Показать полную графическую версию : [решено] taskhost.exe
Kirill0894
20-07-2012, 02:42
Доброго времени суток.
Возникла такая проблема:начал лазить по интернету ,через некоторое время начались закрываться окна,далее компьютер перезагрузился , и нод 32 выдал вирус "taskhost.exe",который было невозможно удалить.
Иногда открываются интернет-страницы с ошибкой :"Соединение закрыто удалённым сервером". Что делать?
Приложенные логи:
Нужны ещё логи AVZ - http://forum.oszone.net/thread-98169.html
Kirill0894
20-07-2012, 12:34
Вчера тут нашел какой-то скрипт. Он,вроде, удалил этот taskhost,но браузер до сих пор выдает ошибки Соединение закрыто удалённым сервером или вообще часть исходного кода страницы.
alex_sev
20-07-2012, 12:45
Вчера тут нашел какой-то скрипт »
Категорически запрещено выполнять чужие скрипты.
Закройте все программы, выгрузите антивирус, файрволл и прочее защитное ПО.
Выполните скрипт в АВЗ (http://safezone.cc/forum/showthread.php?t=10) (Файл - Выполнить скрипт):
begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\ovjtgph.dll','');
QuarantineFile('C:\WINDOWS\system32\7351.tmp','');
QuarantineFile('C:\Documents and Settings\Admin\Application Data\txt.exe','');
DeleteFile('C:\WINDOWS\system32\7351.tmp');
DeleteFile('C:\WINDOWS\system32\ovjtgph.dll');
DeleteFile('C:\Documents and Settings\Admin\Application Data\txt.exe');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
ExecuteWizard('SCU',2,3,true);
RebootWindows(true);
end.
Компьютер перезагрузится, После перезагрузки:
- выполните такой скрипт
begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.
Полученный архив отправьте с помощью этой формы (http://www.oszone.net/virusnet/) или на этот почтовый ящик: quarantine <at> safezone.cc (замените <at> на @) с указанием ссылки на тему в теме (заголовке) сообщения. с указанием пароля: virus в теле письма.
Скачайте Malwarebytes' Anti-Malware (http://malwarebytes.org/mbam-download-exe-random.php) или с зеркала (http://download.bleepingcomputer.com/malwarebytes/mbam-setup.exe), установите, обновите базы, выберите "Perform Full Scan" ("Полное сканирование"), нажмите "Scan" ("Сканирование"), после сканирования - Ok - Show Results ("Показать результаты") - Откройте лог, скопируйте в Блокнот и прикрепите его к следующему посту.
Если лог не открылся, то найти его можно в следующей папке:
%appdata%\Malwarebytes\Malwarebytes' Anti-Malware\Logs
Если базы MBAM в автоматическом режиме обновить не удалось, обновите их отдельно. Загрузить обновление MBAM. (http://data.mbamupdates.com/tools/mbam-rules.exe)
Подробнее читайте в руководстве (http://safezone.cc/forum/showthread.php?t=16050)
Kirill0894
20-07-2012, 13:01
При выполнении первого скрипта выскочила ошибка "диск отсутствует". нажимал продолжить,пока не исчезла. но в итоге написало,что скрипт выполнился без ошибок.
alex_sev
20-07-2012, 13:05
Продолжайте дальше
Kirill0894
20-07-2012, 13:07
quarantine.zip я выслал уже, сейчас система проверяется
alex_sev
20-07-2012, 13:19
В карантине:
Trojan.Mayachok.1
Kirill0894
20-07-2012, 13:26
а с ним что делать?
alex_sev
20-07-2012, 13:42
Это Вам для информации
Kirill0894
20-07-2012, 15:12
вот результат сканирования
alex_sev
20-07-2012, 15:28
Повторите сканирование в MBAM если уже его закрыли и удалите только следующие строки:
HKCR\CLSID\{0CB66BA8-5E1F-4963-93D1-E1D6B78FE9A2} (Trojan.BHO) -> Действие не было предпринято.
HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Settings\{0CB66BA8-5E1F-4963-93D1-E1D6B78FE9A2} (Trojan.BHO) -> Действие не было предпринято.
HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Stats\{0CB66BA8-5E1F-4963-93D1-E1D6B78FE9A2} (Trojan.BHO) -> Действие не было предпринято.
HKLM\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_WEBALTASERVICE (Adware.Webalta) -> Действие не было предпринято.
C:\Documents and Settings\Admin\Application Data\WebaltaService (Adware.Webalta) -> Действие не было предпринято.
C:\Documents and Settings\Admin\Application Data\WebaltaService\WebaltaService.cfg (Adware.Webalta) -> Действие не было предпринято.
подготовьте повторный лог RSIT
Kirill0894
20-07-2012, 15:38
лог RSIT
alex_sev
20-07-2012, 15:52
Последний лог и перестаю Вас мучать.
Как кстати самочувствие?
Загрузите SecurityCheck by screen317 отсюда (http://screen317.spywareinfoforum.org/SecurityCheck.exe) или отсюда (http://screen317.changelog.fr/SecurityCheck.exe) и сохраните утилиту на Рабочем столе Запустите двойным щелчком мыши (если Вы используете Windows XP) или из меню по щелчку правой кнопки мыши Запустить от имени администратора (если Вы используете Windows Vista/7) Когда увидите консоль, нажмите любую клавишу для продолжения сканирования Если увидите предупреждение от вашего фаервола относительно программы SecurityCheck, не блокируйте ее работу. Дождитесь окончания сканирования, откроется лог в блокноте с именем checkup.txt; Прикрепите файл к следующему сообщению.Подробнее читайте в руководстве (http://safezone.cc/forum/showthread.php?t=17023).
Kirill0894
20-07-2012, 15:59
вот. И хотел спросить, стоит ли поменять пароли везде?
alex_sev
20-07-2012, 16:04
JavaFX 2.0.3
JavaFX 2.0.3 SDK
Java(TM) 6 Update 31
Java(TM) 7 Update 3
Java(TM) SE Development Kit 7 Update 3
Java version out of Date!
Нужно обновить до последних версий предварительно удалив (http://java.com/ru/download/faq/remove_olderversions.xml)
http://www.oracle.com/technetwork/java/javafx/downloads/index.html
http://www.oracle.com/technetwork/java/javase/downloads/index.html
стоит ли поменть пароли везде »
Не помешает, троян маячок знаменит тем что подменяет страницы в браузере на поддельные вымогающие деньги.
Kirill0894
20-07-2012, 16:12
а что именно отсюда скачивать для win xp 32
alex_sev
20-07-2012, 16:16
Вы программируете на Java? - тогда Вам виднее
Если нет и Java нужна вам только для запуска приложений, написанных на этом языке то скачивать нужно только это:
http://www.java.com/ru/download/windows_xpi.jsp?locale=ru
если Вам не нужно запускать апплеты java то можно вообще не устанавливать после удаления - одной серьезной уязвимостью станет меньше.
Kirill0894
20-07-2012, 16:18
все,разобрался,спасибо. теперь все? этого вируса нет?
alex_sev
20-07-2012, 16:20
Теперь все, ознакомьтесь с этими рекомендациями (http://forum.oszone.net/post-1838507-9.html)
© OSzone.net 2001-2012
vBulletin v3.6.4, Copyright ©2000-2025, Jelsoft Enterprises Ltd.