подозоение на Trojan.Packed.13 или нечто подобное

[Константин Д.]

Суть проблемы вкраце: дома локалка. неделю назад стал замечать что и сеть и ВВВ стали работать очень медленно. Позвонил провайдеру - там сказали мол всё ок. Полез сам посмотреть - внутри сети пинг идёт , через 5 минут не идёт, потом опять не идёт, и т.д. с интернетом так же (то есть то работает - то нет). Опять позвонил провайдеру - там долго тупили - так и не разобрались. Вчера пришла в голову мысль что где-то мог цепануть трояшку на подобие пэкд13 или чего-либо подобного. 3-й курс института уже не помню,поэтому самостоятельно решить задачу не могу :о( буду благодарен за любую помощь.

(ВВВ идёт без ВПНа, при использовании опции "исправить" на активном значке сети и после повторной регистрации в нате минут на 5-10 начинает нормально работать. И еще. Все антивири(по крайней мере как мне кажеться)показывают,что всё ок)

Буду благодарен за любую помощь,
С уважением
Константин

[drongo]

Прочитайте eщё раз правила , потому что с первого раза у вас не очень Прикрепите нужный лог .Догадайтесь какого не хватает Не верный удалил .

[Константин Д.]

прошу прощенья прерпутал архивы

[Bratez]

AVZ Файл - Выполнить скрипт --Скопировать ниже написанный скрипт-- Запустить.

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('csrs.exe','');
 QuarantineFile('C:\WINDOWS\system32\srshost.exe','');
 QuarantineFile('C:\WINDOWS\Screen Task.scr','');
 QuarantineFile('C:\DOCUME~1\ДОМ\taskmgr.exe','');
 QuarantineFile('C:\System Volume Information\_restore{C8912701-371A-412E-8F77-0636425C953C}\RP21\A0015110.EXE','');
 QuarantineFile('C:\System Volume Information\_restore{C8912701-371A-412E-8F77-0636425C953C}\RP21\A0015206.exe ','');
 QuarantineFile('C:\System Volume Information\_restore{C8912701-371A-412E-8F77-0636425C953C}\RP21\A0015415.EXE','');
BC_ImportQuarantineList;
BC_Activate;
RebootWindows(true);
end.

После перезагрузки пришлите карантин согласно приложения 3 правил .
Загружать по ссылке: http://virusinfo.info/upload_virus.php?tid=8978

[drongo]

[Microsoft Windows Update] C:\WINDOWS\system32\srshost.exe Особенно понравилось

[Константин Д.]

сделал

[Bratez]

Не все попалось, что хотелось, ну да ладно...
Выполните скрипт:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 DeleteFile('C:\WINDOWS\system32\srshostu.exe');
 DeleteFile('C:\WINDOWS\system32\srshost.exe');
 DeleteFile('csrs.exe');
 DeleteFile('C:\System Volume Information\_restore{C8912701-371A-412E-8F77-0636425C953C}\RP21\A0015110.EXE');
 DeleteFile('C:\System Volume Information\_restore{C8912701-371A-412E-8F77-0636425C953C}\RP21\A0015206.exe');
 DeleteFile('C:\System Volume Information\_restore{C8912701-371A-412E-8F77-0636425C953C}\RP21\A0015415.EXE');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Сделайте новые логи.
P.S. Если забыли отключить восстановление системы, сделайте это перед выполнением скрипта.

[Константин Д.]

есть

[drongo]

Пофиксить в Hijack This следующие строчки ( http://virusinfo.info/showthread.php?t=4491 )

O16 - DPF: {33331111-1111-1111-1111-611111193423} - 
O16 - DPF: {33331111-1111-1111-1111-611111193429} - 
O16 - DPF: {33331111-1111-1111-1111-615111193427} - 
O16 - DPF: {33331111-1131-1111-1111-611111193428} -

Перегрузиться.

[Макcим]

Bratez, а можно поинтересоваться чем ты руководствовался при удалении файлов (детект антивирусов)?

[Константин Д.]

Пофиксить в Hijack This следующие строчки ( http://virusinfo.info/showthread.php?t=4491 )

O16 - DPF: {33331111-1111-1111-1111-611111193423} - 
O16 - DPF: {33331111-1111-1111-1111-611111193429} - 
O16 - DPF: {33331111-1111-1111-1111-615111193427} - 
O16 - DPF: {33331111-1131-1111-1111-611111193428} -

Перегрузиться.

сделоно

[Bratez]

1. Пофиксите в HijackThis:

O16 - DPF: {33331111-1111-1111-1111-611111193423} - 
O16 - DPF: {33331111-1111-1111-1111-611111193429} - 
O16 - DPF: {33331111-1111-1111-1111-615111193427} - 
O16 - DPF: {33331111-1131-1111-1111-611111193428} -

2. Если адрес www.combats.ru ни о чем не говорит то еще это:

O15 - Trusted Zone: http://www.combats.ru

3. Если знакомы с regedit.exe, то удалите параметр Task в ключах
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\Curr entVersion\Policies\Explorer\Run
HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Policies\Explorer\Run
4. Поищите файл C:\Documents and Settings\ДОМ\taskmgr.exe, если найдется - пришлите по правилам.

[Константин Д.]

всё пофиксил. реестр почистил. с 015 всё ок)
в папке ДОМ taskmgr.exe нет. есть только в системной оттуда прислать?

[Bratez]

Из системной не надо. По идее теперь у вас все ОК.
Сделайте на всякий случай новые логи п.10 и 12 правил.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 15
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\windows\\system32\\srshostu.exe - Backdoor.Win32.Rbot.adf (DrWEB: Trojan.Proxy.122)