Восстановление работы ОС В

Спарки лови опять червячка...

В АВЗ Файл-Выполнить скрипт. Туда вставишь этот текст
и запустишь. После перезагрузки отчет. К инету НЕ ПОДКЛЮЧАТЬСЯ

begin
SetAVZPMStatus(True);
SetAVZGuardStatus(True);
SearchRootkit(true, true);
QuarantineFile('C:\WINDOWS\system32\DRIVERS\vuhub.sys','');
DeleteFile('C:\WINDOWS\system32\DRIVERS\vuhub.sys');
BC_DeleteFile('C:\WINDOWS\system32\DRIVERS\vuhub.sys');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','uTorrent');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

 

Почти двое суток борьбы дали результат. Ноут  Романа Николаевича побежден.
Проблема мучила многих. Итак, решение.
Компьютер при подключении к сетке, практически, висит,- зомби. Процесс lsass.exe занимает 99% ресурсов процессора. Интересно, что ни отчет АВЗ, ни один антивирус не определяет активности, прицепившихся к процессу библиотеки или драйвера.
Причина: Подобное поведение вызывают:
c:\windows\system32\********.dll
c:\windows\system32\drivers\********.sys
где * - случайный лат. символ.
Размер: 11264 Б
Атрибуты: скрытый, системный.
Дата создания совпадает с датой инфицирования.
Лечение:
1. Находим данные файлы (сортируем по дате) и записываем их имена;
2. В АВЗ выполняем чистку системы;
3. Выполняем скрипт:

begin
SetAVZPMStatus(True);
SetAVZGuardStatus(True);
SearchRootkit(true, true);
QuarantineFile('C:\WINDOWS\System32\Drivers\xxxxxxxx.sys','');
DeleteFile('C:\WINDOWS\System32\Drivers\xxxxxxxx.sys');
BC_QrFile('C:\WINDOWS\System32\Drivers\xxxxxxxx.sys');
QuarantineFile('C:\WINDOWS\System32\yyyyyyyy.dll','');
DeleteFile('C:\WINDOWS\System32\yyyyyyyy.dll');
BC_QrFile('C:\WINDOWS\System32\yyyyyyyy.dll');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

где, xxxxxxxx и yyyyyyyy,- найденные файлы.
После перезагрузки все тип-топ.

Почти двое суток борьбы дали результат. Ноут  Романа Николаевича побежден.SpankyHam, 03 Июня 10, 00:10

Роман Николаевич, магарычок свину...

SpankyHam, разные Антивирус никак не обнаружил, Касп, Dr.Web и Nod32.

Пожалуйста, скачай Зайцева, сделай исследование и прикрепи сюда зип-отчет. В первом посте описано, как это сделать

SpankyHam, sp**.sys
это кокой то клон sptd.sys, если sptd.sys удалить, то и sp**.sys побольше не будет создаваться.

Да я уже нашел. В этой теме уже писал об этом. Это большинство версий Дэймон Тулз так себя ведут. У меня какая-то версия, что так не кочевряжится, вот поэтому и не мог вдуплить сразу.

Прошу проверить прикрепленный файл.
Пол часа назад на абсоклабе открыл фотку Викторчика с прошлогодней летней встречи, ФФ вызвал ошибку и закрылся, я заметил, что hosts был изменен, перезагрузился и увидел на раб столе порнобаннер и блокировку части функционала винды.
Тут же восстановился акронисом и сделал скан, который и выложил.

ПС
Впервые заразился открыв страницу довольно популярно сайта, помоему keep4u, как то так.
Как же избежать такой напасти?

Избежать от этой напасти можно перейдя на никсы.
А так, если при открытии сайта вылезает окно с левым предложением, убить в диспетчере задач приложение, по новой запустить и при предложении восстановить сессии убрать галку где было подхвачено. Кнопеля ДА, НЕТ, ОТМЕНА всегда приводят к результату ДА !!!

Прошу проверить прикрепленный файл.Андрей, 21 Июня 10, 03:56

В отчете чисто. АВЗ местером поиска и устранения проблем проверь на предмет косяков. Загрузись в альтернативную среду, вычистить папки темп, поищи, отсортировав по дате, свежие файлы в:
c:windows
c:windowssystem32
c:windowssystem32drivers
c:windowssystem32dllcache

Как же избежать такой напасти?Андрей, 21 Июня 10, 03:56

Файервол с интерактивным режимом. Это для юзера.
НАХ%Й Вин-хостинг! Это для сайтов.
Я на своих ресурсах в логах регулярно наблюдаю кучи атак, будь я под этим говном, мудохался бы регулярно.

Раз в отчете чисто, значит все хорошо, я весь диск С восстановил.
И фаервол бы мне не помог, я зашел на обычный сайт с картинками.
А чем ВинХостинг плох у меня там тоже Апач стоит, он же только отдает файлы а не запускает их.

Вин хостинг плох тем, что он ВИН! Система, которая пускает без авторизации в свое "святая святых" - ГОВНО! ГОВНИЩЕ!
В *никс зайди юзером в /etc , /bin или /usr/local ! Без прав оно дальше твоего хоум никуда не пустит.

ВИН это ГОВНО написанное троечниками для троечников!

Залезло к тебе скриптом в банере, имхо. Нормальный фаер такие вещи режет.
Про инфицированные сайты. На *никс хостинге НИКОГДА и НИКТО не сможет переписать содержимое директории твоего сайта без двойной авторизации. Такой хуйней, как "зараженный сайт" может похвастаться ТОЛЬКО вин хостинг. Причем, как правило, заражаются все сайты, размещенные на данном серве.
ГОВНО!

В *никс зайди юзером в /etc , /bin или /usr/local ! Без прав оно дальше твоего хоум никуда не пустит.
SpankyHam, 21 Июня 10, 14:24

Такой запрет можно в конфигурации ПХП прописать.
Я НИКСОМ не умею пользоваться, но тоже считаю что он лучше, т.к. он не популярен среди простых пользователей, следовательно и зловредное ПО для НИКСА пишут меньше.

Такой запрет можно в конфигурации ПХП прописать.Андрей, 21 Июня 10, 15:08

Если система инфицирована, то ей по тазику настройки пхп. Она локально гуляет по серву, рассовывая себя куда попало.
Андрей, боятся там нечего. FreeBSD я освоил (чуть-чуть) за год перекуров. Информации море, в т.ч. и на русском. Этого моего чуть-чуть хватило запустить 5 серверов и поддерживать (сейчас 3) в добром здравии уже лет шесть, кажется.
Для Фри или Юникса или МакОс вирусов нет не потому, что ими меньше пользуются, а потому, что эти системы пишут люди с высшим образованием для РАБОТЫ. Эти системы БЕСПЛАТНЫ!
А Вин пишут нелегалы: китаезы и индусы, за еду. Руководит ими недоучка-троечник без диплома. Пишется все с коммерческой целью, и им ПЛЕВАТЬ, как оно будет работать!

Я уже осознал, что ФриБСД для веб сервера больше подходит, буду изучать это дело.

SpankyHam,

Пожалуйста, скачай Зайцева, сделай исследование и прикрепи сюда зип-отчет. В первом посте описано, как это сделатьSpankyHam, 20 Июня 10, 13:17

Пожалуйста!

AlenLegion, это не отчет.

В АВЗ
Файл - Исследование системы. (Для выкладывания отчета в этом посте ставим птичку "создать zip-архив...") Нажимаем ПУСК, выбираем, куда сохранить файл отчета.SpankyHam, 09 Марта 10, 22:32

Сегодня в разъездах. Часов через 6-8 буду.

ага...