Info - Вирус - [Архив]

[Tosha_l]

В организации упал сервер на Windows server 2003. Все файлы с расширением exe стали занимать по 0 байт. Антивирусная программа находит вирус ctfmon.exe который потом удаляется. но после последующей проверки опять находит, и так по кругу. Даже базы 1С не запускаються на локальных машинах.



Помогите пожайлуста, работа стоит...

[Greyman]

Какой антивирус используется и как происходит проверка? Надо проверить винт на другой машине, заведомо чистой, либо загрузившись с загрузочного диска и запуская антивирус опять же тока с внешнего носителя. Как вариант - попробовать посмотреть систему антируткитами (уже несколько раз обсуждалось на форуме), а уже после этого проверять антивирусом (однако данный способ все равно значительно менее надежен первого).

[Tosha_l]

Возможности отсоединить винт нету...сервак Dell. Не разберешь... Проверка проводиться антивирусом dr.web...

[MadMaks]

Tosha_l

Если нет возможности выкрутить HDD, но очень хочется подлезть с другой системы, то можно поступить хитрей.

Подключаете другой HDD, с другой операционкой и антивирусом к этому железу, а "заразный" винт подключаете дополнительным, и всё получится

это в случаи, если есть доступ к свободным шлейфам, если нет,

я умудрялся подключать HDD не выкручивая из одного корпуса к другой сборке, но для этого нужно пространство,

и недюжинная смекалка

Конечно, если сам корпус не опломбирован

[truly]

вот что мы (с нортоном) имеем на сегодняшний день:



JS/TrojanDownloader.Agent.NAH троян изолирован - удален



Win32/Adware.P2PNet приложение изолирован - удален





вчера при запуске заметила, что логотип виндовский как-то сдвинулся. примерно в то же время пропал файл.



а сегодня,когда запустила комп, рабочий стол отобразился не полностью( как будто сдвинут вбок и вверх, остальная область - просто черная). пришлось перегружаться раз 15, прежде чем все неудобства свелись к незаполненной области эрана в виде черной полосы сбоку. + неожиданно выключился комп(когда была в инете).



вопрос в следующем: проблема с экраном и отключением - это троян?



спасибо.

[Severny]

Logfile of HijackThis v1.99.1



Platform: Windows XP SP2

MSIE: Internet Explorer v6.00 SP2



Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\Program Files\Eset\nod32krn.exe

C:\Program Files\Analog Devices\SoundMAX\SMAgent.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\system32\igfxtray.exe

C:\WINDOWS\system32\hkcmd.exe

C:\Program Files\Analog Devices\SoundMAX\SMTray.exe

C:\Program Files\Analog Devices\SoundMAX\DrvLsnr.exe

C:\Program Files\Eset\nod32kui.exe

C:\Program Files\Java\jre1.6.0_01\bin\jusched.exe

C:\WINDOWS\system32\ctfmon.exe

C:\Program Files\Messenger\msmsgs.exe

c:\progra~1\intern~1\iexplore.exe

C:\Program Files\Internet Explorer\iexplore.exe

C:\Program Files\Opera\Opera.exe

C:\Program Files\eMule\emule.exe

C:\Program Files\Hijackthis\HijackThis.exe



R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Ссылки

R3 - URLSearchHook: Multi_Media toolbar - {b5146c40-189a-4311-bda9-fbae3e023187} - C:\Program Files\Multi_Media\tbMult.dll

O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll

O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\Program Files\Spybot - Search & Destroy\SDHelper.dll

O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.6.0_01\bin\ssv.dll

O2 - BHO: IE 4.x-6.x BHO for Download Master - {9961627E-4059-41B4-8E0E-A7D6B3854ADF} - C:\PROGRA~1\DOWNLO~1\dmiehlp.dll

O2 - BHO: Multi_Media toolbar - {b5146c40-189a-4311-bda9-fbae3e023187} - C:\Program Files\Multi_Media\tbMult.dll

O2 - BHO: WebManager Class - {D5792AA9-D373-4039-8670-2CDAB6A71F15} - C:\Program Files\BitDownload\TorrentManager.dll

O3 - Toolbar: Multi_Media toolbar - {b5146c40-189a-4311-bda9-fbae3e023187} - C:\Program Files\Multi_Media\tbMult.dll

O4 - HKLM\..\Run: [IgfxTray] C:\WINDOWS\system32\igfxtray.exe

O4 - HKLM\..\Run: [HotKeysCmds] C:\WINDOWS\system32\hkcmd.exe

O4 - HKLM\..\Run: [Smapp] C:\Program Files\Analog Devices\SoundMAX\SMTray.exe

O4 - HKLM\..\Run: [DrvLsnr] C:\Program Files\Analog Devices\SoundMAX\DrvLsnr.exe

O4 - HKLM\..\Run: [nod32kui] "C:\Program Files\Eset\nod32kui.exe" /WAITSERVICE

O4 - HKLM\..\Run: [MAgent] C:\Program Files\Mail.Ru\Agent\MAgent.exe -LM

O4 - HKLM\..\Run: [moresendeqsettings] C:\Documents and Settings\All Users\Application Data\Real mapi more send\Roam Dale.exe

O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Java\jre1.6.0_01\bin\jusched.exe"

O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe

O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background

O4 - HKCU\..\Run: [KindSign] C:\DOCUME~1\POLZOV~1\APPLIC~1\EACHID~1\Road inside.exe

O4 - HKCU\..\Run: [MAgent] C:\Documents and Settings\Polzovatel\Application Data\Mail.Ru\Agent\MAgent.exe -CU

O4 - Global Startup: Adobe Reader Speed Launch.lnk = C:\Program Files\Adobe\Acrobat 7.0\Reader\reader_sl.exe

O8 - Extra context menu item: &Экспорт в Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000

O8 - Extra context menu item: Закачать ВСЕ при помощи Download Master - C:\Program Files\Download Master\dmieall.htm

O8 - Extra context menu item: Закачать при помощи Download Master - C:\Program Files\Download Master\dmie.htm

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_01\bin\ssv.dll

O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_01\bin\ssv.dll

O9 - Extra button: Mail.Ru Агент - {7558B7E5-7B26-4201-BEDB-00D5FF534523} - C:\Program Files\Mail.Ru\Agent\magent.exe

O9 - Extra 'Tools' menuitem: Mail.Ru Агент - {7558B7E5-7B26-4201-BEDB-00D5FF534523} - C:\Program Files\Mail.Ru\Agent\magent.exe

O9 - Extra button: Download Master - {8DAE90AD-4583-4977-9DD4-4360F7A45C74} - C:\Program Files\Download Master\dmaster.exe

O9 - Extra 'Tools' menuitem: &Download Master - {8DAE90AD-4583-4977-9DD4-4360F7A45C74} - C:\Program Files\Download Master\dmaster.exe

O9 - Extra button: Справочные материалы - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL

O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)

O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O9 - Extra button: Mail.Ru Агент - {7558B7E5-7B26-4201-BEDB-00D5FF534523} - C:\Documents and Settings\Polzovatel\Application Data\Mail.Ru\Agent\magent.exe (HKCU)

O9 - Extra 'Tools' menuitem: Mail.Ru Агент - {7558B7E5-7B26-4201-BEDB-00D5FF534523} - C:\Documents and Settings\Polzovatel\Application Data\Mail.Ru\Agent\magent.exe (HKCU)

O17 - HKLM\System\CCS\Services\Tcpip\..\{3AC056E8-FEC6-4A3C-A33F-1563DB52A163}: NameServer = 192.168.16.3 192.168.16.5

O17 - HKLM\System\CCS\Services\Tcpip\..\{B739A5F3-F74E-4F89-BF4E-A11D9A359A44}: NameServer = 192.168.24.2,85.249.166.6,85.249.160.5

O20 - Winlogon Notify: igfxcui - C:\WINDOWS\SYSTEM32\igfxsrvc.dll

O23 - Service: Журнал событий (Eventlog) - Корпорация Майкрософт - C:\WINDOWS\system32\services.exe

O23 - Service: Служба COM записи компакт-дисков IMAPI (ImapiService) - Корпорация Майкрософт - C:\WINDOWS\system32\imapi.exe

O23 - Service: NetMeeting Remote Desktop Sharing (mnmsrvc) - Корпорация Майкрософт - C:\WINDOWS\system32\mnmsrvc.exe

O23 - Service: NOD32 Kernel Service (NOD32krn) - Eset - C:\Program Files\Eset\nod32krn.exe

O23 - Service: Plug and Play (PlugPlay) - Корпорация Майкрософт - C:\WINDOWS\system32\services.exe

O23 - Service: Диспетчер сеанса справки для удаленного рабочего стола (RDSessMgr) - Корпорация Майкрософт - C:\WINDOWS\system32\sessmgr.exe

O23 - Service: Смарт-карты (SCardSvr) - Корпорация Майкрософт - C:\WINDOWS\System32\SCardSvr.exe

O23 - Service: SoundMAX Agent Service (SoundMAX Agent Service (default)) - Analog Devices, Inc. - C:\Program Files\Analog Devices\SoundMAX\SMAgent.exe

O23 - Service: Журналы и оповещения производительности (SysmonLog) - Корпорация Майкрософт - C:\WINDOWS\system32\smlogsvc.exe

O23 - Service: Теневое копирование тома (VSS) - Корпорация Майкрософт - C:\WINDOWS\System32\vssvc.exe

O23 - Service: Адаптер производительности WMI (WmiApSrv) - Корпорация Майкрософт - C:\WINDOWS\system32\wbem\wmiapsrv.exe







извините,если это несколько больше,чем нужно:). не смогла определить,что здесь лишнее.

[igorgn]

truly

Я бы в первую очередь убрал с автозагрузки, чтобы не мешались:

C:\Documents and Settings\All Users\Application Data\Real mapi more send\Roam Dale.exe

C:\Program Files\Messenger\msmsgs.exe

C:\Program Files\Java\jre1.6.0_01\bin\jusched.exe

C:\Program Files\Messenger\msmsgs.exe" /background

C:\DOCUME~1\POLZOV~1\APPLIC~1\EACHID~1\Road inside.exe

Хотя, первое и последнее - не знаю, что такое. Какая-то программа, которая на работу винды не влияет (по крайней мере, в лучшую сторону).


Цитата:



вот что мы (с нортоном) имеем на сегодняшний день



А нортона я сдесь не вижу, хотя NOD32 явно просматривается. Кстати, на любителя (а я не любитель), NOD32 по своему поведению не очень корректно работает.

NetMeeting, если им никто не пользуется, лучше отключить.






Цитата:



рабочий стол отобразился не полностью( как будто сдвинут вбок и вверх



А это, скорее всего, настройки монитора с видеоадаптером. Автоподстройка хромает.



А для нормальной работы с интернет желательно файерволл установить. Сразу будет видна сетевая активность, которую можно под себя подкорректировать.

[Severny]

Насчет рабочего стола

Скачай AVZ. Запусти, Файл--восстановление системы

Отметь галочкой

1.Восстановление настроек рабочего стола

2.Удаление всех Policies (ограничений) текущего пользователя

И нажми "выполнить отмеченные операции". И перегружайся.

[Severny]

igorgn


Цитата:



Я бы в первую очередь убрал с автозагрузки, чтобы не мешались:



с удовольствием бы воспользовалась Вашим советом, но не знаю, как это делается...) подозреваю, что через regedit?... так что пускай мешаются...



igorgn


Цитата:



настройки монитора с видеоадаптером. Автоподстройка хромает



а с этим что нужно делать?





Severny



Не помогло. я эту операцию уже проделывала с помощью XP - с тем же результатом. интересно, а на что повлияло "удаление всех ограничений текущего пользователя"?(кроме того, что обои пришлось восстанавливать?) хотя вопрос, конечно,несколько запоздал...)

[truly]

господа! помогите, пожалуйста...