Сообщений в теме: 1089

[Vorador]

Перехвачена попытка записи значения в ключе системного реестра, который входит в группу System Startup. Эти ключи контролируют состав модулей, загружаемых при запуске Microsoft Windows.

Рекомендуется разрешить доступ к этим настройкам только в том случае, если вы хотите, чтобы эта программа запускалась автоматически при включении компьютера. В остальных случаях рекомендуется запретить доступ.

Ключ: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows

Значение: ivs

Старые данные(Число 32 бит):
0x00000015 (21)

Новые данные(Число 32 бит):
0x00000016 (22)

что с этим делать?

Сообщение отредактировал Vorador: 02 Май 2013 - 16:54

[XL]

Рецепт для всех примерно одинаков. Для начала проверьте систему при помощи DrWeb Cureit. Актуальную версию можно взять по ссылке: http://www.freedrweb...load cureit/gr/

Запустите проверку, по отношению к обнаруженному: все поддающееся лечению - лечить, неизлечимое - удалять! Если проблема исчезла, то к этапу ниже можно не прибегать. Если сомнения остались, то продолжаем:

1. Скачайте AVZ по ссылке ниже:
для пользователей локальной сети можно скачать здесь:
ftp://himki.net/Soft/antivir-center/AVZ/avz4.zip

для пользователей из сети Интернет здесь:
http://z-oleg.com/se...vz/download.php


2. Распакуйте папку с программой.
- в случае с Windows XP просто запустите avz.exe
- в случае, если у Вас Windows Vista или Windows 7, запустите avz.exe через правый клик на этом файле, далее нужно выбрать запуск от имени администратора (см. рисунок ниже)
 vista.jpg   42,87К   34 Количество загрузок:

Если avz не запускается, то попробуйте переименовать avz.exe в a1.exe и повторите попытку запуска! Такое возможно, если зловред блокирует запуск процессов с определенными именами.

после чего обновите базы программы через Интернет. Для этого проделайте действия, указанные на рисунке ниже:

 avz222.JPG   81,2К   258 Количество загрузок:

Если доступа в Интернет в данный момент у Вас не имеется, то пропустите этот пункт.

3. Нажмите на AVZPM в верхней части меню, выберите Установить драйвер расширенного мониторинга процессов
 1a.jpg   57,67К   225 Количество загрузок:

Если в этот момент среагирует какое-либо защитное ПО на вашем ПК и сообщит, что avz пытается установить драйвер, разрешите эту активность!

4. Перезагрузите компьютер
5. После перезагрузки снова запустите AVZ (в Vista и Win7 от имени администратора, как уже делали однажды выше)

Теперь отключите все свои антивирусные программы и файрволы (особенно с проактивной защитой), чтобы они не мешали дальнейшим действиям AVZ!

6. Затем выставите галочки, как показано на рисунке ниже:
 2a.jpg   114,92К   523 Количество загрузок:
и нажмите на Пуск. Дождитесь окончания проверки компьютера.
7. После чего зайдите в меню Файл -> Исследование системы -> Переставьте переключатель с только активные службы и драйверы на все службы и драйверы - нажмите на Пуск в этом окне
 a3.jpg   108,32К   338 Количество загрузок:
Дождитесь окончания проверки.
8. Полученный в результате исследования системы .htm файл, прикрепите сюда! (.xml файл не нужен)
9. Вкратце расскажите в сообщении о наблюдаемых проблемах или о сути своих подозрений в отношении возможного заражения!

P.S. помогаю в этой теме при наличии свободного времени...

Общеобразовательная статья про антивирусы, лечение вирусов, удаление троянов и антивирусную безопасность

[Vorador]

Вот результат:
 avz_sysinfo.htm   134,04К   281 Количество загрузок:

[XL]

AVZ - Файл - выполнить скрипт:

Цитата

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('f:\windows\system32\lnwin.exe','');
QuarantineFile('f:\windows\system32\adirss.exe','');
QuarantineFile('f:\windows\system32\adirka.exe','');
DeleteFile('f:\windows\system32\adirka.exe');
DeleteFile('f:\windows\system32\adirss.exe');
DeleteFile('f:\windows\system32\lnwin.exe');
DeleteFile('F:\Program Files\MyWebSearch\bar\1.bin\F3POPSWT.DLL');
DeleteFile('F:\Program Files\MyWebSearch\bar\1.bin\MWSBAR.DLL');
DeleteFile('F:\Program Files\MyWebSearch\SrchAstt\1.bin\MWSSRCAS.DLL');
DeleteFile('F:\WINDOWS\system32\rsvp32_2.dll');
DeleteFile('\??\F:\WINDOWS\system32\drivers\Oreans.sys');
DeleteFile('\??\F:\WINDOWS\system32\wincom32.sys');
DeleteFile('F:\PROGRA~1\MYWEBS~1\bar\1.bin\MWSBAR.DLL');
DeleteFile('F:\PROGRA~1\MYWEBS~1\bar\1.bin\mwsoemon.exe');
DeleteFile('F:\Program Files\MyWebSearch\bar\1.bin\M3OUTLCN.DLL');
ExecuteSysClean;
ExecuteRepair(14);
BC_ImportDeletedList;
BC_Activate;
RebootWindows(true);
end.

после чего повторите лог, как просил выше.

У Вас Zhelatin с руткитом, адваря.майвэбсёч и что-то еще....

Если удалять не по правилам, то останетесь без интернета. Библиотечка червя лезет в Winsocks и ставит там себя в качестве провайдера.

Сообщение отредактировал XL: 25 Март 2007 - 19:22

[demongerman]

вот моё

Прикрепленные файлы

•  avz_log.txt   9К   90 Количество загрузок:
•  avz_log.txt   9К   18 Количество загрузок:

[XL]

Это не то, что хотелось бы увидеть. Лог должен быть в виде htm файла и должен быть сделан по правилам. См. выше внимательнее!

[bejen]

Что скажите на это  

Прикрепленные файлы

•  avz_sysinfo.htm   58,04К   110 Количество загрузок:

[XL]

Что за зверь:

Цитата

c:\progra~1\kye\ergome~1\sytray.exe

Клавиатурная примочка?
AVZ уже до 4.25 обновилась
ftp://himki.net/Soft/antivir-center/AVZ/

[bejen]

XL (3.05.2007, 11:58) писал:

Что за зверь:
Клавиатурная примочка?

Угу, от второй клавы драйвер... Genius Ergomedia

Cпасибо за новую версию...

Сообщение отредактировал *Gnom*: 03 Май 2007 - 14:44

[S-M-O-K-I]

А у меня случайно никто не завелся?

 avz_sysinfo.htm   56,13К   40 Количество загрузок:

[Invisible]

А у меня?

 avz_sysinfo.htm   161,73К   31 Количество загрузок:

[Lexxus]

у 3-х чистота

[Maynard]

ммм.. какие мои действия?)

Прикрепленные файлы

•  avz_sysinfo.htm   49,68К   33 Количество загрузок:

[XL]

Выполните скрипт:

Цитата

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('d:\windows\system32\shslctr.dll','');
DeleteFile('d:\docume~1\sokolov\locals~1\temp\winlogon.exe');
DeleteFile('D:\WINDOWS\System32\vbsys2.dll');
DeleteFile('D:\WINDOWS\svchost.exe');
DeleteFile('D:\WINDOWS\system32\rpcc.dll');
ExecuteSysClean;
BC_ImportDeletedList;
BC_Activate;
RebootWindows(true);
end.

После перезагрузки компьютера содержимое папки карантина AVZ упакуйте в архив и киньте мне в приват! Затем повторите лог.

[Maynard]

Спасибо.) Отправил сообщение в приват)

[Василий.]

Кто знает откуда может лезть троянская программа Trojan-Dropper.Win32.Agent.bgm ?
а то каспер постоянно стал находить, я удаляю но потом опять откудато берётся...

[Lexxus]

почта

[Василий.]

Во первых я ей редко пользуюсь
а во вторых её антивирус проверяет при получении и не находит ни чего.

[Lexxus]

Василий. (7.05.2007, 19:43) писал:

а во вторых её антивирус проверяет при получении и не находит ни чего.

мда.... не думал не думал....

Василий. (7.05.2007, 18:28) писал:

Trojan-Dropper.Win32.Agent.bgm ?
каспер постоянно стал находить, я удаляю но потом опять откудато берётся...

Я думаю ты должен понять...

если не поймешь - то сразу отпости "не понял"

Объясню по проще