Jeopardist 0 Опубликовано 11 июня, 2011 Share Опубликовано 11 июня, 2011 (изменено) Итак, после полугодичного использования Misrosoft Essential я решил вернуться к старому доброму KISу. Проблема состоит в следующем: каждые несколько часов в подробном отчёте говорится об обнаружении следующих вирусов: 1)Worm.Win32.AutoRun.ckjw в C:\Documents and Settings\Admin\Application Data\tlzns.exe 2)Trojan.Win32.Llac.zxd в C:\WINDOWS\Temp\tmpb050d220\c2.exe КИС не выполняет с ними никаких действий. Прошу помочь. Вроде бы особо никаких проблем с работой ПК нет, но всегда приятно, когда он чистый. Логи прилагаются. virusinfo_syscure.zip virusinfo_syscheck.zip hijackthis.log Изменено 11 июня, 2011 пользователем Jeopardist Цитата Ссылка на сообщение Поделиться на другие сайты
zirreX 10 Опубликовано 11 июня, 2011 Share Опубликовано 11 июня, 2011 (изменено) Здравствуйте! Перед выполнением скрипта отключите защиту KIS! (ПКМ по значку в трее - Приостановка защиты) Выполните скрипт в AVZ AVZ, меню "Файл -> Выполнить скрипт" -> Скопировать ниже написанный скрипт -> Нажать кнопку "Запустить". begin ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.'); ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true); SearchRootkit(true, true); SetAVZGuardStatus(true); SetServiceStart('fsxnjkhq', 4); SetServiceStart('pxodqwai', 4); QuarantineFile('C:\WINDOWS\system32\winbootr\svchost.exe',''); QuarantineFile('C:\Documents and Settings\Admin\Application Data\Puixuz\tiwo.exe',''); QuarantineFile('C:\Documents and Settings\Admin\Application Data\J18VS5J5.exe',''); QuarantineFile('C:\WINDOWS\system32\drivers\pxodqwai.sys',''); QuarantineFile('C:\WINDOWS\system32\drivers\fsxnjkhq.sys',''); QuarantineFile('c:\documents and settings\admin\Рабочий стол\akson.exe',''); DeleteFile('C:\WINDOWS\system32\drivers\fsxnjkhq.sys'); DeleteFile('C:\WINDOWS\system32\drivers\pxodqwai.sys'); DeleteFile('C:\Documents and Settings\Admin\Application Data\J18VS5J5.exe'); DeleteFile('C:\Documents and Settings\Admin\Application Data\Puixuz\tiwo.exe'); DeleteFile('C:\WINDOWS\system32\winbootr\svchost.exe'); DelCLSID('{46378E8P-H638-4E86-IKKI-WIFI13W7FA7Y}'); RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','NKRY12LW45IMP'); RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','NKRY12LW45IMP'); RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','{D8066EDF-CA2F-97AB-BAA1-23DA88184D86}'); RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','HKLM'); RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','HKCU'); RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','Policies'); RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','Policies'); DeleteService('pxodqwai'); DeleteService('fsxnjkhq'); DeleteFileMask('C:\WINDOWS\TEMP\', '*.*', true); DeleteFileMask(GetEnvironmentVariable ('Temp'), '*.*', true); BC_ImportAll; ExecuteSysClean; BC_DeleteFile('C:\WINDOWS\system32\winbootr\svchost.exe'); BC_DeleteSvc('fsxnjkhq'); BC_DeleteSvc('pxodqwai'); BC_Activate; RebootWindows(true); end. После выполнения скрипта компьютер перезагрузится! После перезагрузки выполните такой скрипт: AVZ, меню "Файл -> Выполнить скрипт" -> Скопировать ниже написанный скрипт -> Нажать кнопку "Запустить". begin CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); end. Отправьте файл quarantine.zip через данную форму или через личный кабинет, при условии, что вы являетесь пользователем продуктов Лаборатории Касперского. В строке "Подробное описание возникшей ситуации:", напишите пароль на архив "virus" (без кавычек). В строке "Электронный адрес:" укажите свой электронный адрес. Полученный ответ сообщите в этой теме. Пофиксите в hijackthis O9 - Extra button: (no name) - {8DAE90AD-4583-4977-9DD4-4360F7A45C74} - (no file) O18 - Protocol: solores - {8FA1F4E9-444B-48BF-98CD-B8ECA88E6BA5} - (no file) Сделайте новые логи! • Скачайте Malwarebytes' Anti-Malware или с зеркала, установите, обновите базы, выберите "Perform Full Scan", нажмите "Scan", после сканирования - Ok - Show Results (показать результаты) - Откройте лог и скопируйте в блокнот и прикрепите его к следующему посту. Если базы MBAM в автоматическом режиме обновить не удалось, обновите их отдельно. Загрузить обновление MBAM. Изменено 11 июня, 2011 пользователем zirreX Цитата Ссылка на сообщение Поделиться на другие сайты
Jeopardist 0 Опубликовано 11 июня, 2011 Автор Share Опубликовано 11 июня, 2011 Полученный ответ сообщите в этой теме. В этой? Или там ссылка? Просто эта ссылка ведёт вникуда. Цитата Ссылка на сообщение Поделиться на другие сайты
zirreX 10 Опубликовано 11 июня, 2011 Share Опубликовано 11 июня, 2011 В этой? Или там ссылка? Просто эта ссылка ведёт вникуда. Ошибка. В этой теме. Цитата Ссылка на сообщение Поделиться на другие сайты
oliva 42 Опубликовано 12 июня, 2011 Share Опубликовано 12 июня, 2011 (изменено) У меня та же история. Схватила несколько вирусов на флешку. Пришлось удалить, лечению не поддавались. Обратилась в службу ТП. Они рекомендовали выполнить скрипт. Но в нем ошибка. Помогите пожалуйста ее исправить. Вот текст самого скрипта: begin SetAVZGuardStatus(True); SearchRootkit(true, true); begin QuarantineFile('appmgmts.dll',''); QuarantineFile('C:\WINDOWS\system32\EncIcons.dll',''); QuarantineFile('C:\WINDOWS\system32\SetDev.dll',''); QuarantineFile('C:\WINDOWS\system32\Momo.dll',''); QuarantineFile('C:\WINDOWS\system32\MainOp.dll',''); QuarantineFile('C:\WINDOWS\system32\FunFrm.dll',''); QuarantineFile('C:\WINDOWS\system32\FaceVerify.dll',''); QuarantineFile('C:\WINDOWS\system32\facev.dll',''); QuarantineFile('C:\WINDOWS\system32\Apblend.dll',''); end. BC_ImportAll; ExecuteSysClean; BC_Activate; RebootWindows(true); end. Скриншот сообщения об ошибке прилагаю. Спасибо. Изменено 12 июня, 2011 пользователем oliva Цитата Ссылка на сообщение Поделиться на другие сайты
Tiare 183 Опубликовано 12 июня, 2011 Share Опубликовано 12 июня, 2011 обратилась в службу ТП. Они рекомендовали выполнить скрипт. Но в нем ошибка. Помогите пожалуйста ее исправить. Исправила begin SetAVZGuardStatus(True); SearchRootkit(true, true); QuarantineFile('appmgmts.dll',''); QuarantineFile('C:\WINDOWS\system32\EncIcons.dll',''); QuarantineFile('C:\WINDOWS\system32\SetDev.dll',''); QuarantineFile('C:\WINDOWS\system32\Momo.dll',''); QuarantineFile('C:\WINDOWS\system32\MainOp.dll',''); QuarantineFile('C:\WINDOWS\system32\FunFrm.dll',''); QuarantineFile('C:\WINDOWS\system32\FaceVerify.dll',''); QuarantineFile('C:\WINDOWS\system32\facev.dll',''); QuarantineFile('C:\WINDOWS\system32\Apblend.dll',''); BC_ImportAll; ExecuteSysClean; BC_Activate; RebootWindows(true); end. oliva, у каждого пользователя проблема индивидуальная, поэтому нужно создавать отдельную тему. Тем самым не вводить в заблуждние других пользователей и хелперов Цитата Ссылка на сообщение Поделиться на другие сайты
oliva 42 Опубликовано 12 июня, 2011 Share Опубликовано 12 июня, 2011 Исправила begin SetAVZGuardStatus(True); SearchRootkit(true, true); QuarantineFile('appmgmts.dll',''); QuarantineFile('C:\WINDOWS\system32\EncIcons.dll',''); QuarantineFile('C:\WINDOWS\system32\SetDev.dll',''); QuarantineFile('C:\WINDOWS\system32\Momo.dll',''); QuarantineFile('C:\WINDOWS\system32\MainOp.dll',''); QuarantineFile('C:\WINDOWS\system32\FunFrm.dll',''); QuarantineFile('C:\WINDOWS\system32\FaceVerify.dll',''); QuarantineFile('C:\WINDOWS\system32\facev.dll',''); QuarantineFile('C:\WINDOWS\system32\Apblend.dll',''); BC_ImportAll; ExecuteSysClean; BC_Activate; RebootWindows(true); end. oliva, у каждого пользователя проблема индивидуальная, поэтому нужно создавать отдельную тему. Тем самым не вводить в заблуждние других пользователей и хелперов Спасибо за помощь. Замечание поняла. Цитата Ссылка на сообщение Поделиться на другие сайты
Jeopardist 0 Опубликовано 12 июня, 2011 Автор Share Опубликовано 12 июня, 2011 (изменено) Пришел ответ. Hello, This message is generated by automatic letter reception system. The report contains information on what the verdicts on the files (if any in the letter) makes antivirus with latest updates. Letter will be passed to the virus analyst. akson.exe, bcqr00011.dat, bcqr00012.dat No malicious code were found in these files. Best Regards, Kaspersky Lab новые логи - это те, которые я в начале делают? Мелвейр нашел PUP.PSWTool.ProducktKey в С/Windows/system32. что такое - не знаю. удалять? Изменено 12 июня, 2011 пользователем Jeopardist Цитата Ссылка на сообщение Поделиться на другие сайты
akoK 138 Опубликовано 12 июня, 2011 Share Опубликовано 12 июня, 2011 Обратилась в службу ТП Что за служба такая? Цитата Ссылка на сообщение Поделиться на другие сайты
oliva 42 Опубликовано 12 июня, 2011 Share Опубликовано 12 июня, 2011 Что за служба такая? Служба тех. поддержки Лаборатории Касперского. Цитата Ссылка на сообщение Поделиться на другие сайты
Roman_Five 598 Опубликовано 12 июня, 2011 Share Опубликовано 12 июня, 2011 новые логи - это те, которые я в начале делают? да. удалять? это кракерская утилита. на Ваше усмотрение Цитата Ссылка на сообщение Поделиться на другие сайты
Jeopardist 0 Опубликовано 12 июня, 2011 Автор Share Опубликовано 12 июня, 2011 да. это кракерская утилита. на Ваше усмотрение вот новые логи virusinfo_syscheck.zip virusinfo_syscure.zip hijackthis.log mbam_log_2011_06_12__13_57_38_.txt Цитата Ссылка на сообщение Поделиться на другие сайты
Roman_Five 598 Опубликовано 12 июня, 2011 Share Опубликовано 12 июня, 2011 деинсталлируйте MBAM Выполните скрипт в AVZ (AVZ, Меню "Файл - Выполнить скрипт"): begin SearchRootkit(true, true); SetAVZGuardStatus(True); ClearQuarantine; SetServiceStart('ylivjztf', 4); QuarantineFile('C:\WINDOWS\system32\drivers\ylivjztf.sys',''); QuarantineFile('C:\WINDOWS\system32\io02.sys',''); DeleteFile('C:\WINDOWS\system32\drivers\ylivjztf.sys'); DeleteService('ylivjztf'); BC_ImportAll; ExecuteSysClean; BC_Activate; RebootWindows(true); end. После выполнения скрипта компьютер перезагрузится. Для создания архива с карантином выполните скрипт: begin CreateQurantineArchive(GetAVZDirectory + 'Qurantine.zip'); end. Отправьте на проверку файл Quarantine.zip из папки AVZ через данную форму или через личный кабинет (если являетесь пользователем продуктов Лаборатории Касперского и зарегистрированы). Для получения ответа в более короткий срок отправьте Ваш запрос через Личный кабинет. В строке "Подробное описание возникшей ситуации:" укажите пароль на архив "virus" (без кавычек). В строке "Электронный адрес:" укажите адрес своей электронной почты. Полученный ответ сообщите в этой теме. Обязательно. У Вас было новое заражение. После проведённого лечения рекомендуется установить следующие обновления: - все обновления на Windows (может потребоваться активация Windows) - проверить на наличие уязвимостей в ОС и используемом ПО / установить актуальные версии используемого ПО (подробнее) ПОСЛЕ этого сделайте новые логи по правилам. Цитата Ссылка на сообщение Поделиться на другие сайты
Jeopardist 0 Опубликовано 12 июня, 2011 Автор Share Опубликовано 12 июня, 2011 2 раза подряд Hello, This message is generated by automatic letter reception system. The report contains information on what the verdicts on the files (if any in the letter) makes antivirus with latest updates. Letter will be passed to the virus analyst. Your attachment was not received. Probably your problem files were cut off on a mail server during delivering. To avoid this problem you need to place your files in password protected archive (password 'infected' without quotes) and send it again. что делать? Цитата Ссылка на сообщение Поделиться на другие сайты
Roman_Five 598 Опубликовано 12 июня, 2011 Share Опубликовано 12 июня, 2011 что делать? ничего. карантин пустой. так и ожидалось, к слову. обновлений установили? когда установите - сделайте новые логи. Цитата Ссылка на сообщение Поделиться на другие сайты
Рекомендуемые сообщения
Присоединяйтесь к обсуждению
Вы можете написать сейчас и зарегистрироваться позже. Если у вас есть аккаунт, авторизуйтесь, чтобы опубликовать от имени своего аккаунта.