Добрый день!
Установлен антивирус NOD32, два дня назад при загрузке он начал ругаться на файл: C:\WINDOWS\system32\sfcfiles.dll.
Вирус определяется как: Win32/Hodprot.AO троянская программа.
Удаление и лечение данного файла невозможно.
В системе установлено два браузера: Opera 11.00 1156 и Google Chrome (стоял по умолчанию). Начались проблемы с выходом в Интернет через Chrome...,блокирует все открываемые старницы и при этом антивирус постоянно ругается на указанный выше файл.
Opera работает без проблем.
Помогите, пожалуйста, вылечить данный вирус.
Заранее спасибо.
Ниже логи, полученные в процессе диагностики:
Будь в курсе!Будь в курсе!
Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:
R3 - URLSearchHook: pdfforge Toolbar - {B922D405-6D13-4A2B-AE89-08A030DA4402} - (no file)
O2 - BHO: pdfforge Toolbar - {B922D405-6D13-4A2B-AE89-08A030DA4402} - (no file)
O3 - Toolbar: pdfforge Toolbar - {B922D405-6D13-4A2B-AE89-08A030DA4402} - (no file)
Выполните скрипт в AVZ:
Код:
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\Program Files\Internet Explorer\setupapi.dll','');
DeleteFile('C:\Program Files\Internet Explorer\setupapi.dll');
RegKeyParamDel('HKEY_LOCAL_MACHINE','System\CurrentControlSet\Control\Session Manager\AppCertDlls','DefaultVerifier');
QuarantineFile('%windir%\system32\Drivers\sfc.SYS','');
QuarantineFile('%windir%\system32\sfcfiles.dll','');
if CheckFile('%windir%\system32\dllcache\sfcfiles.dll')=3 then
begin
RenameFile('%windir%\system32\sfcfiles.dll', '%windir%\system32\sfcfiles.bak');
CopyFile('%windir%\system32\dllcache\sfcfiles.dll','%windir%\system32\sfcfiles.dll');
AddToLog('Замена sfcfiles.dll успешно произведена из кеша');
end
else
begin
AddToLog('файл sfcfiles.dll в кеше не прошел по базе безопасных или отсутствует');
if CheckFile('%windir%\ServicePackFiles\i386\sfcfiles.dll')=3 then
begin
RenameFile('%windir%\system32\sfcfiles.dll', '%windir%\system32\sfcfiles.bak');
CopyFile('%windir%\ServicePackFiles\i386\sfcfiles.dll','%windir%\system32\sfcfiles.dll');
AddToLog('Замена sfcfiles.dll успешно произведена из i386');
end
else
begin
AddToLog('файл sfcfiles.dll в i386 не прошел по базе безопасных или отсутствует');
end;
end;
//sfcfiles.log сохранится в папке, из которой был запущен AVZ
SaveLog('sfcfiles.log');
DeleteFile('%windir%\system32\drivers\sfc.sys');
DeleteFile('%windir%\system32\sfcfiles.bak');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
Компьютер перезагрузится.
После перезагрузки выполните скрипт в AVZ:
Код:
begin
CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
end.
Такое впечатление, что скрипт не выполнялся... Все осталось там где было.
И в sfcfiles.log пусто... Странно...
Может скрипт неправильно выполняли.
Скрипт проверил, ошибок нет.
Как выполнить скрипт здесь: http://virusinfo.info/showthread.php?t=7239
Или NOD32 перед выполнением не отключили.
Как отключить здесь: http://virusinfo.info/showthread.php?t=57441
Отключите NOD32 и выполните пожалуйста скрипт в AVZ еще раз.
После этого приложите снова sfcfiles.log.
Затем повторите пункт 2 раздела Диагностика правил и приложите здесь virusinfo_syscheck.zip
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFileMask(GetAVZDirectory + 'Quarantine', '*.*', true);
QuarantineFile('%windir%\system32\Drivers\sfc.SYS','');
QuarantineFile('%windir%\system32\mssfc.dll','');
DeleteFile('%windir%\system32\drivers\sfc.sys');
DeleteFile('%windir%\system32\mssfc.dll');
if FileExists ('%windir%\system32\sfcfiles.dll') then
begin
if CheckFile('%windir%\system32\sfcfiles.dll')=3 then
begin
AddToLog('%windir%\system32\sfcfiles.dll прошел по базе безопасных');
end
else
begin
AddToLog('%windir%\system32\sfcfiles.dll не прошел по базе безопасных');
QuarantineFile('%windir%\system32\sfcfiles.dll','');
RenameFile('%windir%\system32\sfcfiles.dll', '%windir%\system32\sfcfiles.bak');
if FileExists ('%windir%\system32\dllcache\sfcfiles.dll') then
begin
if CheckFile('%windir%\system32\dllcache\sfcfiles.dll')=3 then
begin
CopyFile('%windir%\system32\dllcache\sfcfiles.dll','%windir%\system32\sfcfiles.dll');
AddToLog('Замена sfcfiles.dll успешно произведена из кеша');
end
else
begin
AddToLog('файл sfcfiles.dll в кеше не прошел по базе безопасных');
if FileExists ('%windir%\ServicePackFiles\i386\sfcfiles.dll') then
begin
if CheckFile('%windir%\ServicePackFiles\i386\sfcfiles.dll')=3 then
begin
CopyFile('%windir%\ServicePackFiles\i386\dllcache\sfcfiles.dll','%windir%\system32\sfcfiles.dll');
AddToLog('Замена sfcfiles.dll успешно произведена из i386');
end
else
AddToLog('файл sfcfiles.dll в i386 не прошел по базе безопасных');
end
else
AddToLog('Файл sfcfiles.dll отсутствует в i386');
end;
end
else
begin
AddToLog('Файл sfcfiles.dll отсутствует в кеше');
if FileExists ('%windir%\ServicePackFiles\i386\sfcfiles.dll') then
begin
if CheckFile('%windir%\ServicePackFiles\i386\sfcfiles.dll')=3 then
begin
CopyFile('%windir%\ServicePackFiles\i386\dllcache\sfcfiles.dll','%windir%\system32\sfcfiles.dll');
AddToLog('Замена sfcfiles.dll успешно произведена из i386');
end
else
AddToLog('файл sfcfiles.dll в i386 не прошел по базе безопасных');
end
else
AddToLog('Файл sfcfiles.dll отсутствует в i386');
end;
end;
end
else
begin
AddToLog('файл sfcfiles.dll отсутствует в %windir%\system32\');
if FileExists ('%windir%\system32\dllcache\sfcfiles.dll') then
begin
if CheckFile('%windir%\system32\dllcache\sfcfiles.dll')=3 then
begin
CopyFile('%windir%\system32\dllcache\sfcfiles.dll','%windir%\system32\sfcfiles.dll');
AddToLog('Замена sfcfiles.dll успешно произведена из кеша');
end
else
begin
AddToLog('файл sfcfiles.dll в кеше не прошел по базе безопасных');
if FileExists ('%windir%\ServicePackFiles\i386\sfcfiles.dll') then
begin
if CheckFile('%windir%\ServicePackFiles\i386\sfcfiles.dll')=3 then
begin
CopyFile('%windir%\ServicePackFiles\i386\dllcache\sfcfiles.dll','%windir%\system32\sfcfiles.dll');
AddToLog('Замена sfcfiles.dll успешно произведена из i386');
end
else
AddToLog('файл sfcfiles.dll в i386 не прошел по базе безопасных');
end
else
AddToLog('Файл sfcfiles.dll отсутствует в i386');
end;
end
else
begin
AddToLog('Файл sfcfiles.dll отсутствует в кеше');
if FileExists ('%windir%\ServicePackFiles\i386\sfcfiles.dll') then
begin
if CheckFile('%windir%\ServicePackFiles\i386\sfcfiles.dll')=3 then
begin
CopyFile('%windir%\ServicePackFiles\i386\dllcache\sfcfiles.dll','%windir%\system32\sfcfiles.dll');
AddToLog('Замена sfcfiles.dll успешно произведена из i386');
end
else
AddToLog('файл sfcfiles.dll в i386 не прошел по базе безопасных');
end
else
AddToLog('Файл sfcfiles.dll отсутствует в i386');
end;
end;
DeleteFile('%windir%\system32\sfcfiles.bak');
SaveLog('sfcfiles.log');
BC_ImportALL;
ExecuteSysClean;
BC_DeleteFile('%windir%\System32\sfcfiles.bak');
BC_DeleteSvc('sfc');
BC_Activate;
RebootWindows(true);
end.
После перезагрузки:
- выполните такой скрипт
Код:
begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.
- Файл quarantine.zip из папки AVZ загрузите по ссылке Прислать запрошенный карантин вверху темы
- Сделайте лог MBAM
- файл sfcfiles.log прикрепите к сообщению
quarantine.zip - отправлен по указанной ссылке.
Запрашиваемые логи прилагаю.
И еще вопрос: после того как MBAM выполнил сканирование, он выдает список инфецированных объектов. Их нужно удалять с помощью этой программы или этого категорически самим делать нельзя?? Там кнопочка есть такая "Удалить объекты"...так прям хочется ее нажать
c:\программы\avz4\quarantine\2011-03-27\avz00001.dta (Trojan.Patch) -> No action taken.
d:\documents and settings\Admin\local settings\Temp\jar_cache7861584970215629486.tmp (Heuristics.Shuriken) -> No action taken.
Проблема решена?
Microsoft MVP 2012-2016 Consumer Security Microsoft MVP 2016 Reconnect
Указанные 2 кода в МВАМ удалены.
Лог прилагаю ниже.
Теперь NOD при загрузке не ругается)) Инет работает хорошо, Chrome тоже заработал, никаких ошибок не выдает, страницы не блокирует. Это здорово. Спасибо вам огромное, ребята. Моя благодарность не знает границ)))
А вот еще подскажите пжл, остальные файлы, которые МВАМ выдает в списке как инфецированные, их как то нужно лечить? или удалять? или вообще не трогать, пусть будут? ))
И еще момент касательно восстановления файла \WINDOWS\System32\sfcfiles.dll - из дистрибутива как-то сразу сложновато мне показалось, нужно будет посидеть, разобраться... а вот если восстанавливать "отсюда" - то нужно просто извлечь файл в C:\WINDOWS\System32\ ?? и всё? этого достаточно будет?
Огромное спасибо за помощь!!!
Чтобы всегда быть в курсе актуальных угроз в области информационной безопасности и сохранять свой компьютер защищенным, рекомендуем следить за последними новостями ИТ-сферы портала Anti-Malware.ru: