[решено] Поиск и удаление Kido

[f1t]

Хочу сразу извиниться перед Администрацией за то что не верно оформляю тему, т.к. нет возможности выложить логи.

Сабж.
На машине товарища видимо поселился net-wirm.win32.kido, по крайней мере симптомы его - не обновляется Microsoft Security Essentials, ни один браузер не грузит сайты АВ.
Сама машина сейчас на работе, возможности подключения к интернету нет.
Рассматриваю следующий алгоритм действий (собранная мною в купе информация):
1.Установка крит. патчи Microsoft 067-068-001
2. Отключение Планировщика заданий - Удаленного реестра - Автозапуска СД (путём regedit).
3. Загружаюсь в безопасном режиме
4. Запускаю утилиту KidoKiller
В описаниях КК указано, что после данных действий зараза обнаруживается и убивается^^
Так же советуется "подчистка хвостов" - путём удаления содержимого папки Recycler.

Патчи Microsoft и утилиту КК буду ставить на машину с ДВД-болванки.
Как Вы считаете имеет ли смысл? Может просто - сразу запускать КК - после чего "заделывать" дырки установив патчи?
Какие еще мероприятия можно произвести по излечению от недуга в оффлайн режиме?

[iskander-k]

Лучше сначала удалить , а потом устанавливать патчи.

Постарайтесь выполнить логи на компе вашего товарища.

И
• Скачайте Malwarebytes Anti-Malware (http://www.besttechie.net/mbam/mbam-setup.exe), установите, обновите базы, выберите Perform Full Scan, нажмите Scan, после сканирования - Ok - Show Results (показать результаты) - нажмите Remove Selected (удалить выделенные). Откройте лог и скопируйте в сообщение.
Если базы MBAM в автоматическом режиме обновить не удалось, обновите их отдельно. Загрузить обновление MBAM (http://www.malwarebytes.org/mbam/database/mbam-rules.exe).

[Drongo]

f1t, И если получится, для меня, сделайте лог gmer

Загрузите GMER по одной из указанных ссылок
Gmer со случайным именем (рекомендуется) (http://www.gmer.net/download.php), Gmer в zip-архиве (перед применением распаковать в отдельную папку) (http://www.gmer.net/gmer.zip)
Запустите программу (пользователям Vista запускать от имени Администратора по правой кнопке мыши).
Начнется экспресс-проверка. При появлении окна с сообщением о деятельности руткита, нажмите No.
После завершения экспресс-проверки в правой части окна программы уберите метку со следующих пунктов:
Sections
IAT/EAT
Show all
Из всех дисков оставьте отмеченным только системный диск (обычно C:\)
Нажмите на кнопку Scan и дождитесь окончания проверки. При появлении окна с сообщением о деятельности руткита, нажмите OK.
После окончания проверки сохраните его лог (нажмите на кнопку Save) и вложите в сообщение.

[f1t]

iskander-k, Drongo

Постараюсь сделать логи. После исцеления, если онное произойдет, кину логи себе на флешку - и выложу тут.
+ к перечисленным мною "методам", попробую anti-downaup

[f1t]

Итак,
-Kidokiller ничего не обнаружил
-anti-downaup ничего не обнаружил
- Kaspersky virus removal tool нащел:
1. trojan.win32.autoit.xp
2. packed.win32.klone.bj
3.worm.win32.autoit.tc
и еще порядка 20 (!) троянов. Но самое главное был обнаружен и вылечен net-worm.win32.kido.in
спрятан был C:/system Volume information/....... под именем A0012121.dll
после излечения были установлены 3 патча Microsoft, подчищены реестры

Товарищ повез машину домой - на проверку подключения к АВ сайтам и обновления MSE

Попросил его сделать логи (по инструкции) и переслать мне на почту. Вечером выложу

P.S. надеюсь что причиной был все таки червь kido

[f1t]

товарищ говорит, что все заработало. логи делать не хочет - говорит, зачем если все работает? MSE обновился, сайты АВ запускаются. Единственное что отметил, так это то, что система стала "дольше" загружаться после чистки. посоветовал ему подчистить автозапуск программ.
В данном случае - прошу ставить "решено", всем спасибо)