Троян Spambot

[Dimidrol]

Здравствуйте.
Веб постоянно находит trojan.spambot. Удаление ничего не дает. Идут постоянные коннекты с различнами адресами.

[PavelA]

Восстановление системы отключено? Если нет, то отключить и повторить логи AVZ.

Пред. анализ: гадости довольно много. Лечится можно, но аккуратно.

[Dimidrol]

Извиняюсь, про восстановление как-то забыл.
Новые логи.

[PavelA]

Выполнить скрипт:

begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\r5891w32.dll','');
 QuarantineFile('\??\C:\WINDOWS\system32:lzx32.sys','');
 QuarantineFile('C:\WINDOWS\System32\rdrv1x.exe','');
 QuarantineFile('c:\windows\svchоst.exe','');
 QuarantineFile('c:\windows\9353036.exe','');
 QuarantineFile('c:\windows\system32\al32.dll','' );
 DeleteFile('C:\WINDOWS\r5891w32.dll');
 BC_ImportAll;
 ExecuteSysClean;
 BC_DeleteSvc('pe386');
 BC_DeleteFile('c:\windows\svchоst.exe');
 BC_DeleteFile('\??\C:\WINDOWS\system32:lzx32.sys');
RebootWindows(true);
end.

Загрузить карантин по ссылке вверху темы.
C:\Documents and Settings\Dimidrol\Мои документы\Док Пахра\Для рассылки - что в этой директории знаете? Очень много подозрений на файлы из нее.

[Dimidrol]

Скрипт выполнил, карантин отослал.
В папке находятся файлы, присланные из филиала. В принципе их можно безболезненно грохнуть.

[PavelA]

Карантин посмотрю.

Эту папку (с файлами из филиала) лучше удалить + есть еще вторая похожая , в которой похожие файлы. Смотри в конце одного из логов AVZ.

[Dimidrol]

Файлы убил, а что делать с троянцем?

[PavelA]

забыл одну строчку дописать в скрипт. Что-то непруха у меня сегодня.
Ну, да ничего, охота удачной получилась:

C:\WINDOWS\r5891w32.dll - Trojan-Downloader.Win32.Small.cxx (Касперский)
c:\windows\svchоst.exe - Packed.Win32.PolyCrypt.b (Касперский)
c:\windows\9353036.exe -Trojan-PSW.Win32.LdPinch.ceb (Касперский), свежий.
Выполнить скрипт:

begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('c:\windows\system32\al32.dll','' );
DeleteFile('c:\windows\9353036.exe');
DeleteFile('C:\WINDOWS\r5891w32.dll');
DeleteFile('C:\WINDOWS\svchоst.exe');
 BC_DeleteFile('c:\windows\9353036.exe');
 BC_DeleteFile('C:\WINDOWS\svchоst.exe');
 BC_DeleteFile('C:\WINDOWS\r5891w32.dll');
 BC_deleteSvc('pe386');
 BC_DeleteFile('\??\C:\WINDOWS\system32:lzx32.sys');
 BC_ImportAll;
BC_Activate;
ExecuteSysClean;
RebootWindows(true);
end.

Прислать карантин, если туда что-нибудь попадет.

Надо будет менять все ПАРОЛИ (почта, аська, вебмани).

В файл Hosts сами строчки дописывали?

[Dimidrol]

да нет, похоже кто-то зловредный

[PavelA]

См. скрипт выше. Я вставил.

Плюс второй:
begin
ClearHostsfile;
end.

[Dimidrol]

Спасибо, скрипты выполнил, в карантине что-то есть, отправил

[PavelA]

Выполнить еще один:

begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('c:\windows\system32\al32.dll' );
BC_ImportAll;
BC_Activate;
ExecuteSysClean;
RebootWindows(true);
end.

Новые логи в студию, то бишь в тему.

[Dimidrol]

Все выполнил. В карантине чисто, логи прилагаются

[PavelA]

Теперь чистим хвосты:
В hijackthis фиксим строчки:

O4 - HKCU\..\Run: [NeroFilterCheck] svchоst.exe
O21 - SSODL: 236268 - {00000969-4321-1234-4321-0A1B2C3D4E99} - r5891w32.dll (file missing)

[Dimidrol]

строки пофиксил, какие дальнейшие рекомендации, или все?

[PavelA]

Trojan-Downloader.Win32.Agent.bga - это тот, который последний.

Рекомендацию сменить пароли не забыл выполнить.

[Dimidrol]

Нет, спасибо большое

[drongo]

Чтобы уменьшить шанс заражения советуем на будущее :
1) Работать за компьютером с правами ограниченного пользователя.
2) Пользоваться для хождения по интернету альтернативным браузером с отключёнными скриптами по умолчанию (Firefox и Opera это позволяют делать в отличии от IE 7 ,6....)
3) Прочитать электронную книгу "Безопасный Интернет". Универсальная защита для Windows ME - Vista": http://security-advisory.newmail.ru

Вы можете нас отблагодарить, оказав нам помощь в сборе базы безопасных файлов : http://virusinfo.info/showthread.php?t=3519
Мы будем Вам очень благодарны!

Удачи!

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 2
• Обработано файлов: 7
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\windows\\r5891w32.dll - Trojan-Downloader.Win32.Small.cxx (DrWEB: Adware.SQuery)
  2. c:\\windows\\svchоst.exe - Packed.Win32.PolyCrypt.d (DrWEB: Trojan.Packed.166)
  3. c:\\windows\\system32\\al32.dll - Trojan-Downloader.Win32.Agent.bga (DrWEB: Trojan.DownLoader.24153)
  4. c:\\windows\\9353036.exe - Trojan-PSW.Win32.LdPinch.ceb (DrWEB: Trojan.Packed.153)