Junior Member
Вес репутации
56
trojan.win32.patched.em [Trojan-Downloader.Win32.Murlo.uu, , Trojan.Win32.Agent.amol
]
При полной проверке KIS2009 обнаружился trojan.win32.patched.em и ещё пару каких то троянов, которые каспер удачно удалил и написал что удалит trojan.win32.patched.em после перезагрузки. После ребута, при загрузке авторизатора кис снова показал trojan.win32.patched.em в c/windows/system32/mswsock.dll
cureit в безопасном режиме нашёл ещё что-то, а этого не нашёл
Дело в том, что там не получается попасть в инет из за этого, я скачл сейчас avz4 (но там старые базы) и HijackThis. Завтра попробую сделать логи и повесить сюда.
На viruslist нет такой модификации trojan.win32.patched.em
Будь в курсе!
Будь в курсе!
Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:
Junior Member
Вес репутации
56
Прилагаю логи. Помогите пожалуйста.
Последний раз редактировалось shpy; 19.01.2009 в 16:11 .
Базы обновить, логи переделать...
Junior Member
Вес репутации
56
Прошу прощения, я "протупил". При выключенном касперском инет работает. Обновил авз, прикрепляю новые логи.
Последний раз редактировалось shpy; 20.01.2009 в 18:55 .
Скачать этот AVZ http://depositfiles.com/files/5k0qihqas
AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".
Код:
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\Documents and Settings\Администратор\Local Settings\Temporary Internet Files\Content.IE5\0TSDIVK9\12[1].exe','');
DelBHO('{1F460357-8A94-4D71-9CA3-AA4ACF32ED8E}');
DelBHO('{FFFC57DB-1DE3-4303-B24D-CEE6DCDD3D86}');
QuarantineFile('C:\PROGRA~1\MYCENT~1\InfoBar\MYCENT~1.DLL','');
DeleteService('HBKernel32');
QuarantineFile('C:\WINDOWS\system32\drivers\HBKernel32.sys','');
QuarantineFile('C:\WINDOWS\Update.dll','');
QuarantineFile('C:\WINDOWS\system32\System.exe','');
QuarantineFile('C:\WINDOWS\system32\dejampdb.dll','');
QuarantineFile('C:\WINDOWS\system32\cchpegcg.dll','');
QuarantineFile('C:\WINDOWS\system32\ccbaojpe.dll','');
QuarantineFile('C:\WINDOWS\system32\ahfgahgg.dll','');
QuarantineFile('C:\WINDOWS\system32\ademfbkc.dll','');
QuarantineFile('C:\WINDOWS\MKMKrnl.dll','');
QuarantineFile('C:\WINDOWS\linkinfo.dll','');
QuarantineFile('C:\WINDOWS\Fonts\Framdee.ttf','');
QuarantineFile('C:\WINDOWS\Downloaded Program Files\ThunderAdvise.dll','');
QuarantineFile('C:\Program Files\Messenger\msgmr.dll','');
QuarantineFile('C:\DOCUME~1\9335~1\LOCALS~1\Temp\WowInitcode.dat','');
QuarantineFile('C:\DOCUME~1\9335~1\LOCALS~1\Temp\wmsetup.dll','');
QuarantineFile('C:\asdfjlasdjf.dll','');
DeleteFile('C:\asdfjlasdjf.dll');
DeleteFile('C:\DOCUME~1\9335~1\LOCALS~1\Temp\wmsetup.dll');
DeleteFile('C:\DOCUME~1\9335~1\LOCALS~1\Temp\WowInitcode.dat');
DeleteFile('C:\Program Files\Messenger\msgmr.dll');
DeleteFile('C:\WINDOWS\Downloaded Program Files\ThunderAdvise.dll');
DeleteFile('C:\WINDOWS\Fonts\Framdee.ttf');
DeleteFile('C:\WINDOWS\linkinfo.dll');
DeleteFile('C:\WINDOWS\MKMKrnl.dll');
DeleteFile('C:\WINDOWS\system32\ademfbkc.dll');
DeleteFile('C:\WINDOWS\system32\ahfgahgg.dll');
DeleteFile('C:\WINDOWS\system32\ccbaojpe.dll');
DeleteFile('C:\WINDOWS\system32\cchpegcg.dll');
DeleteFile('C:\WINDOWS\system32\dejampdb.dll');
DeleteFile('C:\WINDOWS\system32\dgndmblb.dll');
DeleteFile('C:\WINDOWS\system32\dlgbcmek.dll');
DeleteFile('C:\WINDOWS\system32\ednkijea.dll');
DeleteFile('C:\WINDOWS\system32\fdfpbcin.dll');
DeleteFile('C:\WINDOWS\system32\fmhgbjfg.dll');
DeleteFile('C:\WINDOWS\system32\gkmmnjmf.dll');
DeleteFile('C:\WINDOWS\system32\HBCHIBI.dll');
DeleteFile('C:\WINDOWS\system32\hbcodhbp.dll');
DeleteFile('C:\WINDOWS\system32\HBmhly.dll');
DeleteFile('C:\WINDOWS\system32\HBSHQ.dll');
DeleteFile('C:\WINDOWS\system32\HBWULIN2.dll');
DeleteFile('C:\WINDOWS\system32\hfdgnibf.dll');
DeleteFile('C:\WINDOWS\system32\hgodchpm.dll');
DeleteFile('C:\WINDOWS\system32\hnhiobnn.dll');
DeleteFile('C:\WINDOWS\system32\iagcpbma.dll');
DeleteFile('C:\WINDOWS\system32\iiiipfnp.dll');
DeleteFile('C:\WINDOWS\system32\ijnkaclo.dll');
DeleteFile('C:\WINDOWS\system32\jiccichb.dll');
DeleteFile('C:\WINDOWS\system32\jjdjimpg.dll');
DeleteFile('C:\WINDOWS\system32\jllaimle.dll');
DeleteFile('C:\WINDOWS\system32\kfenanfb.dll');
DeleteFile('C:\WINDOWS\system32\lbejiklb.dll');
DeleteFile('C:\WINDOWS\system32\lcnafoca.dll');
DeleteFile('C:\WINDOWS\system32\lljhkfij.dll');
DeleteFile('C:\WINDOWS\system32\magdcebf.dll');
DeleteFile('C:\WINDOWS\system32\meolfcbj.dll');
DeleteFile('C:\WINDOWS\system32\mfefkocj.dll');
DeleteFile('C:\WINDOWS\system32\mffeofdn.dll');
DeleteFile('C:\WINDOWS\system32\mffknnjl.dll');
DeleteFile('C:\WINDOWS\system32\nglikpog.dll');
DeleteFile('C:\WINDOWS\system32\pbffhfbf.dll');
DeleteFile('C:\WINDOWS\system32\peelhdmi.dll');
DeleteFile('C:\WINDOWS\system32\pjfgkjdn.dll');
DeleteFile('C:\WINDOWS\system32\pldffhej.dll');
DeleteFile('C:\WINDOWS\system32\pocibmjc.dll');
DeleteFile('C:\WINDOWS\system32\System.exe');
DeleteFile('C:\WINDOWS\Update.dll');
DeleteFile('C:\WINDOWS\system32\drivers\HBKernel32.sys');
DeleteFile('C:\PROGRA~1\MYCENT~1\InfoBar\MYCENT~1.DLL');
DeleteFile('C:\Documents and Settings\Администратор\Local Settings\Temporary Internet Files\Content.IE5\0TSDIVK9\12[1].exe');
DeleteFileMask('%tmp% ','*.* ',true);
BC_ImportALL;
ExecuteSysClean;
BC_DeleteSvc('HBKernel32');
BC_Activate;
ExecuteRepair(6);
ExecuteRepair(9);
RebootWindows(true);
end.
Пришлите карантин по правилам и повторите логи...
Junior Member
Вес репутации
56
Выполнил скрипт вашим авз (монк.зип), перезагрузился и вашим авз заархивировал карантин. Потом вашим же авз создал логи.
Последний раз редактировалось shpy; 20.01.2009 в 18:57 .
Junior Member
Вес репутации
56
Вобщем, проблема по прежнему мучает. Всё сделал снова, проверил по максимуму КИСом, потом новым КУРИТом в сэйфмод. Что-то ещё нашли, но зараза из первого поста осталась. Прикрепляю все новые логи.
Вложения
AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".
Код:
begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\System32\MSWSOCK.DLL','');
DeleteFile('kfenanfb.dll');
DeleteFile('mffeofdn.dll');
DeleteFile('pldffhej.dll');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
Пришлите карантин по правилам и повторите логи...
Junior Member
Вес репутации
56
Junior Member
Вес репутации
56
Прислал карантин - 090120_175626_virus_4975e61a925f3.zip
Junior Member
Вес репутации
56
Вложения
Сделайте 3 стандартный скрипт заного, AVZ многое удалила сама...
З.Ы. mswsock.dll-чистый,и по нашему мульти-антивирусу KIS его не детектит и ВирЛаб сказал что он чистый...
Junior Member
Вес репутации
56
Сообщение от
Гриша
Сделайте 3 стандартный скрипт заного
HijackThis? какой скрипт?
Итог лечения
Статистика проведенного лечения:
Получено карантинов: 2 Обработано файлов: 48 В ходе лечения обнаружены вредоносные программы:
c:\\asdfjlasdjf.dll - Trojan-GameThief.Win32.WOW.emd c:\\documents and settings\\администратор\\local settings\\temporary internet files\\content.ie5\\0tsdivk9\\12[1].exe - Worm.Win32.Downloader.yw (DrWEB: Trojan.PWS.Gamania.17197) c:\\docume~1\\9335~1\\locals~1\\temp\\wmsetup.dll - Trojan-Downloader.Win32.Murlo.uu (DrWEB: Trojan.DownLoader.62110) c:\\docume~1\\9335~1\\locals~1\\temp\\wowinitcode. dat - Trojan-GameThief.Win32.WOW.ekr c:\\program files\\messenger\\msgmr.dll - Trojan-Downloader.Win32.Agent.yuv (DrWEB: Trojan.MulDrop.18194) c:\\windows\\fonts\\framdee.ttf - Trojan-Downloader.Win32.Small.yvn (DrWEB: Trojan.DownLoad.3242) c:\\windows\\mkmkrnl.dll - Trojan.Win32.Agent.amol (DrWEB: Trojan.DownLoad.12619) c:\\windows\\system32\\cchpegcg.dll - Trojan-GameThief.Win32.OnLineGames.uhvp (DrWEB: Trojan.PWS.Wsgame.10073) c:\\windows\\system32\\dejampdb.dll - Trojan-GameThief.Win32.OnLineGames.uhbb (DrWEB: Trojan.PWS.Gamania.1719