22 ответов в этой теме

[ohlamon]

Здравствуйте!
Пару дней назад залетел "шпион", DrWeb определил его, как Trojan.Qhost.985 в файле C:\WINDOWS\system32\drivers\etc\hosts и заменил его на чистый. С тех пор не могу зайти ни на один сайт антивирусов, а также на сайты типа viruslist и ему подобные. Сканер больше ничего не находит, загрузился через Live CD, нашел еще по одному файлу в C:\Recycled\ и в C:\System Volume Information\. Надо было, наверное, сохранить их, я же, то ли по своей тупости, то ли по тугодумию, побыстрей избавился от них. Удаление ни к чему не привело, на сайты зайти так и не получается. Если сможете чем-то помочь, буду премного благодарен! Логи, согласно правилам форума, прилагаю.

Прикрепленные файлы:

•  drw_results.cab   213,09К   52 Скачано раз
•  hijackthis.rar   4,06К   49 Скачано раз
•  Report.rar   6,68К   56 Скачано раз

[account has been deleted]

Дополнительно ко всему, сделайте, пожалуйста, экспорт ветки реестра HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters\PersistentRoutes

[Ko6Ra]

Дополнительно ко всему, сделайте, пожалуйста, экспорт ветки реестра HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters\PersistentRoutes

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters\PersistentRoutes - ветка, где хранится таблица маршрутизации.
Можно юзать route print, чтобы увидеть есть ли левые маршруты.

[Алексей.]

F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,C:\WINDOWS\system32\sdra64.exe - А ЭТО? FAKEALERT или WINLOCK...

[mrbelyash]

C:\WINDOWS\system32\sdra64.exe -однозначно в вирлаб.

Как найти

http://wiki.drweb.com/index.php/Скрытые_процессы

Проверить на вирустотал

C:\Documents and Settings\User\Local Settings\Temp\AutoRun.exe

[ohlamon]

Экспорт ветки:

Прикрепленные файлы:

•  11.rar   1,12К   65 Скачано раз

[account has been deleted]

Пуск -> Выполнить -> cmd
Далее, выполните команду:
route -f
После этого перезагрузите компьютер.

[account has been deleted]

C:\WINDOWS\system32\sdra64.exe -однозначно в вирлаб.

Как найти

http://wiki.drweb.com/index.php/Скрытые_процессы

Проверить на вирустотал

C:\Documents and Settings\User\Local Settings\Temp\AutoRun.exe

Что с этим?

[ohlamon]

C:\WINDOWS\system32\sdra64.exe -однозначно в вирлаб.

Я вообще такого файла не нахожу, и сканер, похоже не нашел, т.к. ничего не скопировал. Все, вроде бы, делал по инструкции "Скрытые процессы"

Проверить на вирустотал

C:\Documents and Settings\User\Local Settings\Temp\AutoRun.exe

Вы уж извините за мое лузерство, но что значит проверить на вирустотал?

[Denis Lipnicky]

ohlamon
Заходите сюда http://www.virustotal.com/ru/ и проверяете AutoRun.exe .
Так понятнее ?

[ohlamon]

Понял, вот отчет:

Прикрепленные файлы:

•  Virustotal.rar   4,24К   55 Скачано раз

[ohlamon]

Пуск -> Выполнить -> cmd
Далее, выполните команду:
route -f
После этого перезагрузите компьютер.

Заработало!!!
Спасибо огромное!
А что с этим делать:
UserInit=C:\WINDOWS\system32\userinit.exe,C:\WINDOWS\system32\sdra64.exe

[account has been deleted]

Заработало!!!
Спасибо огромное!
А что с этим делать:
UserInit=C:\WINDOWS\system32\userinit.exe,C:\WINDOWS\system32\sdra64.exe

То что заработало хорошо, правда не факт что надолго.
Это надо искать, следите за темой, хэлперы подскажут что делать.

[ohlamon]

Спасибо! Буду следить.

[Borka]

А что с этим делать:
UserInit=C:\WINDOWS\system32\userinit.exe,C:\WINDOWS\system32\sdra64.exe

Пофиксить в Хайджеке и посмотреть, не появляется ли запись снова после повторного сканирования Хайджеком.

[ohlamon]

Да у меня окна и не появляются. Ловил где-то после Нового года, может с тех пор осталось. В тот раз от них удальсь быстро избавиться. А что это за программа: C:\WINDOWS\system32\userinit.exe, и почему я не нахожу C:\WINDOWS\system32\sdra64.exe, хотя хайджек увидел?

[ohlamon]

Нашел C:\WINDOWS\system32\sdra64.exe в реестре, можно ли этот параметр оттуда удалить? На работу системы это не повлияет?

[Driver]

Нашел C:\WINDOWS\system32\sdra64.exe в реестре, можно ли этот параметр оттуда удалить? На работу системы это не повлияет?

Не можно, а нужно пофиксить в хайджеке, Вам уже Borka писал постом выше

[ohlamon]

Удалил, проверил хайджеком, там этой строки сейчас вообще нет. По всей видимости, так и должно быть?

[Borka]

Удалил, проверил хайджеком, там этой строки сейчас вообще нет. По всей видимости, так и должно быть?

Да.