[решено] Последствия Win32.Sality.aaa

sasha-lav · Сообщение **sasha-lav** » 18 фев 2009, 16:52

После заражения и лечения вируса Win32.Sality.aa в Windows XP Home появились некоторые проблемы.

Вычистил диски с помощью CureIT и утилиты Касперского. AVZ, на мой взгляд, ничего криминального не показал.

Но тем не менее проблемы такие:

1. Жму: "Рабочий стол - Свойства - закладка "Оформление" - "Окна и кнопки" выбираю "Классический стиль". Если автоматический вход в систему не стоит, то после перезагрузки сохраняется классический стиль, а если ставлю через реестр автоматический вход, то Windows всегда загружается со стилем Windows XP. Хоть меняй на классический, хоть не меняй - все равно после перезагрузки будет стиль ХР.

2. При перезагрузке компьютера не всегда включается резидентный модуль AMON антивируса НОД-32. При автоматической перезагрузке ночью включается, а при ручной перезагрузке - нет. Логика, честно говоря, мне не понятна. Переустановка не помогает, вернее иногда помогает, но после обновления баз и последующей перезагрузке AMON опять не загружается.

Логи прилагаю.

Спасибо.

Вложения

hijackthis.zip: (2.32 КБ) 0 скачиваний

hijackthis.zip: (2.32 КБ) 0 скачиваний

Pili · Сообщение **Pili** » 18 фев 2009, 16:52

sasha-lav, Здравствуйте. С помощью AVPTool систему проверяли?

Деинсталлируйте Target Marketing Agency (C:\Program Files\Common Files\Target Marketing Agency)

Файлы

Цитата:

c:\program files\okclock\OkClock.exe

C:\Sender\Sender.exe

c:\program files\ace lab\smart vision\smart.exe

проверьте на virustotal.com

Цитата:

Восстановление системы: включено

Отключите восстановление системы или очистите предыдущие точки восстановления (см. правила)

Рекомендую временно деинсталлировать AGAVA Firewall (чтобы не мешал),

отключите автозапуск со съемных носителей

, включите брандмауэр windows и уберите в

исключениях брандмауэра

общий доступ к файлам и принтерам.

Запустите AVZ, далее в меню файл - выполнить скрипт, выделите и скопируйте текст ниже в окно выполнения скрипта AVZ,

временно выключите антивирус и другое защитное программное обеспечение

, нажмите кнопку «Запустить».

Код:

Код: Выделить всё

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 SetServiceStart('abp470n5', 4);
 QuarantineFile('C:\Program Files\Common Files\Target Marketing Agency\TMAgent\tmagent.dll','');
 QuarantineFile('C:\WINDOWS\system32\drivers\iuosnk.sys','');
 QuarantineFile('c:\progra~1\common~1\target~1\tmagent\tmasrv.exe','');
 DeleteFile('c:\progra~1\common~1\target~1\tmagent\tmasrv.exe');
 DeleteFile('C:\WINDOWS\system32\drivers\iuosnk.sys');
 BC_DeleteFile('C:\WINDOWS\system32\drivers\iuosnk.sys');
 DeleteFile('C:\Program Files\Common Files\Target Marketing Agency\TMAgent\tmagent.dll');
DeleteFileMask('C:\Program Files\Common Files\Target Marketing Agency\', '*.*', true);
DeleteDirectory('C:\Program Files\Common Files\Target Marketing Agency');
 DeleteService('abp470n5');
 DelBHO('{35A6E2B1-27A9-47D2-913C-559E1EF1D034}');
BC_ImportDeletedList;
ExecuteSysClean;
 BC_DeleteSvc('abp470n5');
BC_Activate;
RebootWindows(true);
end.

Очистите временные файлы с помощью ATF Cleaner (см. правила)

Код:

Код: Выделить всё

1.4 Поиск маскировки процессов и драйверов
 Проверка не производится, так как не установлен драйвер мониторинга AVZPM

Включите AVZM (см. правила) и повторите логи.

sasha-lav · Сообщение **sasha-lav** » 18 фев 2009, 16:52

Pili, спасибо, всё сделал. Наблюдается только одна проблема: при перезагрузке компьютера вручную не запускается Amon НОДа-32. Но так как компьютер этот как правило перезагружается в автоматическом режиме, то проблема не сильно актуальна. Хотя всё же интересно, чем же отличаются эти два способа перезагрузки.

Спасибо огромное за помощь.

Pili · Сообщение **Pili** » 18 фев 2009, 16:52

sasha-lav, Target Marketing Agency - это adware

c:\cachesys

C:\Program Files\Katren\WinPrice2

знакомо? Если да, то логам больше придраться не к чему.

Цитата sasha-lav:

Если же перезагружать его вручную через "Пуск-Завершение работы", то AMON не запускается. В чем разница - не понимаю

[решено] Последствия Win32.Sality.aaa

Возможно из-за установленного софта, м.б. несовместимого.

Можете дополнительно провериться с помощью

MBAM

Цитата:

8. Поиск потенциальных уязвимостей

>> Службы: разрешена потенциально опасная служба Schedule (Планировщик заданий)

> Службы: обратите внимание - набор применяемых на ПК служб зависит от области применения ПК (домашний, ПК в ЛВС компании ...)!

>> Безопасность: разрешен автозапуск программ с CDROM

>> Безопасность: разрешен административный доступ к локальным дискам (C$, D$ ...)

>> Безопасность: к ПК разрешен доступ анонимного пользователя

>> Безопасность: разрешен автоматический вход в систему

Проверка завершена

9. Мастер поиска и устранения проблем

>> Разрешен автозапуск с HDD

Советую отключить неиспользуемые службы,

отключить автозапуск

со съемных носителей и настроить безопасность.

По службам можно почитать здесь, дополнительно по безопасности Windows XP можно почитать здесь, если что не нужно, скажите, можно будет отключить скриптом.

Для предотвращения заражения, рекомендую не работать за компьютером с правами администратора, не использовать Internet Explorer или отключить в нем ActiveX, использовать

DropMyRights

см.