еще до смены убейте все процессы rundll32 и удалите все *.job в %windir%\Tasks.
а можно убивать процессы rundll32? в job уже все пусто.
Нет, не все, у Вас от симантека какие-то длл через него запущены, их надо оставить, а троянские прибить.
Поставьте
FAR, новый юникодный 2.0 я не смотрел, у меня еще старый 1.70. Видимо, спокойнее взять там версию 1.75. В дистрибутиве по дефолту уже есть плагин ProcList для просмотра процессов.
Запускаете, открываете список процессов по Alt-F1 - Process List, наводите курсор поочередно на процессы rundll32, жмете F3 и смотрите параметры командной строки - что именно запущено через rundll32, какая dll. Думаю, для Вас этого будет достаточно, чтобы отличить нормальные процессы от троянских.
те. в открывшемся окне с информацией о процессе ищете в верхней части строку
Command Line:
тут будет полная ком.строка запуска rundll32 с указанием dll.
Там же в FAR можно и прибивать троянские процессы.
Но странно, если вирус давно удален, каким образом появляются задания сами, и службы которые я делал Disabled в GMER, как стали снова ENABLED.
но уже их удалил. хотя это может уже и другой вирус, т.к. на другом компе таких вообще не было )
Но пока (после последнего конкретного удаления) всё чисто.
Файлы длл в system32 и задания для их запуска червь ложит при атаке по сети. Значит, точно смог подобрать пароль админа или он вообще пустой.
А чисто - т.к. выходные, юзерские зараженные машины выключены, некому атаковать. Включат 11 числа - кино продолжится.
Ставьте пароль админа нормальный, и червь обломится.
Юзерам на все машины в старт-скрипт добавьте
MRT.
Подробнее о ней тут:
http://support.microsoft.com/kb/891716/ Очень полезная штука в Вашем случае для массовой чистки машин, и логи пусть на сервер ложит, бывает полезно иногда - приходишь чистить атаковавшую машину, а длл червя нету. То ли спрятана мудро, то ли правда уже нету. Смотришь лог - оказывается, МРТ полчаса назад при включении этого компьютера червя уже убила, в логе на сервере это записано.
____.rar 102,48К
53 Скачано раз
