Показано с 1 по 14 из 14.

Помогите вылечить (заявка № 98511)

  1. #1
    Junior Member Репутация
    Регистрация
    09.01.2010
    Сообщений
    104
    Вес репутации
    29

    Thumbs up Помогите вылечить

    Добрый день.
    Симантек постоянно сообщает о попытке атаки компьютера, раз в десять минут удаляет winlogon.exe и explorer.exe. CureIt нашел и удалил 5 троянов, модифицирован файл host, после перезагрузки удаленные строки появляются вновь. Внешних проявлений никаких нет.
    Последний раз редактировалось Суббота; 22.02.2011 в 17:11.

  2. Будь в курсе!
    Реклама на VirusInfo

    Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

    Anti-Malware Telegram
     

  3. #2
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    26.12.2006
    Адрес
    Vladivostok
    Сообщений
    23,299
    Вес репутации
    1555
    Отключите восстановление системы!
    Выполните скрипт в AVZ:
    Код:
    begin
    SearchRootkit(true, true);
    SetAVZGuardStatus(True);
     QuarantineFile('C:\WINDOWS\winlogon.exe','');
     DeleteFile('C:\WINDOWS\winlogon.exe');
    BC_ImportAll;
    ExecuteSysClean;
    BC_Activate;
    ExecuteRepair(13);
    RebootWindows(true);
    end.
    Компьютер перезагрузится.
    Пришлите карантин согласно приложению 3 правил
    (загружать тут: http://virusinfo.info/upload_virus.php?tid=98511).
    Сделайте новые логи.
    I am not young enough to know everything...

  4. #3
    Junior Member Репутация
    Регистрация
    09.01.2010
    Сообщений
    104
    Вес репутации
    29
    Файл сохранён как 110222_175401_virus_4d63ce09bd629.zip
    Размер файла 300987
    MD5 5dc8f51599306cdba35aa68106a7cce3
    После выполнения скрипа и перезагрузки отвалился интернет и рабочий стол превратился вот в это:

  5. #4
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    26.12.2006
    Адрес
    Vladivostok
    Сообщений
    23,299
    Вес репутации
    1555
    Кнопка Восстановить рабочий стол не помогает?
    I am not young enough to know everything...

  6. #5
    Junior Member Репутация
    Регистрация
    09.01.2010
    Сообщений
    104
    Вес репутации
    29
    Кнопка не помогает, восстановил через свойства, сеть тоже появилась после перезагрузки. Вместе с сетью появился winlogon.exe. В host - опять 184 строки.

    Забыл, при подключении флэшки на ней тут же создаются авторан.инф и папка "имя_компьютера", в ней файлы имя_компьютера.exe и десктоп.ини
    Последний раз редактировалось Суббота; 22.02.2011 в 19:07.

  7. #6
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    26.12.2006
    Адрес
    Vladivostok
    Сообщений
    23,299
    Вес репутации
    1555
    Цитата Сообщение от Суббота Посмотреть сообщение
    Вместе с сетью появился winlogon.exe.
    Однако, плохого winlogon.exe в логах не видно (тот что в system32 - это "законный"). И вообще, кроме файла hosts никаких признаков заразы.
    I am not young enough to know everything...

  8. #7
    Junior Member Репутация
    Регистрация
    09.01.2010
    Сообщений
    104
    Вес репутации
    29
    Да и внешне никаких признаков, только hosts невозможно в божеский вид превести и атаки с нескольких адресов.
    В папке Windows - два файла explorer.exe. Сразу после установки Нортон обнаружил Trojan.Bamital.B!inf (по Симантеку) в winlogon.exe и explorer.exe (их два - 0,98 МБ и 80 байт)
    Может быть, MBAMом пройти?
    И еще - скрытые файлы и папки не отображаются, несмотря на то что видимость включена.
    Вот, рискнул:
    Последний раз редактировалось Суббота; 22.02.2011 в 20:42.

  9. #8
    Невымерший Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для thyrex
    Регистрация
    07.03.2009
    Адрес
    Soligorsk, Belarus
    Сообщений
    96,359
    Вес репутации
    3019
    Удалите найденное в МВАМ

    Выполните скрипт в AVZ
    Код:
    begin
    SearchRootkit(true, true);
    SetAVZGuardStatus(True);
    QuarantineFile('c:\windows\system32\winlogon.exe','');
     QuarantineFile('c:\windows\explorer.exe','');
    BC_ImportAll;
    BC_Activate;
    RebootWindows(true);
    end.
    Компьютер перезагрузится.

    Пришлите карантин согласно Приложения 3 правил по красной ссылке Прислать запрошенный карантин вверху темы
    Microsoft MVP 2012-2016 Consumer Security
    Microsoft MVP 2016 Reconnect

  10. #9
    Junior Member Репутация
    Регистрация
    09.01.2010
    Сообщений
    104
    Вес репутации
    29
    QuarantineFile('c:\windows\system32\winlogon.exe', '');
    QuarantineFile('c:\windows\explorer.exe','')
    Файлы чистые.
    За время техработ занимался самодеятельностью - с помощью RSIT нашел в корне С: папку VIDIO с экзешником внутри, имитирующим видеофайл. После удаления hosts модифицироваться прекратил.
    Из оставшихся проблем: в диспечере задач отсутствует шапка с закладками, в Мой компьютер появилась сетевая папка, не могу удалить, не отображаются скрытые файлы

  11. #10
    Невымерший Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для thyrex
    Регистрация
    07.03.2009
    Адрес
    Soligorsk, Belarus
    Сообщений
    96,359
    Вес репутации
    3019
    Цитата Сообщение от Суббота Посмотреть сообщение
    Из оставшихся проблем: в диспечере задач отсутствует шапка с закладками
    двойной кник левой кнопкой мыши в любом свободном месте вокруг рабочей области диспетчера
    Microsoft MVP 2012-2016 Consumer Security
    Microsoft MVP 2016 Reconnect

  12. #11
    Junior Member Репутация
    Регистрация
    09.01.2010
    Сообщений
    104
    Вес репутации
    29
    Спасибо, а с остальным что можно предпринять?

  13. #12
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    26.12.2006
    Адрес
    Vladivostok
    Сообщений
    23,299
    Вес репутации
    1555
    Цитата Сообщение от Суббота Посмотреть сообщение
    не отображаются скрытые файлы
    Такой скрипт попробуйте:
    Код:
    begin
    ExecuteRepair(6);
    ExecuteRepair(8);
    RegKeyIntParamWrite( 'HKLM', 'SOFTWARE\Microsoft\Windows\CurrentVersion\policies\NonEnum', '{BDEADF00-C265-11D0-BCED-00A0C90AB50F}', 1);
    RebootWindows(true); 
    end.
    После перезагрузки включите показ скрытых - должно получиться.
    I am not young enough to know everything...

  14. #13
    Junior Member Репутация
    Регистрация
    09.01.2010
    Сообщений
    104
    Вес репутации
    29
    Все получилось. Огромное спасибо.

  15. #14
    Cybernetic Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    29.12.2008
    Сообщений
    48,318
    Вес репутации
    953

    Итог лечения

    Статистика проведенного лечения:
    • Получено карантинов: 1
    • Обработано файлов: 3
    • В ходе лечения вредоносные программы в карантинах не обнаружены


  • Уважаемый(ая) Суббота, наши специалисты оказали Вам всю возможную помощь по вашему обращению.

    В целях поддержания безопасности вашего компьютера настоятельно рекомендуем:

     

     

    Чтобы всегда быть в курсе актуальных угроз в области информационной безопасности и сохранять свой компьютер защищенным, рекомендуем следить за последними новостями ИТ-сферы портала Anti-Malware.ru:

     

     

    Anti-Malware VK

     

    Anti-Malware Telegram

     

     

    Надеемся больше никогда не увидеть ваш компьютер зараженным!

     

    Если Вас не затруднит, пополните пожалуйста нашу базу безопасных файлов.

  • Похожие темы

    1. Помогите вылечить
      От gss1234 в разделе Помогите!
      Ответов: 4
      Последнее сообщение: 01.03.2011, 14:29
    2. Помогите вылечить
      От mrHill в разделе Помогите!
      Ответов: 3
      Последнее сообщение: 06.02.2011, 14:41
    3. помогите вылечить
      От arkadiy_sp в разделе Помогите!
      Ответов: 1
      Последнее сообщение: 05.07.2009, 10:25
    4. Помогите вылечить PC
      От vit_l в разделе Помогите!
      Ответов: 1
      Последнее сообщение: 20.05.2009, 19:00
    5. Помогите вылечить :(
      От beginner в разделе Помогите!
      Ответов: 6
      Последнее сообщение: 01.04.2009, 03:00

    Свернуть/Развернуть Ваши права в разделе

    • Вы не можете создавать новые темы
    • Вы не можете отвечать в темах
    • Вы не можете прикреплять вложения
    • Вы не можете редактировать свои сообщения
    •  
    Page generated in 0.00911 seconds with 16 queries