Форум Краматорська

Краматорськ та світ навколо нас => Компьютеры, мобилки, софт, Интернет, провайдеры => Тема розпочата: Сильвер від 14 Листопада 2009, 10:55:09

Назва: Помогите, кто может, кто может, помогите (вирь)
Відправлено: Сильвер від 14 Листопада 2009, 10:55:09

Компьютерные гуру, помогите, кто, чем сможет.
Завелась зверушка на машине. Вирь какой-то или троян. Похож на Tiniresu или Sdra64.
Касаперыч установлен, обновляется постоянно… не помогло, пропустил супостата.
Полная проверка на максимальных настройках результата не дала: Найденно 0.
Постоянно вылазит процесс, Касперыч ругается дюже.

Цитувати

14.11.2009 9:08:54   Защита вашего компьютера работает.
14.11.2009 9:24:01   Процесс C:\Temp\15.tmp (PID: 4068): подозрительное действие. Попытка записи состав модулей, загружаемых при старте компьютера (ключ HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon, значение userinit, данные C:\WINDOWS\system32\userinit.exe,C:\WINDOWS\system32\sdra64.exe,).
14.11.2009 9:24:10   Процесс C:\Temp\15.tmp (PID: 4068): попытка записи состав модулей, загружаемых при старте компьютера (ключ HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon, значение userinit, данные C:\WINDOWS\system32\userinit.exe,C:\WINDOWS\system32\sdra64.exe,) заблокирована.
14.11.2009 9:24:10   Процесс C:\Temp\15.tmp (PID: 4068): подозрительное действие. Попытка создания состав модулей, загружаемых при старте компьютера (ключ HKEY_USERS\S-1-5-21-220523388-2111687655-1202660629-1003\Software\Microsoft\Windows\CurrentVersion\Run, значение userinit, данные C:\WINDOWS\system32\sdra64.exe).
14.11.2009 9:24:14   Процесс C:\Temp\15.tmp (PID: 4068): попытка создания состав модулей, загружаемых при старте компьютера (ключ HKEY_USERS\S-1-5-21-220523388-2111687655-1202660629-1003\Software\Microsoft\Windows\CurrentVersion\Run, значение userinit, данные C:\WINDOWS\system32\sdra64.exe) заблокирована.
14.11.2009 9:24:20   Процесс C:\Temp\15.tmp (PID 4068) успешно завершен.
14.11.2009 9:24:22   Откат успешно выполнен.

ZBotKiller_v2 с сайта каспера ничего не нашел.
Вот такие пироги… из папки C:\Temp я файлы завирусованные вручную удалял, не помогает, они появляются снова только имена меняются:15.tmp, 3.tmp, 5.tmp… и т.д.
Файл: C:\WINDOWS\system32\userinit.exe = 26624 байт, должен быть не более 25600. Похоже он завирусован. Я его удалил и подменил таким же (он, вроде, стандартный) с другого компьютера. Файл:  C:\WINDOWS\system32\sdra64.exe Я найти не могу, в папке system32 его нет. В процессах sdra64 тоже не видно (ProcessExplorer). Стоит подключится к инету и начинается…
ОС: ХР про 3 сервиспак. Блин… жо..ой чую, придется искать специалиста.
Предложения а-ля грохни винду не принимаются, этот способ я и сам знаю.

Назва: Re: Помогите, кто может, кто может, помогите (вирь)
Відправлено: mst від 14 Листопада 2009, 11:08:50

http://www.freedrweb.com/cureit/ (https://www.kramatorsk.info/talk/go.php?url=http%3A%2F%2Fwww.freedrweb.com%2Fcureit%2F)

Назва: Re: Помогите, кто может, кто может, помогите (вирь)
Відправлено: Boris від 14 Листопада 2009, 13:21:09

http://tinyurl.com/yca4n2o (https://www.kramatorsk.info/talk/go.php?url=http%3A%2F%2Ftinyurl.com%2Fyca4n2o)   
http://ancher.ru/content/26-05-2009/sdra64exe-kak-udalit-troian (https://www.kramatorsk.info/talk/go.php?url=http%3A%2F%2Fancher.ru%2Fcontent%2F26-05-2009%2Fsdra64exe-kak-udalit-troian)

Назва: Re: Помогите, кто может, кто может, помогите (вирь)
Відправлено: Сильвер від 14 Листопада 2009, 21:17:04

mst, ету зверушку так просто не убить :D Живучий попался, гад.
Boris, с этой модификацией способ не работает.
Всем спасибо, все свободны (с) :o
Вирь был убит (царствие ему... :() :lol:, тема закрыта :D
Вирусописателей... Повбывав бы (с) Тарас Бульба  :lol:

Назва: Re: Помогите, кто может, кто может, помогите (вирь)
Відправлено: dronster від 14 Листопада 2009, 21:56:12

написал бы как убил, мож кому и полезно будет в дальнейшем :)