте повторные логи по правилам п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip; hijackthis.log
- Сделайте лог MBAM
Доброе утро.Все инструкции выполнены. Логи прилагаю.
Пофиксите в Hijackthis:Закройте все программы, выполните скрипт в AVZ:Код:O20 - Winlogon Notify: crypt - Invalid registry foundПосле выполнения скрипта компьютер перезагрузится!Код:begin SearchRootkit(true, true); SetAVZGuardStatus(True); DeleteService('port135sik'); DeleteService('nicsk32'); DeleteService('ksi32sk'); DeleteService('fips32cup'); DeleteFile('H:\WINDOWS\system32\drivers\fips32cup.sys'); DeleteFile('H:\WINDOWS\system32\drivers\ksi32sk.sys'); DeleteFile('H:\WINDOWS\system32\drivers\nicsk32.sys'); DeleteFile('H:\WINDOWS\system32\drivers\port135sik.sys'); BC_ImportDeletedList; ExecuteSysClean; BC_DeleteSvc('port135sik'); BC_DeleteSvc('nicsk32'); BC_DeleteSvc('ksi32sk'); BC_DeleteSvc('fips32cup'); BC_Activate; RebootWindows(true); end.
Удалите лишние в mbam
Сделайте новые логи по правилам virusinfo_syscheck.zip, hijackthis.log и mbam
Хотелось бы уточнить - всё ли лишнее в MBAM?А то мало ли...нанесу еще непоправимый вред системе=)
некоторых строк может уже не бытьЗараженные ключи в реестре:
HKEY_USERS\.DEFAULT\SOFTWARE\Microsoft\Windows\Cur rentVersion\Explorer\{19127ad2-394b-70f5-c650-b97867baa1f7} (Backdoor.Bot) -> No action taken.
HKEY_USERS\.DEFAULT\SOFTWARE\Microsoft\Windows\Cur rentVersion\Explorer\{43bf8cd1-c5d5-2230-7bb2-98f22c2b7dc6} (Backdoor.Bot) -> No action taken.
HKEY_USERS\.DEFAULT\SOFTWARE\Microsoft\Windows\Cur rentVersion\Explorer\{494e6cec-7483-a4ee-0938-895519a84bc7} (Backdoor.Bot) -> No action taken.
HKEY_USERS\S-1-5-18\SOFTWARE\Microsoft\Windows\CurrentVersion\Explo rer\{19127ad2-394b-70f5-c650-b97867baa1f7} (Backdoor.Bot) -> No action taken.
HKEY_USERS\S-1-5-18\SOFTWARE\Microsoft\Windows\CurrentVersion\Explo rer\{43bf8cd1-c5d5-2230-7bb2-98f22c2b7dc6} (Backdoor.Bot) -> No action taken.
HKEY_USERS\S-1-5-18\SOFTWARE\Microsoft\Windows\CurrentVersion\Explo rer\{494e6cec-7483-a4ee-0938-895519a84bc7} (Backdoor.Bot) -> No action taken.
HKEY_CLASSES_ROOT\idid (Trojan.Sasfix) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\crypt (Trojan.Downloader) -> No action taken.
HKEY_LOCAL_MACHINE\System\CurrentControlSet\Servic es\fips32cup (Rootkit.Agent) -> No action taken.
HKEY_LOCAL_MACHINE\System\CurrentControlSet\Servic es\ksi32sk (Rootkit.Agent) -> No action taken.
HKEY_LOCAL_MACHINE\System\CurrentControlSet\Servic es\nicsk32 (Rootkit.Agent) -> No action taken.
HKEY_LOCAL_MACHINE\System\CurrentControlSet\Servic es\port135sik (Trojan.Agent) -> No action taken.
Зараженные параметры в реестре:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Network\uid (Malware.Trace) -> No action taken.
Объекты реестра заражены:
(Вредоносных программ не обнаружено)
Зараженные папки:
H:\WINDOWS\system32\lowsec (Stolen.data) -> No action taken.
Зараженные файлы:
I:\avz4\Infected\2010-06-07\avz00002.dta (Backdoor.Bot) -> No action taken.
I:\avz4\Infected\2010-06-07\avz00003.dta (Backdoor.Bot) -> No action taken.
I:\avz4\Quarantine\2010-06-07\avz00002.dta (Trojan.Agent.Gen) -> No action taken.
H:\WINDOWS\system32\lowsec\local.ds (Stolen.data) -> No action taken.
H:\WINDOWS\system32\lowsec\user.ds (Stolen.data) -> No action taken.
H:\WINDOWS\system32\lowsec\user.ds.lll (Stolen.data) -> No action taken.
H:\Documents and Settings\1\Application Data\wiaserva.log (Malware.Trace) -> No action taken.
H:\WINDOWS\Installer\{ffffffff-F03B-4b40-A3D0-F62E04DD1C09}.exe (Rootkit.Agent) -> No action taken.
Добрый вечер.Все инструкции выполнены.Логи прилагаю. Жду дальнейших инструкций.Спасибо.
Пофиксите в Hijackthis:Больше ничего плохогоКод:R3 - URLSearchHook: (no name) - - (no file)
Статистика проведенного лечения:
- Получено карантинов: 1
- Обработано файлов: 2
- В ходе лечения обнаружены вредоносные программы:
- h:\windows\system32\sdra64.exe - Trojan.Win32.Scar.cjqi ( DrWEB: Trojan.PWS.Panda.171, BitDefender: Trojan.Generic.KD.14859, NOD32: Win32/Spy.Zbot.UN trojan, AVAST4: Win32:Rootkit-gen [Rtk] )
- h:\windows\temp\wpv391256273218.exe - Trojan-Ransom.Win32.Digitala.d ( DrWEB: Trojan.Winlock.1137, BitDefender: Trojan.Generic.3120755, NOD32: Win32/Agent.QGS trojan, AVAST4: Win32:FakeAlert-FC [Trj] )
Уважаемый(ая) BABAX, наши специалисты оказали Вам всю возможную помощь по вашему обращению.
В целях поддержания безопасности вашего компьютера настоятельно рекомендуем:
Чтобы всегда быть в курсе актуальных угроз в области информационной безопасности и сохранять свой компьютер защищенным, рекомендуем следить за последними новостями ИТ-сферы портала Anti-Malware.ru:
Надеемся больше никогда не увидеть ваш компьютер зараженным!
Если Вас не затруднит, пополните пожалуйста нашу базу безопасных файлов.