Win Server 2003 R2 после waspacer.exe, waagent и др. [not-a-virus:RiskTool.Win32.LockDir.g ]

[Rib]

Случилась беда с офисным Windows Server 2003 R2
Стал ужасно тормозить. В процессе исследования жесткого диска обнаружились следы waspacer.exe, и его же товарища waagent.

Также обратил на себя внимание "непрошенный" процесс winlogin.exe, который при проверке на virustotal, был чаще всего опознан как некий not-virus-proxy-32-бла-бла, при анализе реестра выяснилось, что работает он в паре с start.reg (добавлял раздел ActiveDesktop включающий запуск winlogin.exe с неким comand.drv) - все файлы в WINDOWS/system32

Всё удалил, однако это не убрало "тормоза".
В конце концов проблему решили пересадкой винчестера на новое железо.
После чего прогнал один раз Kaspersky Virus Removal Tool

Сейчас всё вроде бы нормально, но хотелось бы убедиться,
что вирусы полностью удалены из системы.

PS Система - серверная, потому лога - всего два

[Info_bot]

Уважаемый(ая) Rib, спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[thyrex]

Ничего плохого не видно

[mike 1]

Сделайте дополнительно такой лог

1. Скачайте Universal Virus Sniffer (uVS)
2. Извлеките uVS из архива или из zip-папки. Откройте папку с UVS и запустите файл start.exe. В открывшимся окне выберите пункт "Запустить под текущим пользователем".
3. Выберите меню "Файл" => "Сохранить полный образ автозапуска". Программа предложит вам указать место сохранения лога в формате "имя_компьютера_дата_сканирования". Лог необходимо сохранить на рабочем столе.
   
   !!!Внимание. Если у вас установлены архиваторы WinRAR или 7-Zip, то uVS в автоматическом режиме упакует лог в архив, иначе это будет необходимо сделать вам вручную.
4. Дождитесь окончания работы программы и прикрепите лог к посту в теме.
   
   !!! Обратите внимание, что утилиты необходимо запускать от имени Администратора. По умолчанию в Windows XP так и есть. В Windows Vista и Windows 7 администратор понижен в правах по умолчанию, поэтому, не забудьте нажать правой кнопкой на программу, выбрать Запуск от имени Администратора, при необходимости укажите пароль администратора и нажмите "Да".

[Rib]

Спасибо ,что уделили внимание моей просьбе.

Сделал лог uVS.
Прикручиваю к сообщению.

[mike 1]

1. Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.
2. Откройте папку с распакованной утилитой uVS и запустите файл start.exe. В открывшимся окне выберите пункт "Запустить под текущим пользователем".
3. Выделите и правой кнопкой мыши скопируйте следующий скрипт в буфер обмена:
   

   ;uVS v3.83 BETA 4 [http://dsrt.dyndns.org]
   ;Target OS: NTv5.2
   
   OFFSGNSAVE
   breg
   
   zoo %SystemDrive%\DOCUMENTS AND SETTINGS\BUH\МОИ ДОКУМЕНТЫ\LOCKDIR.EXE
   addsgn 9252776A336AC1CC0BF4774EA34F0A99088A64AB18CE48FB483C2EB2C046E1DCA91185DF39129C925E870F81C5F8B5EBA6AD05CA54DAB02C2CACD1284C18A19D 8 APPL/Wasppacer.AP [AntiVir]
   
   zoo %SystemDrive%\DOCUMENTS AND SETTINGS\NATASHA\РАБОЧИЙ СТОЛ\*\WASPPACER.EXE
   bl 87D94050927B13F2E0B0A7B1F7D2890C 999480
   delall %SystemDrive%\DOCUMENTS AND SETTINGS\NATASHA\РАБОЧИЙ СТОЛ\*\WASPPACER.EXE
   delall %SystemDrive%\DOCUMENTS AND SETTINGS\ALL USERS\APPLICATION DATA\GOOGLE UPDATE\WINLOGON.EXE
   zoo %SystemDrive%\PROGRAM FILES\RED5\WRAPPER.EXE
   chklst
   delvir

4. В uVS выберите пункт меню "Скрипт" => "Выполнить скрипт находящийся в буфере обмена..."
5. Нажмите на кнопку "Выполнить" и дождитесь окончания работы программы. Компьютер перезагрузите вручную.
6. После выполнения скрипта упакуйте содержимое папки ZOO с помощью WinRar, 7-Zip или WinZip в архив формата .ZIP с паролем virus и отправьте этот файл по ссылке "Прислать запрошенный карантин" над первым сообщением в теме.

Рекомендую поменять пароли на более стойкие от RDP и учетных записей. Возможно пытались или хотели запустить на сервере программу Lockdir, которая блокирует доступ к файлам.

[Rib]

Карантин ZOO загрузил.
Пароли меняю, попробую ещё ограничить права.

[mike 1]

Новый лог uVS сделайте

[Rib]

Сделал новый лог.
Закинул по ссылке вверху.

[mike 1]

В систему карантинов не нужно было его грузить. Загрузите его на rghost, полученную ссылку прикрепите.

[mike 1]

Это карантин, а вас просили сделать новый лог uVS.

[Rib]

Пардон - напутал. Вот сделал лог -
http://rghost.ru/57314129

[mike 1]

Выполните скрипт в uVS:

;uVS v3.83 BETA 12 [http://dsrt.dyndns.org]
;Target OS: NTv5.2

breg

delall %SystemDrive%\DOCUMENTS AND SETTINGS\BUH\МОИ ДОКУМЕНТЫ\LOCKDIR.EXE

Перезагрузите сервер вручную. В остальном порядок.

[Rib]

Всё сделал.
Вручную удаляю безымянную скрытую папку (осталась от WaspAcer-ра) в
%SystemDrive%\DOCUMENTS AND SETTINGS\NATASHA\РАБОЧИЙ СТОЛ\

Спасибо большое!

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 2
• Обработано файлов: 8
• В ходе лечения обнаружены вредоносные программы:
  
  1. \zoo\lockdir.exe._50eb459b14fbab5626f99cc98e89cc24 7a60eb67 - not-a-virus:RiskTool.Win32.LockDir.g ( DrWEB: Tool.FolderLock.5 )