[решено] Explorer.exe заражён

verdix · Отправлено: **21:36, 17-05-2008** | #2

А случай случайно не совпадает с этими:

Severny · Отправлено: **21:38, 17-05-2008** | #3

Создай тему здесь и выполни правила

Uber · Отправлено: **21:44, 17-05-2008** | #4

verdix

Да lsass.exe тоже, есть. Но решения проблемы так и нет. Вирус мне мешает.

Severny · Отправлено: **21:47, 17-05-2008** | #5

Цитата Uber:

Да lsass.exe тоже, есть »

Lsass.exe в папке system32 на 99% системный. Давай продолжим разговор после логов.

Uber · Отправлено: **21:55, 17-05-2008** | #6

Сейчас сделаю

Uber · Отправлено: **22:32, 17-05-2008** | #7

Сделал

Severny · Отправлено: **23:22, 17-05-2008** | #8

У тебя интернет без сбоев работает?
В HijackThis после сканирования выдели эти строки и нажми Fix checked.

Код:

O10 - Broken Internet access because of LSP provider 'd:\outpost firewall\lspfilt.dll' missing
O9 - Extra button: (no name) - {8DAE90AD-4583-4977-9DD4-4360F7A45C74} - (no file)

В AVZ меню Файл-- Выполнить скрипт. Скопируй код и нажми "Запустить".

Код:

begin
SetAVZGuardStatus(True);
SearchRootkit(true, true);
 BC_QrFile('C:\WINDOWS\system32\ssqOIcDu.dll');
 BC_QrFile('C:\WINDOWS\system32\DRIVERS\tcpip.sys');
 BC_QrFile('C:\WINDOWS\system32\sauixovp.dll');
 BC_QrFile('C:\WINDOWS\system32\ddcBQhhH.dll');
 BC_QrFile('C:\WINDOWS\system32\yljqrvyj.dll');
ExecuteRepair(6);
ExecuteRepair(12);
ExecuteRepair(13);
ExecuteRepair(14);
BC_Activate;
RebootWindows(true);
end.

После перезагрузки выполни второй скрипт и в папке AVZ файл quarantine.zip выложи на zalil.ru и брось ссылку мне в PM.

Код:

begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.

Теперь можешь отключить потенциально опасные службы и сервисы, выполнив еще скрипт.
Список этих служб в твоем логе AVZ внизу.

Код:

begin
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Control\Terminal Server','fAllowToGetHelp', 0);
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Control\LSA','RestrictAnonymous', 2);
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'System\CurrentControlSet\Services\LanmanServer\Parameters','AutoShareWks', 0);
SetServiceStart('RDSessMgr', 4);
SetServiceStart('mnmsrvc', 4);
SetServiceStart('Schedule', 4);
SetServiceStart('TlntSvr', 4);
SetServiceStart('SSDPSRV', 4);
SetServiceStart('TermService', 4);
SetServiceStart('RemoteRegistry', 4);
end.

После анализа твоего карантина можно будет продолжить лечение.
Ты CureIt в безопасном режиме сканировал системный раздел?
После сделай еще раз лог HijackThis.

Uber · Отправлено: **01:50, 18-05-2008** | #9

Интернет работает нормально.
CureIt просканировал, нашёл 1 троян и удалил.

Severny · Отправлено: **09:58, 18-05-2008** | #10

Пофикси в HijackThis

Код:

O4 - HKLM\..\Run: [b8896d79] rundll32.exe "C:\WINDOWS\system32\sauixovp.dll",b
O4 - HKLM\..\Run: [BMbbba5ee5] Rundll32.exe "C:\WINDOWS\system32\yljqrvyj.dll",s

Выполни в AVZ

Код:

begin
SetAVZGuardStatus(True);
SearchRootkit(true, true);
 DelBHO('{8DAE90AD-4583-4977-9DD4-4360F7A45C74}');
 DelBHO('{1F460357-8A94-4D71-9CA3-AA4ACF32ED8E}');
 DelBHO('{6C23AB0C-0244-4B01-8253-BEE724D0D2EC}');
 DelBHO('{20D5276A-0452-4167-A3E7-240867F8CB0C}');
 BC_DeleteFile('C:\WINDOWS\system32\sauixovp.dll');
 BC_DeleteFile('C:\WINDOWS\system32\ssqOIcDu.dll');
 BC_DeleteFile('C:\WINDOWS\system32\ddcBQhhH.dll');
 BC_DeleteFile('C:\WINDOWS\system32\yljqrvyj.dll');
 BC_DeleteFile('ddcBQhhH.dll');
 DeleteFile('D:\NOD32\nodshex.dll');
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Повтори логи.