Зараза в сети... Дункан маклауд просто...2

[alex_palace]

машинка 2 с которой хуже
сисчек создает на сис куре завис наглухо...
Вложение 228130
на всяк случай протокол исследования системы с него-же
Вложение 228131

[AndreyKa]

Закройте все программы. Запустите AVZ.
Выполните скрипт через меню Файл:

begin
SetAVZGuardStatus(True);
 ExecuteRepair(13);
 ExecuteRepair(9);
 QuarantineFile('c:\windows\system32\svchost.exe:ext.exe:$DATA','');
 QuarantineFile('C:\Documents and Settings\Администратор\pwonbh.exe','');
 QuarantineFile('C:\WINDOWS\System32\Drivers\aomsazdn.sys','');
 QuarantineFile('c:\docume~1\9335~1\locals~1\temp\tmp2173 .exe','');
 QuarantineFile('c:\windows\system32\wmicvrts.exe','');
 DeleteFile('c:\windows\system32\wmicvrts.exe');
 DeleteFile('c:\docume~1\9335~1\locals~1\temp\tmp2173 .exe');
 DeleteFile('C:\Documents and Settings\Администратор\pwonbh.exe');
 DeleteFile('c:\windows\system32\svchost.exe:ext.exe:$DATA');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.
Пришлите карантин через ссылку Прислать запрошенный карантин вверху темы, как написано в приложении 3 Правил.

Сделайте новый лог по пункту 2 Диагностики (virusinfo_syscheck.zip) и приложите к этой теме.

[alex_palace]

новый сисчек
Вложение 228133
карантин отправлен

[AndreyKa]

Закройте все программы. Запустите AVZ.
Выполните скрипт через меню Файл:

begin
SetAVZGuardStatus(True);
DeleteFileMask(GetAVZDirectory+'Quarantine', '*.*', true);
 QuarantineFile('C:\WINDOWS\System32\Drivers\aomsazdn.sys','');
 SetServiceStart('aomsazdn', 4);
 QuarantineFile('C:\Documents and Settings\Администратор\cgsxcqaf.exe','');
 DeleteFile('C:\Documents and Settings\Администратор\cgsxcqaf.exe');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','CFmon');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.
Пришлите карантин через ссылку Прислать запрошенный карантин вверху темы, как написано в приложении 3 Правил.
Сделайте новые логи AVZ и приложите к этой теме.

[alex_palace]

Вложение 228148
новый симптом - при упаковке карантина когда вводил пароль насыпало полную строчку testtesttest
Вложение 228144

[thyrex]

насыпало полную строчку testtesttest

Шутки AVZ по поиску кейлоггеров

Зачем Вы сами карантин упаковываете? Приложение 3 правил явно не читали

Выполните скрипт в AVZ

begin
DeleteFileMask(GetAVZDirectory+'Quarantine', '*.*', true);
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\System32\Drivers\zbitcadj.sys','');
 StopService('aomsazdn');
 SetServiceStart('aomsazdn', 4);
 DeleteService('aomsazdn');
 QuarantineFile('F:\autorun.inf','');
 DeleteFile('F:\autorun.inf');
 DeleteFile('C:\WINDOWS\system32\wmicvrts.exe');
 DeleteFile('C:\WINDOWS\System32\Drivers\aomsazdn.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\zbitcadj.sys');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.

Пришлите карантин согласно Приложения 3 правил по красной ссылке Прислать запрошенный карантин вверху темы

Сделайте новые логи

[alex_palace]

Трам тарарам - хайджек на юзерините затікается и дохнет не успев записать лог. Насчет карантина густо краснею...
при сборе логов авирой вілезло окно

[polword]

Закройте все открытые приложения, кроме АVZ и Internet Explorer.
Отключите
- ПК от интернета/локалки
- Выгрузите антивирус и/или Файрвол
- Закройте все программы
- Выполните скрипт в AVZ

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(True);
 QuarantineFile('C:\DOCUME~1\9335~1\LOCALS~1\Temp\tmp8291.exe','');
 DeleteFile('C:\DOCUME~1\9335~1\LOCALS~1\Temp\tmp8291.exe');
 QuarantineFile('c:\docume~1\9335~1\locals~1\temp\tmp2173 .exe','');
 QuarantineFile('C:\WINDOWS\system32\wmicvrts.exe','');
 QuarantineFile('F:\autorun.inf','');
 QuarantineFile('C:\WINDOWS\system32\svchost.exe:ext.exe:$DATA','');
 QuarantineFile('c:\windows\system32\svchost.exe:ext.exe','');
 QuarantineFile('C:\WINDOWS\system32\Drivers\atyvutqw.sys','');
 QuarantineFile('C:\WINDOWS\system32\qtplugin.exe','');
 QuarantineFile('c:\windows\system32\wmicvrts.exe','');
 TerminateProcessByName('c:\windows\system32\wmicvrts.exe');
 DeleteFile('c:\windows\system32\wmicvrts.exe');
 DeleteFile('C:\WINDOWS\system32\qtplugin.exe');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','RegistryMonitor1');
 DeleteFile('c:\windows\system32\svchost.exe:ext.exe:$DATA');
 DeleteFile('C:\WINDOWS\system32\svchost.exe:ext.exe');
 DeleteFile('F:\autorun.inf');
 DeleteFile('C:\WINDOWS\system32\wmicvrts.exe');
DeleteFile('C:\WINDOWS\system32\Drivers\atyvutqw.sys');
 BC_ImportAll;
 ExecuteSysClean;
 ExecuteRepair(13);
 ExecuteRepair(12);
 ExecuteRepair(9);
 ExecuteWizard('TSW', 2, 2, true);
 BC_Activate;
 RebootWindows(true);
end.

После перезагрузки:
- выполните такой скрипт

begin
  CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
 end.

- Файл quarantine.zip из папки AVZ загрузите по ссылке Прислать запрошенный карантин вверху темы
- Сделайте повторные логи по правилам п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip; hijackthis.log)

[AndreyKa]

Выполните в AVZ скрипт ScanVuln.txt и приложите сюда файл avz_log.txt из под-папки log.
Пройдитесь по ссылкам из файла avz_log.txt и установите обновления.

[alex_palace]

Выполните в AVZ скрипт ScanVuln.txt и приложите сюда файл avz_log.txt из под-папки log.
Пройдитесь по ссылкам из файла avz_log.txt и установите обновления.

Ребята спасибо пока.... Но до вторника машинка недоступна... Во вторник продолжу. Пасха таки и кабинет закрыт под сигналку.

[AndreyKa]

C наступающим.

[alex_palace]

карантин отправляю. Лог Хайджека то-же. На стандартных скриптах машина завистает наглухо
Вложение 228921
Вложение 228922

[AndreyKa]

На стандартных скриптах машина завистает наглухо

Начинайте всё сначала. Проверяйте компьютер антивирусом со свежими базами.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 5
• Обработано файлов: 81
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\documents and settings\администратор\cgsxcqaf.exe - Backdoor.Win32.Cetorp.ei ( BitDefender: Gen:Trojan.Heur.GZ.bmGfbekiOxl, AVAST4: Win32:Malware-gen )
  2. c:\documents and settings\администратор\pwonbh.exe - Backdoor.Win32.Cetorp.es ( DrWEB: BackDoor.Tofsee, BitDefender: Trojan.Loader.CV, AVAST4: Win32:Malware-gen )
  3. c:\docume~1\9335~1\locals~1\temp\tmp2173 .exe - Packed.Win32.Krap.gy ( DrWEB: Win32.HLLC.Asdas.3, BitDefender: Trojan.Agent.APCF, AVAST4: Win32:Crypt-GBX [Trj] )
  4. c:\windows\system32\drivers\aomsazdn.sys - Rootkit.Win32.Pakes.zo ( DrWEB: Trojan.Siggen.18257, BitDefender: Backdoor.Tofsee.Gen, NOD32: Win32/TrojanDownloader.Genome.CLU trojan, AVAST4: Win32:Malware-gen )
  5. c:\windows\system32\qtplugin.exe - Trojan-PSW.Win32.Agent.qli ( DrWEB: Trojan.MulDrop1.10781, BitDefender: Trojan.Agent.APCF, AVAST4: Win32:Malware-gen )
  6. c:\windows\system32\svchost.exe:ext.exe - Trojan.Win32.Agent.dquf ( DrWEB: Trojan.Spambot.8377, BitDefender: Trojan.Agent.APDR, AVAST4: Win32:Malware-gen )
  7. c:\windows\system32\svchost.exe:ext.exe:$data - Trojan.Win32.Agent.dquf ( DrWEB: Trojan.Spambot.8377, BitDefender: Trojan.Agent.APDR, AVAST4: Win32:Malware-gen )
  8. c:\windows\system32\wmicvrts.exe - Backdoor.Win32.IRCBot.onb ( DrWEB: Win32.HLLW.Autoruner.17477, BitDefender: Backdoor.Tofsee.BE, AVAST4: Win32:Flot-C [Trj] )
  9. c:\windows\system32\wmicvrts.exe - Backdoor.Win32.IRCBot.onm ( DrWEB: Trojan.Siggen1.17094, BitDefender: Gen:Heur.Krypt.10, AVAST4: Win32:Flot-C [Trj] )

Рекомендации:

1. Обнаружены троянские программы класса Trojan-PSW/Trojan-Spy - настоятельно рекомендуется поменять все пароли !