помогите, трояны атакуют

**rhapsody** · 12.09.2010, 10:40

помогите, пожалуйста
не спасла даже переустановка системы

Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

**olejah** · 12.09.2010, 11:43

Закройте все программы
Отключите
- ПК от интернета/локалки.
- Антивирус и Файрвол
- Системное восстановление

Выполните скрипт в АВЗ -

Код:

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(true);
 TerminateProcessByName('c:\windows\system32\msvmiode.exe');
 TerminateProcessByName('c:\windows\cfdrive32.exe');
 QuarantineFile('C:\WINDOWS\system32\msvmiode.exe','');
 QuarantineFile('C:\WINDOWS\cfdrive32.exe','');
 DeleteFile('C:\WINDOWS\cfdrive32.exe');
 DeleteFile('C:\WINDOWS\system32\msvmiode.exe');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','MSODESNV7');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','Microsoft Driver Setup');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Microsoft Driver Setup');  
 QuarantineFile('C:\RECYCLER\S-1-5-21-7061021492-8193966904-794007732-4879\syscr.exe','');
 DeleteFile('C:\RECYCLER\S-1-5-21-7061021492-8193966904-794007732-4879\syscr.exe');
 QuarantineFile('C:\Documents and Settings\Ксюша Спенсер\Application Data\ltzqai.exe','');
 QuarantineFile('C:\WINDOWS\system32\23.exe','');
 QuarantineFile('C:\WINDOWS\system32\78.exe','');
 QuarantineFile('C:\WINDOWS\system32\12.exe','');
 QuarantineFile('C:\WINDOWS\system32\14.exe','');
 QuarantineFile('C:\WINDOWS\system32\60.exe','');
 QuarantineFile('C:\WINDOWS\system32\57.exe','');
 QuarantineFile('C:\WINDOWS\system32\64.exe','');
 QuarantineFile('C:\WINDOWS\system32\43.exe','');
 QuarantineFile('C:\WINDOWS\system32\35.exe','');
 QuarantineFile('C:\WINDOWS\system32\67.exe','');
 QuarantineFile('C:\WINDOWS\system32\86.exe','');
 QuarantineFile('C:\WINDOWS\system32\87.exe','');
 QuarantineFile('C:\WINDOWS\system32\00.exe','');
 QuarantineFile('C:\WINDOWS\system32\02.exe','');
 QuarantineFile('C:\WINDOWS\system32\07.exe','');
 QuarantineFile('C:\WINDOWS\system32\11.exe','');
 QuarantineFile('C:\WINDOWS\system32\24.exe','');
 QuarantineFile('C:\WINDOWS\system32\25.exe','');
 QuarantineFile('C:\WINDOWS\system32\28.exe','');
 QuarantineFile('C:\WINDOWS\system32\32.exe','');
 QuarantineFile('C:\WINDOWS\system32\33.exe','');
 QuarantineFile('C:\WINDOWS\system32\42.exe','');
 DeleteFile('C:\WINDOWS\system32\42.exe');
 DeleteFile('C:\WINDOWS\system32\33.exe');
 DeleteFile('C:\WINDOWS\system32\32.exe');
 DeleteFile('C:\WINDOWS\system32\28.exe');
 DeleteFile('C:\WINDOWS\system32\25.exe');
 DeleteFile('C:\WINDOWS\system32\24.exe');
 DeleteFile('C:\WINDOWS\system32\11.exe');
 DeleteFile('C:\WINDOWS\system32\07.exe');
 DeleteFile('C:\WINDOWS\system32\02.exe');
 DeleteFile('C:\WINDOWS\system32\00.exe');
 DeleteFile('C:\WINDOWS\system32\87.exe');
 DeleteFile('C:\WINDOWS\system32\86.exe');
 DeleteFile('C:\WINDOWS\system32\67.exe');
 DeleteFile('C:\WINDOWS\system32\35.exe');
 DeleteFile('C:\WINDOWS\system32\43.exe');
 DeleteFile('C:\WINDOWS\system32\64.exe');
 DeleteFile('C:\WINDOWS\system32\57.exe');
 DeleteFile('C:\WINDOWS\system32\60.exe');
 DeleteFile('C:\WINDOWS\system32\14.exe');
 DeleteFile('C:\WINDOWS\system32\12.exe');
 DeleteFile('C:\WINDOWS\system32\78.exe');
 DeleteFile('C:\WINDOWS\system32\23.exe');
 DeleteFile('C:\Documents and Settings\Ксюша Спенсер\Application Data\ltzqai.exe');  
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Winlogon','Taskman');
 BC_ImportAll;
 ExecuteSysClean;
 BC_Activate;
 RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.

После перезагрузки:
- выполните такой скрипт

Код:

begin
  CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
 end.

Пришлите файл quarantine.zip из папки AVZ по ссылке Прислать запрошенный карантин над первым сообщением этой темы.

- Сделайте лог МВАМ

**rhapsody** · 12.09.2010, 12:27

карантин отправила
вот лог МВАМ

**olejah** · 12.09.2010, 12:29

Удалите всё, что нашёл МВАМ

- Повторите лог

**rhapsody** · 12.09.2010, 12:42

ок... вот новый лог

**olejah** · 12.09.2010, 12:44

Чисто, что с проблемой?

**rhapsody** · 12.09.2010, 12:47

антивирус верещит, что нас опять атакуют.... буквально минуту назад сообщил о новом трояне

**olejah** · 12.09.2010, 12:50

Сделайте лог ComboFix

**rhapsody** · 12.09.2010, 13:18

ок

**olejah** · 12.09.2010, 15:04

Скопируйте текст ниже в блокнот и сохраните как файл с названием CFScript.txt на рабочий стол.

Код:

KillAll::

File::
c:\windows\system32\ezsidmv.dat
c:\windows\system32\01.exe
c:\windows\system32\05.exe
c:\windows\system32\06.exe
c:\windows\system32\10.exe
c:\windows\system32\18.exe
c:\windows\system32\22.exe
c:\windows\system32\26.exe
c:\windows\system32\30.exe
c:\windows\system32\33.exe
c:\windows\system32\34.exe
c:\windows\system32\37.exe
c:\windows\system32\38.exe
c:\windows\system32\40.exe
c:\windows\system32\44.exe
c:\windows\system32\46.exe
c:\windows\system32\51.exe
c:\windows\system32\52.exe
c:\windows\system32\60.exe
c:\windows\system32\61.exe
c:\windows\system32\63.exe
c:\windows\system32\66.exe
c:\windows\system32\68.exe
c:\windows\system32\70.exe
c:\windows\system32\71.exe
c:\windows\system32\72.exe
c:\windows\system32\74.exe
c:\windows\system32\75.exe
c:\windows\system32\76.exe
c:\windows\system32\80.exe
c:\windows\system32\81.exe
c:\windows\system32\82.exe
c:\documents and settings\All Users\Application Data\Microsoft\Network\Downloader\qmgr0.dat
c:\documents and settings\All Users\Application Data\Microsoft\Network\Downloader\qmgr1.dat

Driver::


NetSvc::


Folder::

Registry::


FileLook::

DirLook::

После сохранения переместите CFScript.txt на пиктограмму ComboFix.exe.

Когда сохранится новый отчет ComboFix.txt, прикрепите его к сообщению.

**rhapsody** · 12.09.2010, 15:44

comb ругается: were you trying to run CFScript? the name, CFScript appears to be incorrectly spelt

**olejah** · 12.09.2010, 16:43

Вы в точности выполняете инструкцию?

**rhapsody** · 12.09.2010, 17:09

простите(((
вот лог

**thyrex** · 12.09.2010, 22:51

Логи МВАМ и AVZ еще раз сделайте

**rhapsody** · 13.09.2010, 16:54

вот логи

**olejah** · 13.09.2010, 17:00

Проверьтесь так - http://support.kaspersky.ru/faq/?qid=208636926 лог приложите к следующему сообщению.

По умолчанию утилита выводит отчет работы в корень системного диска (диска, на котором установлена операционная система, как правило, это диск С:\).
Имя отчета имеет следующий вид: ИмяУтилиты.Версия_Дата_Время_log.txt
Например, C:\TDSSKiller.2.4.0_23.07.2010_15.31.43_log.txt

**rhapsody** · 13.09.2010, 17:04

он ничего не нашел

**olejah** · 13.09.2010, 17:07

Ещё как нашёл, файл C:\WINDOWS\System32\drivers\prodrv04.sys запакуйте с паролем virus и пришлите по ссылке вверху - Прислать запрошенный карантин

**rhapsody** · 13.09.2010, 17:17

киллер его видимо удали, потому что его даже в скрытых нет

**rhapsody** · 13.09.2010, 17:18

вот новый лог

помогите, трояны атакуют (заявка № 87712)

Опции темы

помогите, трояны атакуют

Антивирусная помощь

Похожие темы

трояны атакуют

Трояны атакуют (

трояны атакуют! [Trojan.Win32.Pakes.mmb ]

Трояны атакуют

Помогите "трояны" атакуют

Ваши права в разделе