Последствия заражения вирусом "Sality"

[Чайник2]

Здрасьте. После вирусной атаки, любые сайты интернета перестали загружаться. После лечения компа вроде все нормально. Но хотелось бы узнать все ли в порядке. Вот логи AVZ http://slil.ru/27741290 .
Для информации: удалил более 3000 вирусов, было около 700 штук Sality. Спасибо.

[Endrew]

файервол у вас должен стоять, так,? нет

[01pump]

Чайник2,
Запустите avz:Файл-Выполнить скрипт- в открывшееся окно вставьте внимательно!!! текст:

 
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 TerminateProcessByName('\Device\HarddiskVolume1\DOCUME~1\76F4~1\LOCALS~1\Temp\RarSFX0\2xjw9.exe');
 DeleteService('pfsvgae');
 DeleteService('aic32p');
 DeleteFile('\Device\HarddiskVolume1\DOCUME~1\76F4~1\LOCALS~1\Temp\RarSFX0\2xjw9.exe');
 DeleteFile('C:\DOCUME~1\76F4~1\LOCALS~1\Temp\CmdLineExt03.dll');
 DeleteFile('C:\WINDOWS\system32\drivers\inohln.sys');
 DeleteFile('C:\DOCUME~1\76F4~1\LOCALS~1\Temp\pfsvgae.sys');
 DeleteFile('C:\Documents and Settings\NetworkService\Local Settings\Application Data\smss.exe');
 DelAutorunByFileName('C:\Documents and Settings\NetworkService\Local Settings\Application Data\smss.exe');
 DelCLSID('{00A6FAF1-072E-44cf-8957-5838F569A31D}');
 DelBHO('{00A6FAF1-072E-44cf-8957-5838F569A31D}');
 ExecuteRepair(1);
 ExecuteRepair(6);
 ExecuteRepair(10);
ExecuteSysClean;
RebootWindows(true);
end.

Затем нажмите "Запустить" ПРОИЗОЙДЕТ ПЕРЕЗАГРУЗКА!!!!
После перезагрузки вставьте CD диск с дистрибутивом Windows в CDROM и сделайте так:
Пуск- Выполнить- введите команду sfc /scannow запустите. По окончании перезагрузитесь. Кроме того вам придеться проверить корректность работы многих программ, так как файловый вирус Sality "специализируется" на повреждении exe файлов. Какие то программы придеться восстановить, а какие то переустановить.

[Чайник2]

Спасибо 01pump, шас попробую. А sfc /scannow я уже делал, может повторить?

Сообщение от 01pump

файловый вирус Sality "специализируется" на повреждении exe файлов. Какие то программы придеться восстановить, а какие то переустановить

Да действительно некоторые проги не работают, я их переустановлю. А повторный лог делать?

[01pump]

Сообщение от Чайник2

Спасибо 01pump, шас попробую. А sfc /scannow я уже делал, может повторить?

Раз уже делали то не надо

Сообщение от Чайник2

Да действительно некоторые проги не работают, я их переустановлю. А повторный лог делать?

Да, выполните стандартный скрипт №2 и пришлите virusinfo_syscheck.zip

[Чайник3]

Это я Чайник2, но после перезагрузки почему то, не смог попасть на форум под своим ником (глюки форума?). Вот логи http://slil.ru/27741476

[01pump]

Чайник3, Чайник2,
Выполнить в avz:

 
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
TerminateProcessByName('\Device\HarddiskVolume1\DOCUME~1\76F4~1\LOCALS~1\Temp\RarSFX0\2xjw9.exe');
DeleteFile('\Device\HarddiskVolume1\DOCUME~1\76F4~1\LOCALS~1\Temp\RarSFX0\2xjw9.exe');
DeleteFile('C:\Documents and Settings\NetworkService\Local Settings\Application Data\smss.exe');
DelAutorunByFileName('C:\Documents and Settings\NetworkService\Local Settings\Application Data\smss.exe');
DelBHO('{00A6FAF1-072E-44cf-8957-5838F569A31D}');
DelCLSID('{00A6FAF1-072E-44cf-8957-5838F569A31D}');
DeleteFileMask('%Tmp%', '*.*', true);
BC_DeleteFile('C:\Documents and Settings\NetworkService\Local Settings\Application Data\smss.exe');
BC_DeleteFile('\Device\HarddiskVolume1\DOCUME~1\76F4~1\LOCALS~1\Temp\RarSFX0\2xjw9.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

При выполнении этого скрипта комп подвиснет минут на 5 , так его кнопкой на корпусе перезагрузите. И после перезагрузки повторите стандартный скрипт №2 (пришлите новый virusinfo_syscheck.zip)


PS Для лечения использовали Cureit от Drweb или что то другое?

[Чайник4]

Это опять я, бывший Чайник2.
Вот лог http://slil.ru/27741917 . Для лечения использовался Cureit от Drweb, AVZ, SalityOff.

[Endrew]

да чисто все!

[set of letters]

Сообщение от Чайник4

Вот лог http://slil.ru/27741917

Сообщение от Endrew

да чисто все!

Файл Описание Тип
C:\WINDOWS\system32\Drivers\a347bus.sys
Подозрение на RootKit Перехватчик KernelMode
C:\WINDOWS\system32\Drivers\sptd.sys
Подозрение на RootKit Перехватчик KernelMode

[01pump]

Сообщение от interesnovse-

Файл Описание Тип
C:\WINDOWS\system32\Drivers\a347bus.sys
Подозрение на RootKit Перехватчик KernelMode
C:\WINDOWS\system32\Drivers\sptd.sys
Подозрение на RootKit Перехватчик KernelMode

Если не знаем что это означает зачем пишем?

[01pump]

Чайник4, Нормуль в логах

[Endrew]

Сообщение от interesnovse-

Подозрение на RootKit Перехватчик KernelMode

я спрашивал, но мне не отвечают,это фаер походу!!!

[set of letters]

Сообщение от 01pump

Если не знаем что это означает зачем пишем?

Хотим узнать . Это же форум . Здесь все одинаковые. И все могут спрашивать то , что интересует. Разве не так ?
Теперь буду знать , что если так написано , то это не всегда можно принимать во внимание

[piton331]

Сегодня тоже воевал с Sality , вредный гад да ещё привод у пациента не все диски кушает, думаю зловред погрыз что-то. Ну это ладно, перепрошивка должна помочь ( ну я надеюсь во всяком случае ) установил свежий аваст ( сам удивляюсь как получилось , этот гад оказывается в оперативке висит ). Запустил загрузочное сканирование и прибил гада. Осталась пара вопросов: нужно ли делать скрипты авз и хаджека. Плюс к этому я вставлял флешку в больной комп, заразилась она или нет ? Упс, 3 вопроса что делать перед тем как вставить флешку в свой комп чтобы не поймать чего ? Может загрузиться с Live CD и просканить флешку, или этот гад всё равно пролезет ? Чего то я и в 3 вопроса не укладываюсь и почему эсет смарт секьюрити молчал я понимаю если бы он не запускался, но он запускался сканировал и молчал