Компьютерный форум - Османский+НОД32

Компьютерный форум (http://pchelpforum.ru/index.php)

- Безопасность (http://pchelpforum.ru/forumdisplay.php?f=26)

- - Османский+НОД32 (http://pchelpforum.ru/showthread.php?t=28159)

Османский+НОД32

Здраствуйте уважаемая администрация.
Проблема с НОДОМ и атаками Османского, после чего НОД был удален (мною), пошарив по Вашему форуму, предварительно скачад АВЗ и Хайджек, но сейчас заняться проблемой нету времени, т.к. на работе, подскажите вы сможете давать корректировки по лечению приблизительно в 20.00 по киевскому времени?
Заранее спасибо.

maniyak,

Анализ логов без самих логов невозможен. Как вылодите их-получите результат ваших трудов :)

Цитата:

Сообщение от 01pump (Сообщение 228407)

maniyak,

Анализ логов без самих логов невозможен. Как вылодите их-получите результат ваших трудов :)

Простите, но я имел ввиду сможете ли Вы дать подробную инфо в столь поздний час. (20.00 по Киеву)

maniyak,
Возможно что в указанное вермя вам помогут

Цитата:

Сообщение от 01pump (Сообщение 228411)

maniyak,
Возможно что в указанное вермя вам помогут

Спасибо, буду благодарен за помощь.

проблема

Цитата:

Сообщение от 01pump (Сообщение 228411)

maniyak,
Возможно что в указанное вермя вам помогут

Добрый вечер. Проблема все в том же.

Лог авз http://exfile.ru/101484
Лог хайджек http://exfile.ru/101485

maniyak, здравствуйте, вирусов в системе у вас хватает.

Файл HOSTS - записи эти вам знакомы:

127.0.0.1 static3.cdn.ubi.com
127.0.0.1 ubisoft-orbit.s3.amazonaws.com
127.0.0.1 onlineconfigservice.ubi.com
127.0.0.1 orbitservice.ubi.com
127.0.0.1 ubisoft-orbit-savegames.s3.amazonaws.com

Цитата:

Сообщение от winshelp (Сообщение 228883)

Здраствуйте, подскажите что с этим делать, записи не знакомы

Отключите компьютер от Интернет/локалки.
Закройте/отключите на время выполнения скрипта всё защитное ПО !!!

Как выполнять скрипт и фиксить читаем здесь: http://pchelpforum.ru/f26/t24207/
Профиксите в HiJackThis:

Код:

F2 - REG:system.ini: UserInit=C:WINDOWSsystem32userinit.exe,\?globalrootsystemrootsystem32FCe Y4SQ.exe,\?globalrootsystemrootsystem32hSHoajv.exe,

AVZ, файл, выполнить скрипт - в открывшееся окно внимательно!!! вставить текст:

Код:

begin

SearchRootkit(true, true);

SetAVZGuardStatus(True);

QuarantineFile('C:\System Volume Information\_restore{DAAE4845-BF76-4249-9064-B15379D17447}\RP16\A0009776.exe:exe.exe:$DATA','');

QuarantineFile('C:\System Volume Information\_restore{DAAE4845-BF76-4249-9064-B15379D17447}\RP16\A0010776.exe:exe.exe:$DATA','');

QuarantineFile('C:\WINDOWS\system32\w1soojaa.exe','');

QuarantineFile('\\?\globalroot\systemroot\system32\FCeY4SQ.exe','');

QuarantineFile('\\?\globalroot\systemroot\system32\hSHoajv.exe','');

QuarantineFile('C:\Documents and Settings\olegunka\Local Settings\Temp\709.exe','');

QuarantineFile('C:\Documents and Settings\olegunka\Local Settings\Temp\965.exe','');

QuarantineFile('C:\Documents and Settings\olegunka\Local Settings\Temporary Internet Files\Content.IE5\7399D9LE\cscsa[1].exe','');

QuarantineFile('C:\Documents and Settings\olegunka\Local Settings\Temporary Internet Files\Content.IE5\OYZ0JTC4\fdewfw[1].exe','');

QuarantineFile('c:\documents and settings\olegunka\application data\lwtwfl.exe','');

QuarantineFile('c:\documents and settings\olegunka\application data\gifrg.exe','');

QuarantineFile('c:\recycler\s-1-5-21-8830386366-7204413208-231333778-1702\nissan.exe','');

QuarantineFile('c:\recycler\s-1-5-21-6009580163-9397851965-340762810-5357\yv8g67.exe','');

QuarantineFile('c:\windows\system32\svchost.exe:exe.exe:$data','');

QuarantineFile('C:\WINDOWS\system32\xtjjfvvr.exe','');

QuarantineFile('C:\WINDOWS\system32\gccxoojaav.exe','');

QuarantineFile('C:\WINDOWS\system32\0hdyy6k.exe','');

DeleteFile('C:\System Volume Information\_restore{DAAE4845-BF76-4249-9064-B15379D17447}\RP16\A0009776.exe:exe.exe:$DATA');

DeleteFile('C:\System Volume Information\_restore{DAAE4845-BF76-4249-9064-B15379D17447}\RP16\A0010776.exe:exe.exe:$DATA');

DeleteFile('C:\WINDOWS\system32\w1soojaa.exe');

DeleteFile('\\?\globalroot\systemroot\system32\FCeY4SQ.exe');

DeleteFile('\\?\globalroot\systemroot\system32\hSHoajv.exe');

DeleteFile('C:\Documents and Settings\olegunka\Local Settings\Temp\709.exe');

DeleteFile('C:\Documents and Settings\olegunka\Local Settings\Temp\965.exe');

DeleteFile('C:\Documents and Settings\olegunka\Local Settings\Temporary Internet Files\Content.IE5\7399D9LE\cscsa[1].exe');

DeleteFile('C:\Documents and Settings\olegunka\Local Settings\Temporary Internet Files\Content.IE5\OYZ0JTC4\fdewfw[1].exe');

DeleteFile('c:\documents and settings\olegunka\application data\lwtwfl.exe');

DeleteFile('c:\documents and settings\olegunka\application data\gifrg.exe');

DeleteFile('c:\recycler\s-1-5-21-8830386366-7204413208-231333778-1702\nissan.exe');

DeleteFile('c:\recycler\s-1-5-21-6009580163-9397851965-340762810-5357\yv8g67.exe');

DeleteFile('c:\windows\system32\svchost.exe:exe.exe:$data');

DeleteFile('C:\WINDOWS\system32\0hdyy6k.exe');

DeleteFile('C:\WINDOWS\system32\gccxoojaav.exe');

DeleteFile('C:\WINDOWS\system32\xtjjfvvr.exe');

RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','wxs1o');

RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Winlogon','Taskman');

RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows NT\CurrentVersion\Winlogon','Shell');

BC_ImportALL;

ExecuteSysClean;

ExecuteRepair(1);

ExecuteRepair(20);

ExecuteWizard('TSW', 2, 2, true);

ExecuteWizard('SCU', 2, 2, true);

BC_Activate;

ClearHostsFile;

RebootWindows(true);

end.

После выполнения скрипта компьютер перезагрузится.
-----
Выполнить еще такой скрипт в AVZ.

Код:

begin

CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');

end.

Файл quarantine.zip из папки AVZ обязательно отправьте на newvirus@tut.by
-----
Выполните в avz стандартный скрипт №2 и архив virusinfo_syscheck.zip
залейте на файлообменник http://exfile.ru - и ссылку на форум.

ок, сейчас пробую все сделать, мне нужно 20-30мин. прошу подождать в онлайне

maniyak, ОК.
Я, буду в он-лайн.

Цитата:

Сообщение от winshelp (Сообщение 228902)

maniyak, ОК.
Я, буду в он-лайн.

Спасибо за советы, только хотел все настроить как проблемы с электричеством начались. Смогу только завтра после 20:00 по Киеву отписать.

Хорошо, тогда завтра напишите как сможете!
Успехов! :)

Цитата:

Сообщение от winshelp (Сообщение 228909)

Хорошо, тогда завтра напишите как сможете!
Успехов! :)

я опять тут вот что выходит:
после отключки нета и локалки работать на компе не возможно, он глючит страшно

Да, логи выложить в вашей теме, если комп глючит с отключенными локалка/интернет,
выполняйте скрипт с включенными, только закройте защитное ПО на время выполнения скрипта.

И обязательно дождаться перезагрузки, скрипт корректно отработает, если дождаться перезагрузки компьютера и полной загрузки Виндовс !!!!