Показать полную графическую версию : была ошибка Generation host win 32 и украли пароли
SamuraYVR
11-07-2009, 22:26
помогите пожалуйста :(
вот логи
А зачем выложили архив с HiJack вместо лога???
В этих логах ничего подозрительного.
Загрузите GMER по одной из указанных ссылок
Gmer со случайным именем (рекомендуется) (http://www.gmer.net/download.php), Gmer в zip-архиве (перед применением распаковать в отдельную папку) (http://www.gmer.net/gmer.zip)
Запустите программу (пользователям Vista запускать от имени Администратора по правой кнопке мыши).
Начнется экспресс-проверка. При появлении окна с сообщением о деятельности руткита, нажмите No.
После завершения экспресс-проверки в правой части окна программы уберите метку со следующих пунктов:
Sections
IAT/EAT
Show all
Из всех дисков оставьте отмеченным только системный диск (обычно C:\)
Нажмите на кнопку Scan и дождитесь окончания проверки. При появлении окна с сообщением о деятельности руткита, нажмите OK.
После окончания проверки сохраните его лог (нажмите на кнопку Save) и вложите в сообщение.
SamuraYVR
12-07-2009, 01:00
наверное перепутал...
вот логи
в архиве логи HiJack и GMER
В логах ничего плохого. Проблемы сейчас нет?
SamuraYVR
12-07-2009, 13:24
сегодня утром украли еще 1 пароль, хотя я все куки и все сохраненные пароли очистил, а пароль поменял не сохраняя его в браузере... пароль не легкий и подобрать его было бы невозможно.
вчера я заметил что у меня на некоторых сайтах нет возможности изменить свой профиль, включая пароль, с другого компьютера все поменяли без проблем
у меня от этой дряни уже голова пухнет :(
касперский у меня находил и удалял Net-Worm.Win32.Kido.ih
вчера в реестре посмотрел, следов этого червя нет
SamuraYVR, Здравствуйте. Перед лечением выполните несколько рекомендаций.
Очистите временные файлы.
Пуск-Программы-Стандартные-Служебные-Очистка диска или с помощью ATF Cleaner (http://www.atribune.org/ccount/click.php?id=1)
- скачайте ATF Cleaner (http://www.atribune.org/ccount/click.php?id=1) или с зеркала (http://virusnet.info/forum/downloads.php?do=file&id=1&act=down), запустите, поставьте галочку напротив Select All и нажмите Empty Selected.
- если вы используете Firefox, нажмите Firefox - Select All - Empty Selected
- нажмите No, если вы хотите оставить ваши сохраненные пароли
- если вы используете Opera, нажмите Opera - Select All - Empty Selected
- нажмите No, если вы хотите оставить ваши сохраненные пароли.
Восстановление системы. Создание новой контрольной точки восстановления и очистка предыдущих.
Создание новой точки восстановления: Нажмите Пуск => Программы => Стандартные => Служебные => Восстановление системы, выберите Создать точку восстановления, нажмите Далее, введите имя точки восстановления и нажмите Создать
Очистка всех предыдущих точек восстановления: Нажмите Пуск => Программы => Стандартные => Служебные => Очистка диска, выберите системный диск, на вкладке Дополнительно => Восстановление системы нажмите Очистить, нажмите Да для очистки всех точек восстановления, кроме последней.
Как это сделать, можно подробно прочитать здесь (http://virusnet.info/forum/showthread.php?t=2065).
* Подробнее можно прочитать в этой (http://virusnet.info/forum/showthread.php?t=2065) теме.
• Скрипт AVZ.
Выполните скрипт AVZ. Меню Файл - Выполнить скрипт, вставляем написаный скрипт - кнопка Запустить, после выполнения компьютер перезагрузится.
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('=.exe','');
DeleteFile('=.exe');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
После всех процедур выполните скрипт
begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.
В результате выполнения скрипта будет сформирован карантин quarantine.zip Вышлите полученный файл quarantine.zip на newvirus@kaspersky.com (mailto:newvirus@kaspersky.com). Результаты ответа, сообщите здесь, в теме.
• HiJackThis Нужно пофиксить эти строки в HiJackThis. Выставив галочки напротив этих пунктов и нажмите кнопку Fix Checked. Как пофиксить в HijackThis (http://virusnet.info/forum/showthread.php?t=9)
O4 - HKLM\..\Run: [GEST] =
IP - Ваши?
O17 - HKLM\System\CCS\Services\Tcpip\..\{3517E6AD-F562-408E-8B8D-FE68081EBD0A}: NameServer = 193.34.8.2 193.34.10.2
O17 - HKLM\System\CCS\Services\Tcpip\..\{66D25E95-19D5-43F3-8197-EFFF0DA023BB}: NameServer = 193.34.8.2,193.34.10.2
SamuraYVR
12-07-2009, 20:18
сейчас займусь этим
IP - Ваши?
Код:
O17 - HKLM\System\CCS\Services\Tcpip\..\{3517E6AD-F562-408E-8B8D-FE68081EBD0A}: NameServer = 193.34.8.2 193.34.10.2
O17 - HKLM\System\CCS\Services\Tcpip\..\{66D25E95-19D5-43F3-8197-EFFF0DA023BB}: NameServer = 193.34.8.2,193.34.10.2 »
да мои
это DNS сервера для сети
SamuraYVR
12-07-2009, 21:35
Код:
O4 - HKLM\..\Run: [GEST] = »
такой строчки у меня нет
такой строчки у меня нет »Значит скриптом AVZ удалилась. Если не затруднит, отпишитесь потом, пропадают пароли по прежнему?
SamuraYVR
12-07-2009, 22:33
в общем сделал все как вы написали кроме кода в HiJackThis
буду ждать ответа от ксперского
спасибо за помощь
буду отписывать изменения
SamuraYVR
14-07-2009, 21:37
сейчас попытался войти в почту и пароль не подошел, через процедуру восстановления сменил пароль, но и новый пароль не подошел.. и так 3 раза, попытался зайти на другой сайт, та же ерунда
знакомая со своего компьютера зашла в мою учетку под старым паролем...
после перезагрузки у касперского ошибка, сделал ему восстановление
ps с лаборатории касперского так и не ответили еще
знакомая со своего компьютера зашла в мою учетку под старым паролем... »Интересно, если учестьпроцедуру восстановления сменил пароль »Может вы не активировали новый пароль? Там вроде бы при смене пароля, нужно ещё по ссылке какой-то активировать новый. Попробуйте ещё вот утилитой SDFix проверить компьютер:
Скачайте SDFix (http://downloads.andymanchesta.com/RemovalTools/SDFix.exe), загрузитесь в безопасном режиме, запустите утилиту (запустить RunThis.bat - подтвердить, нажав "Y"), после окончания сканирования скопируйте текст из C:\Report.txt и вставьте в следующее сообщение или запакуйте файл C:\Report.txt и прикрепите к сообщению
Описание SDFix есть здесь (http://www.saule-spb.ru/library/sdfix.html).
SamuraYVR
15-07-2009, 10:36
забыл написать, в конце я старый пароль вернул...
SDFix'ом сейчас проверю
вот результаты
SamuraYVR
16-07-2009, 18:03
в общем скорее всего у меня пароли не воровали
через оперу (все время ею пользуюсь) на некоторые сайты пароли не подходят, а через интернет експлоер зашел.
вирус у меня был Net-Worm.Win32.Kido.ih
и еще 3 трояна, но лог сохранился в знаках вопроса и я не помню какие имено были
в общем закрываю дырку с ошибкой Generetic host win32 в винде и форматирую харды
самый надежныц способ защиты
огромное спасибо вам за помощь )
© OSzone.net 2001-2012
vBulletin v3.6.4, Copyright ©2000-2025, Jelsoft Enterprises Ltd.