Еще один комп на осмотр

[dytyna]

Логи прикрепила.

[Alex56]

1. AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт -- Нажать кнопку "Запустить"

beginSearchRootkit(true, true);SetAVZGuardStatus(True);QuarantineFile('C:\RESTORE\H-6-1-53-0976546321-090909032-8763-1337\GooD.exe','');DeleteFile('C:\RESTORE\H-6-1-53-0976546321-090909032-8763-1337\GooD.exe');BC_ImportALL;ExecuteSysClean;BC_Activate;RebootWindows(true);end.

После выполнения скрипта компьютер перезагрузится.

Выполните еще этот скрипт

beginCreateQurantineArchive(GetAVZDirectory+'quarantine.zip');end.

quarantine.zip отправьте на newvirus@kaspersky.com

2. Скачайте OTMoveIt3 by OldTimer или с зеркала и сохраните на рабочий стол.

Запустите OTMoveIt3 (в ОС Windows Vista необходимо запускать через правую кн. мыши от имени администратора)

временно выключите антивирус, firewall и другое защитное программное обеспечение. Выделите и скопируйте текст ниже (Ctrl+C)

:Processesexplorer.exe:Services:Files:Reg[-HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{896f8f02-16d0-11dd-8a2c-0014a52a58e6}][-HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{90f2893b-8893-11dc-8999-0014a52a58e6}][-HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{98725fc2-fe8c-11dc-8a18-0014a52a58e6}][-HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{cb2f9279-b1b7-11da-87c4-0014a52a58e6}][-HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{dda1d73a-9dbd-11db-88bb-0014a52a58e6}]:Commands[purity][emptytemp][start explorer][Reboot]

В OTMoveIt3 под панелью "Paste Instructions for Items to be Moved" (под желтой панелью) вставьте скопированный текст и нажмите кнопку "MoveIt!". Выделите (Ctrl+A) и скопируйте (Ctrl+C) текст из окна под панелью "Results" (правая зеленая панель) в следующее сообщение.

Прим: Если файлы и папки не могут быть перемещены немедленно и появиться запись <deleted on reboot>, потребуется перезагрузка. После перезагрузки откройте папку "C:\_OTMoveIt\MovedFiles", найдите последний .log файл (лог в формате mmddyyyy_hhmmss.log), откройте и скопируйте текст из него в следующее сообщение.

Сделайте новые логи

[dytyna]

========== PROCESSES ==========

Process explorer.exe killed successfully.

========== SERVICES/DRIVERS ==========

========== FILES ==========

========== REGISTRY ==========

Registry key HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{896f8f02-16d0-11dd-8a2c-0014a52a58e6}\\ deleted successfully.

Registry key HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{90f2893b-8893-11dc-8999-0014a52a58e6}\\ deleted successfully.

Registry key HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{98725fc2-fe8c-11dc-8a18-0014a52a58e6}\\ deleted successfully.

Registry key HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{cb2f9279-b1b7-11da-87c4-0014a52a58e6}\\ deleted successfully.

Registry key HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{dda1d73a-9dbd-11db-88bb-0014a52a58e6}\\ deleted successfully.

========== COMMANDS ==========

User's Temp folder emptied.

User's Temporary Internet Files folder emptied.

User's Internet Explorer cache folder emptied.

Local Service Temp folder emptied.

File delete failed. C:\Documents and Settings\LocalService\Local Settings\Temporary Internet Files\Content.IE5\index.dat scheduled to be deleted on reboot.

Local Service Temporary Internet Files folder emptied.

Windows Temp folder emptied.

Java cache emptied.

FireFox cache emptied.

Temp folders emptied.

Explorer started successfully

OTMoveIt3 by OldTimer - Version 1.0.8.0 log created on 05122009_143524

Files moved on Reboot...

File move failed. C:\Documents and Settings\LocalService\Local Settings\Temporary Internet Files\Content.IE5\index.dat scheduled to be moved on reboot.

Логи в работе, карантин отправляю.

Ответ от них нужно выставлять?

[dytyna]

Новые логи.

Из Касперского сообщили, что в карантине ничего.

Изменено 12 мая, 2009 пользователем dytyna

[Alex56]

Чисто.

[dytyna]

Чисто.

Спасибо!

[dytyna]

Прошу меня извинить, но что-то все-таки не в порядке с этим компом. Перегружается самостоятельно в режиме монитора с часами без причины и слишком большой объем темпов. И еще: раньше автоматически включался "спящий режим", теперь только часы.

Может, повторить логи еще раз?

[Alex56]

Давайте повторим.

[dytyna]

Давайте повторим.

[ТроПа]

Активного заражения в логах не видно.

И еще: раньше автоматически включался "спящий режим", теперь только часы.

Свойства Экрана не меняли?

[dytyna]

Свойства Экрана не меняли?

Не трогали, но вчера, когда осознали, что перестал "засыпать", после отправки логов, проверили свойства ("сон" был установлен), и все возобновилось.

Хорошо, если все в порядке, оставим его пока что в покое.

[dytyna]

Раз мы уже вернулись к первому компу и оказалось, что все не так просто, пожалуйста, проверьте еще раз и второй. Система отключает один процесс, прилагаю 2 скрина (не нашла никакого графического редактора, кинула просто в Ворд, прошу извинить за неудобства).

[thyrex]

Тогда и здесь давайте применим полиморфный AVZ и сделаем логи им

[dytyna]

Вот

[dytyna]

Mbam нашел 9 инфицированных объектов. Позже покажу лог.

[dytyna]

Вот лог.

[Alex56]

В этом логе все что нашел mbam удалил, сделайте новый лог.

[dytyna]

Mbam на этот раз ничего не нашел. Не знаю, тормозит все-таки система. Подождем пока, посмотрим, как будет работать.

[Pili]

Давайте и здесь посмотрим с помощью других утилит.

Выгрузите драйвер расширенного мониторинга процессов AVZ: запустите AVZ, в меню - AVZM - удалить и выгрузить драйвер расширенного мониторинга процессов и перезагрузите компьютер или выполните скрипт

beginSetAVZPMStatus(false);ExecuteStdScr(6);RebootWindows(true); end.

Скачайте ComboFix здесь, здесь или здесь и сохраните на рабочий стол.

Установите Recovery Console по инструкции (на англ.яз) - how-to-use-combofix и здесь - скачайте установочный файл для своей ОС (например Windows XP с пакетом обновления 2 (SP2) - для Windows XP SP3 использовать этот же файл) на рабочий стол, закройте все остальные приложения и мышкой перенесите установочный файл на иконку ComboFix и установите Microsoft Recovery Console. Доп. см. Установочные диски для установки с гибкого диска.

После установки консоли восстановления программа предложит запустить сканирование, подтвердите, нажав Yes.

Когда процесс сканирования завершится, скопируйте (Ctrl+A, Ctrl+C) текст из C:\ComboFix.txt и вставьте (Ctrl+V) в следующее сообщение если текст не уместится в одном сообщении, продолжите его в следующем или запакуйте файл C:\ComboFix.txt и прикрепите к сообщению.

Внимание! Перед запуском сканирования обязательно закройте все браузеры, временно выключите антивирус, firewall и другое защитное программное обеспечение. Не запускайте других программ во время работы Combofix и не нажимайте кнопки мыши. Combofix может отключить интернет через некоторое время после запуска, не переподключайте интернет пока Combofix не завершит работу. Если интернет не появился после окончания работы Combofix, перезагрузите компьютер.

Как использовать ComboFix - how-to-use-combofix (на англ.яз.) и здесь (на русском)

Прим: В случае, если ComboFix не запускается, переименуйте combofix.exe в combo-fix.exe

Скачайте DDS DDS.scr, DDS.pif или DDS.com сохраните на рабочий стол, отключите антивирус и запустите DDS, когда сканирование закончится, скопируйте текст из файлов DDS.txt и Attach.txt в сообщение или запакуйте файлы и вложите в сообщение.

Скачайте и запустите Online Solutions Autorun Manager, дождитесь пока закончится сканирование и затем нажмите на вторую кнопку в верхнем меню программы (кнопка "Save Log"):

Сохраните отчет и скопируйте содержимое в следующее сообщение или запакуйте лог и вложите в сообщение.

[dytyna]

Все логи в архиве.

[Pili]

По логам ничего плохого.

Деинсталлируйте ComboFix: нажмите пуск – выполнить - Combofix /u

Скачайте OTCleanIt, запустите, нажмите CleanUp!

Рекомендую обновить Java

[dytyna]

Хорошо, спасибо.