dytyna Posted May 12, 2009 Report Share Posted May 12, 2009 Логи прикрепила. Link to comment Share on other sites More sharing options...
Alex56 Posted May 12, 2009 Report Share Posted May 12, 2009 1. AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт -- Нажать кнопку "Запустить" beginSearchRootkit(true, true);SetAVZGuardStatus(True);QuarantineFile('C:\RESTORE\H-6-1-53-0976546321-090909032-8763-1337\GooD.exe','');DeleteFile('C:\RESTORE\H-6-1-53-0976546321-090909032-8763-1337\GooD.exe');BC_ImportALL;ExecuteSysClean;BC_Activate;RebootWindows(true);end. После выполнения скрипта компьютер перезагрузится. Выполните еще этот скрипт beginCreateQurantineArchive(GetAVZDirectory+'quarantine.zip');end. quarantine.zip отправьте на newvirus@kaspersky.com 2. Скачайте OTMoveIt3 by OldTimer или с зеркала и сохраните на рабочий стол. Запустите OTMoveIt3 (в ОС Windows Vista необходимо запускать через правую кн. мыши от имени администратора) временно выключите антивирус, firewall и другое защитное программное обеспечение. Выделите и скопируйте текст ниже (Ctrl+C) :Processesexplorer.exe:Services:Files:Reg[-HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{896f8f02-16d0-11dd-8a2c-0014a52a58e6}][-HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{90f2893b-8893-11dc-8999-0014a52a58e6}][-HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{98725fc2-fe8c-11dc-8a18-0014a52a58e6}][-HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{cb2f9279-b1b7-11da-87c4-0014a52a58e6}][-HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{dda1d73a-9dbd-11db-88bb-0014a52a58e6}]:Commands[purity][emptytemp][start explorer][Reboot] В OTMoveIt3 под панелью "Paste Instructions for Items to be Moved" (под желтой панелью) вставьте скопированный текст и нажмите кнопку "MoveIt!". Выделите (Ctrl+A) и скопируйте (Ctrl+C) текст из окна под панелью "Results" (правая зеленая панель) в следующее сообщение. Прим: Если файлы и папки не могут быть перемещены немедленно и появиться запись <deleted on reboot>, потребуется перезагрузка. После перезагрузки откройте папку "C:\_OTMoveIt\MovedFiles", найдите последний .log файл (лог в формате mmddyyyy_hhmmss.log), откройте и скопируйте текст из него в следующее сообщение. Сделайте новые логи Link to comment Share on other sites More sharing options...
dytyna Posted May 12, 2009 Author Report Share Posted May 12, 2009 ========== PROCESSES ========== Process explorer.exe killed successfully. ========== SERVICES/DRIVERS ========== ========== FILES ========== ========== REGISTRY ========== Registry key HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{896f8f02-16d0-11dd-8a2c-0014a52a58e6}\\ deleted successfully. Registry key HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{90f2893b-8893-11dc-8999-0014a52a58e6}\\ deleted successfully. Registry key HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{98725fc2-fe8c-11dc-8a18-0014a52a58e6}\\ deleted successfully. Registry key HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{cb2f9279-b1b7-11da-87c4-0014a52a58e6}\\ deleted successfully. Registry key HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{dda1d73a-9dbd-11db-88bb-0014a52a58e6}\\ deleted successfully. ========== COMMANDS ========== User's Temp folder emptied. User's Temporary Internet Files folder emptied. User's Internet Explorer cache folder emptied. Local Service Temp folder emptied. File delete failed. C:\Documents and Settings\LocalService\Local Settings\Temporary Internet Files\Content.IE5\index.dat scheduled to be deleted on reboot. Local Service Temporary Internet Files folder emptied. Windows Temp folder emptied. Java cache emptied. FireFox cache emptied. Temp folders emptied. Explorer started successfully OTMoveIt3 by OldTimer - Version 1.0.8.0 log created on 05122009_143524 Files moved on Reboot... File move failed. C:\Documents and Settings\LocalService\Local Settings\Temporary Internet Files\Content.IE5\index.dat scheduled to be moved on reboot. Логи в работе, карантин отправляю. Ответ от них нужно выставлять? Link to comment Share on other sites More sharing options...
dytyna Posted May 12, 2009 Author Report Share Posted May 12, 2009 (edited) Новые логи. Из Касперского сообщили, что в карантине ничего. Edited May 12, 2009 by dytyna Link to comment Share on other sites More sharing options...
Alex56 Posted May 12, 2009 Report Share Posted May 12, 2009 Чисто. Link to comment Share on other sites More sharing options...
dytyna Posted May 12, 2009 Author Report Share Posted May 12, 2009 Чисто. Спасибо! Link to comment Share on other sites More sharing options...
dytyna Posted May 13, 2009 Author Report Share Posted May 13, 2009 Прошу меня извинить, но что-то все-таки не в порядке с этим компом. Перегружается самостоятельно в режиме монитора с часами без причины и слишком большой объем темпов. И еще: раньше автоматически включался "спящий режим", теперь только часы. Может, повторить логи еще раз? Link to comment Share on other sites More sharing options...
Alex56 Posted May 13, 2009 Report Share Posted May 13, 2009 Давайте повторим. Link to comment Share on other sites More sharing options...
dytyna Posted May 14, 2009 Author Report Share Posted May 14, 2009 Давайте повторим. Link to comment Share on other sites More sharing options...
ТроПа Posted May 14, 2009 Report Share Posted May 14, 2009 Активного заражения в логах не видно. И еще: раньше автоматически включался "спящий режим", теперь только часы. Свойства Экрана не меняли? Link to comment Share on other sites More sharing options...
dytyna Posted May 14, 2009 Author Report Share Posted May 14, 2009 Свойства Экрана не меняли? Не трогали, но вчера, когда осознали, что перестал "засыпать", после отправки логов, проверили свойства ("сон" был установлен), и все возобновилось. Хорошо, если все в порядке, оставим его пока что в покое. Link to comment Share on other sites More sharing options...
dytyna Posted May 15, 2009 Author Report Share Posted May 15, 2009 Раз мы уже вернулись к первому компу и оказалось, что все не так просто, пожалуйста, проверьте еще раз и второй. Система отключает один процесс, прилагаю 2 скрина (не нашла никакого графического редактора, кинула просто в Ворд, прошу извинить за неудобства). Link to comment Share on other sites More sharing options...
thyrex Posted May 15, 2009 Report Share Posted May 15, 2009 Тогда и здесь давайте применим полиморфный AVZ и сделаем логи им Link to comment Share on other sites More sharing options...
dytyna Posted May 15, 2009 Author Report Share Posted May 15, 2009 Вот Link to comment Share on other sites More sharing options...
dytyna Posted May 16, 2009 Author Report Share Posted May 16, 2009 Mbam нашел 9 инфицированных объектов. Позже покажу лог. Link to comment Share on other sites More sharing options...
dytyna Posted May 22, 2009 Author Report Share Posted May 22, 2009 Вот лог. Link to comment Share on other sites More sharing options...
Alex56 Posted May 22, 2009 Report Share Posted May 22, 2009 В этом логе все что нашел mbam удалил, сделайте новый лог. Link to comment Share on other sites More sharing options...
dytyna Posted May 25, 2009 Author Report Share Posted May 25, 2009 Mbam на этот раз ничего не нашел. Не знаю, тормозит все-таки система. Подождем пока, посмотрим, как будет работать. Link to comment Share on other sites More sharing options...
Pili Posted May 26, 2009 Report Share Posted May 26, 2009 Давайте и здесь посмотрим с помощью других утилит. Выгрузите драйвер расширенного мониторинга процессов AVZ: запустите AVZ, в меню - AVZM - удалить и выгрузить драйвер расширенного мониторинга процессов и перезагрузите компьютер или выполните скрипт beginSetAVZPMStatus(false);ExecuteStdScr(6);RebootWindows(true); end. Скачайте ComboFix здесь, здесь или здесь и сохраните на рабочий стол. Установите Recovery Console по инструкции (на англ.яз) - how-to-use-combofix и здесь - скачайте установочный файл для своей ОС (например Windows XP с пакетом обновления 2 (SP2) - для Windows XP SP3 использовать этот же файл) на рабочий стол, закройте все остальные приложения и мышкой перенесите установочный файл на иконку ComboFix и установите Microsoft Recovery Console. Доп. см. Установочные диски для установки с гибкого диска. После установки консоли восстановления программа предложит запустить сканирование, подтвердите, нажав Yes. Когда процесс сканирования завершится, скопируйте (Ctrl+A, Ctrl+C) текст из C:\ComboFix.txt и вставьте (Ctrl+V) в следующее сообщение если текст не уместится в одном сообщении, продолжите его в следующем или запакуйте файл C:\ComboFix.txt и прикрепите к сообщению. Внимание! Перед запуском сканирования обязательно закройте все браузеры, временно выключите антивирус, firewall и другое защитное программное обеспечение. Не запускайте других программ во время работы Combofix и не нажимайте кнопки мыши. Combofix может отключить интернет через некоторое время после запуска, не переподключайте интернет пока Combofix не завершит работу. Если интернет не появился после окончания работы Combofix, перезагрузите компьютер. Как использовать ComboFix - how-to-use-combofix (на англ.яз.) и здесь (на русском) Прим: В случае, если ComboFix не запускается, переименуйте combofix.exe в combo-fix.exe Скачайте DDS DDS.scr, DDS.pif или DDS.com сохраните на рабочий стол, отключите антивирус и запустите DDS, когда сканирование закончится, скопируйте текст из файлов DDS.txt и Attach.txt в сообщение или запакуйте файлы и вложите в сообщение. Скачайте и запустите Online Solutions Autorun Manager, дождитесь пока закончится сканирование и затем нажмите на вторую кнопку в верхнем меню программы (кнопка "Save Log"): Сохраните отчет и скопируйте содержимое в следующее сообщение или запакуйте лог и вложите в сообщение. Link to comment Share on other sites More sharing options...
dytyna Posted May 31, 2009 Author Report Share Posted May 31, 2009 Все логи в архиве. Link to comment Share on other sites More sharing options...
Pili Posted June 1, 2009 Report Share Posted June 1, 2009 По логам ничего плохого. Деинсталлируйте ComboFix: нажмите пуск – выполнить - Combofix /u Скачайте OTCleanIt, запустите, нажмите CleanUp! Рекомендую обновить Java Link to comment Share on other sites More sharing options...
dytyna Posted June 2, 2009 Author Report Share Posted June 2, 2009 Хорошо, спасибо. Link to comment Share on other sites More sharing options...
Recommended Posts