-
Junior Member
- Вес репутации
- 51
Неубиваемый вирус.
При загрузке компьютера антивирус Касперского обнаруживает два вируса, в директории system32. Один из зараженных объектов в system\drivers\etc\hosts указывает что вирус вылечен. Другой объект k.dll находится в корне system32. Антивирус удаляет этот объект и сообщает что объект заражен Trojan.Win32.Small.cml, и для корректной работы предлагает перезагрузку и сам ее выполняет. После перезагрузки система вываливается в BSOD с адресом ошибки STOP:C000021a. В безопастном режиме удается загрузится и откатить систему, далее удается загрузится в нормальном режиме, и начинается все по кругу, антивирус сообщает что найдены зараженные объекты host объект вылечивает, k.dll удаляет и при перезагрузке опять BSOD. В нормальном режиме при некоторых откатак при попытках открыть реестр или групповые политики отказ прав доступа.
-
Будь в курсе!
Будь в курсе!
Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:
-
1. Скачайте AVZ 4.35 и обновите ее базы.
2. Отключите восстановление системы.
3. Выполните скрипт в AVZ:
Код:
begin
ExecuteRepair(13);
DelBHO('{83821C2B-32A8-4DD7-B6D4-44309A78E668}');
BC_DeleteSvc('msupdate');
BC_DeleteSvc('DataSvr2');
BC_Activate;
RebootWindows(true);
end.
Компьютер перезагрузится.
4. Сделайте новые логи.
I am not young enough to know everything...
-
-
Junior Member
- Вес репутации
- 51
Все сделал как рекомендовано.
При попытке выполнить скрипт ошибка Failed to set data "DisplayName"
запуск AVZ выполняется с правами Администратора, антивирусы выключены, восстановление системы так же выключено. Еще нюанс пытался запускать AVZ с правами другой администраторской учетки, выскакивает сообщение предупреждения. Указанная служба не может быть запущена, поскольку она отключена или все связанные с ней устройства отключены. Странно.
-
Выполните скрипт в AVZ
Код:
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('c:\windows\system32\k.dll','');
QuarantineFile('c:\windows\system32\winlogon.exe','');
QuarantineFile('c:\windows\explorer.exe','');
BC_ImportAll;
BC_Activate;
RebootWindows(true);
end.
Компьютер перезагрузится.
Выполните скрипт в AVZ
Код:
begin
CreateQurantineArchive('c:\quarantine.zip');
end.
c:\quarantine.zip отправьте через данную форму.
1. Выберите тип запроса "Запрос на исследование вредоносного файла".
2. В окне "Подробное описание возникшей ситуации" наберите "Выполняется запрос хелпера".
3. Прикрепите файл карантина
4. Введите изображенное на картинке число и нажмите "Далее".
5. Если размер карантина превышает 8 Мб, то карантин отправьте по адресу [email protected]
Полученный ответ сообщите здесь (с указанием номера KLAN)
Microsoft MVP 2012-2016 Consumer Security
Microsoft MVP 2016 Reconnect
-
-
Junior Member
- Вес репутации
- 51
Спасибо. Все успешно было побеждено с помощью рекомендаций специалистов kaspersky-911.ru и утилитs comboFix.
-
Итог лечения
Статистика проведенного лечения:
- Получено карантинов: 1
- Обработано файлов: 8
- В ходе лечения обнаружены вредоносные программы:
- c:\\windows\\explorer.exe - Trojan.Win32.Patched.lk ( DrWEB: Win32.Dat.17, BitDefender: Trojan.Patched.KB.1, AVAST4: Win32:WinPatch )
- c:\\windows\\system32\\winlogon.exe - Trojan.Win32.Patched.lk ( DrWEB: Win32.Dat.17, BitDefender: Trojan.Patched.KB.1, NOD32: Win32/Bamital.FH trojan, AVAST4: Win32:WinPatch )
-