![]() |
Много зловредов (8-9 типов), система грузится только в безопасном режиме
Здравствуйте!
Имеется компьютер знакомых. Нормально не грузится - после загрузки просто виснет и ничего нельзя сделать. Загрузился в безопасном режиме, просканировал CureIt'ом (быстрая проверка), было найдено 8-9 разновидностей троянов (в основном тип Autorunner) - все они были им удалены. Посчитал это достаточным и установил и запустил Kaspersky Antivirus Tool - были найдено еще несколько разновидностей зловредов. Более того, он загрузил т.н. табличку "активное заражение" - удалял "активные" вирусы, затем перезагружался и снова их же находил. После очередной перезагрузки снял логи с помощью AVZ и HiJackThis (прикрепляю). Сейчас загрузился с LiveCD, поставил и запустил Kaspersky Antivirus Tool на полную проверку компьютера с лечением (при невозможности лечения - удалением) всех попавшихся зловредов. Что можно сделать по логам? |
*Скрипт АВЗ
Перед выполнением скрипта отключите защитное ПО (антивирус, файрволл) AVZ, меню "Файл -> Выполнить скрипт" -> Скопировать ниже написанный скрипт -> Нажать кнопку "Запустить". Код:
begin После перезагрузки выполните такой скрипт AVZ, меню "Файл -> Выполнить скрипт" -> Скопировать ниже написанный скрипт -> Нажать кнопку "Запустить". Код:
begin quarantine@virusnet.info, в названии темы укажите – "Проверка карантина". В теле сообщения укажите адрес своей темы на форуме. Результаты ответа сообщите здесь, в теме. Попробуйте загрузиться в обычном режиме и сделать повторные логи AVZ. Скачайте Malwarebytes' Anti-Malware или с зеркала, установите, обновите базы, выберите "Perform Full Scan", нажмите "Scan", после сканирования - Ok - Show Results (показать результаты) - Откройте лог и скопируйте в блокнот и прикрепите его к следующему посту. |
Компьютер загрузился нормально, но, судя по не открывающемуся диспетчеру задач, заражение все еще присутствует. Логи сделал (прилагаю), файл quarantine.zip на quarantine@virusnet.info отправил... Еще: через n-ное кол-во времени сам выключается интернет... Сейчас тороплюсь написать сообщение чтобы этого не произошло...
|
Отключите восстановление системы!
Удалите всё, что нашел MBAM Проверьте эти файлы на www.virustotal.com C:\Documents and Settings\Администратор\Local Settings\Temp\_uninst_setup_9.0.0.722_18.10.2010_15-18.exe.bat C:\WINDOWS\system32\hidec C:\Windows\System32\Drivers\Parport.SYS Приведите ссылки с результатами проверки Да, кое-что не удалилось Выполните скрипт в AVZ AVZ, меню "Файл -> Выполнить скрипт" -> Скопировать ниже написанный скрипт -> Нажать кнопку "Запустить". Код:
begin Подготовьте повторные логи AVZ и MBAM |
отключил восстановление системы...
1-ый файл не нашел... (после формирования логов и отсылки их вам стер антивирус (стоял НОД32) и установил Avira Antivir и Comodo Firewall) - может быть поэтому... Далее выполнил скрипт Security Advisory Tool c сайта virusinfo.info (по книге Н. Головко "Безопасный интернет", а также воспользовался программкой wwdc.exe для закрытия портов). Если нарушил что-то - извиняюсь... по второму файлу вот ссылка: http://www.virustotal.com/file-scan/...73f-1286880099 Также некое приложение lauchy.exe пытается пробиться через Comodo, но я не даю ему этого сделать (уже 2 раза за последние 20 минут)... При выполнении скрипта AVZ возникла следующая ошибка: "Failed to set data for "DisplayName" . Комп в итоге не перезагрузился. Что делать? Формировать ли логи в таком случае? |
Эти не проверили?
C:\WINDOWS\system32\hidec C:\Windows\System32\Drivers\Parport.SYS Всё найденное в MBAM удалили? Попробуйте еще раз выполнить скрипт АВЗ, если опять выдаст ошибку уберите из скрипта строчку SearchRootkit(true, true); и выполните так. После чего подготовьте логи. Цитата:
C:\Program Files\Launchy\Launchy.exe |
Также воспользовался утилитой по отмене автозапуска: http://forum.oszone.net/thread-141480.html (поставил "параноидальный" режим)...
Проверил только hidec.exe , просто hidec - такого файла не оказалось... Parport.sys не проверял, найденное MBAM не удалял... Все только завтра вечером, т.к. сегодня уже дома... |
Перед выполнением скрипта отключите антивирус и файрволл, возможно ошибка из-за этого
|
с помощью МВАМ все удалил,
При выполнении скрипта ошибок не было :-) Логи прилагаю... сканирование всех файлов: parport.sys http://www.virustotal.com/file-scan/...ac8-1287591381 hidec.exe http://www.virustotal.com/file-scan/...73f-1287591838 launchy.exe http://www.virustotal.com/file-scan/...7ff-1287592365 Да, еще невозможно запустить диспетчер задач. Как это можно поправить? |
Чисто.
Цитата:
скрипт -> Нажать кнопку "Запустить". Код:
begin Создайте новую контрольную точку восстановления и удалите зараженную: 1. Нажмите Пуск - Программы – Стандартные – Служебные – Очистка диска, выберите системный диск, на вкладке Дополнительно - Восстановление системы нажмите Очистить 2. Нажмите Пуск- Программы – Стандартные – Служебные – Восстановление системы, выберите Создать точку восстановления, нажмите Далее, введите имя точки восстановления и нажмите Создать. Скачайте ATF Cleaner, запустите, поставьте галочку напротив Select All и нажмите Empty Selected. если вы используете Firefox, нажмите Firefox - Select All - Empty Selected нажмите No, если вы хотите оставить ваши сохраненные пароли если вы используете Opera, нажмите Opera - Select All - Empty Selected нажмите No, если вы хотите оставить ваши сохраненные пароли. Установите Service Pack 3 для Windows XP Для предотвращения заражения рекомендую вам придерживаться этих правил: 1.Не работайте с правами администратора 2.Используйте браузер Firefox с дополнением NoScript Если вы используете браузер Internet Explorer, отключите в нем ActiveX (Сервис -> свойства обозревателя -> безопасность -> другой -> запуск элементов ActiveX и модулей подключения 3.Устанавливайте все важные обновления Windows. 4.Ежедневно обновляйте антивирусные базы. |
Установил SP3 еще до того, как вы написали, а также сделал Acronis'ом образ диска (перед установкой SP3) :-)...
ATF Cleaner'ом очистку сделал, как вы написали... Одна маленькая проблема есть, но я не знаю, возможно, она не из-за заражения - Windows тут от Zver'ya: при установке pre SP4 от dimadr выдает вот такую ошибку: "Произошла ошибка при выполнении "setup.cmd". Отказано в доступе" Диспетчер задач восстановился... :-) |
Цитата:
Рекомендую сменить все важные пароли!!! Цитата:
Скорее всего дело в Zver |
как учетная запись называется - не обратил внимания и именно сейчас уже не узнаю (уже дома), но она имеет админские права, т.к. под ней устанавливал и удалял программы... Ответ на отосланный quarantine.zip пока не пришел и я забыл (по рассеянности) дать в нем ссылку на тему...
|
Цитата:
Удачи! :) |
Спасибо за помощь... Вам тоже удачи! :)
|
Время: 22:19. |
Время: 22:19.
© OSzone.net 2001-