Страница 1 из 2 12 Последняя
Показано с 1 по 20 из 23.

atiatbxx.sys (8kb) и atiataxx.dll (25kb) - трояны (заявка № 11124)

  1. #1
    Junior Member Репутация
    Регистрация
    17.07.2007
    Сообщений
    11
    Вес репутации
    35

    Thumbs up atiatbxx.sys (8kb) и atiataxx.dll (25kb) - трояны

    В форуме DrWeb создал тему по этому поводу, мне дали советы - что и как делать и рекомендовали затем написать сюда и отправить логи. Советы очень помогли, большое спасибо. Логи прикрепляю.
    Повторяю суть проблемы - DrWeb обнаружил вирусы и удалил. Названия их я не запомнил (помнил, что трояны). После удаления обнаружил, что в папке windows/system32 остались подозрительные файлы ng77.bin (0-1 kb) и ksl48.bin (1kb), atiatbxx.sys (8kb) и atiataxx.dll (25kb). Время их создания-изменения совпадает со временем появления вирусов.
    Удалить эти 4 файла сначала удалось, но после перезагрузки они появились снова, после чего повторялась такая же ситуация - удалялись (не без труда - компьютер писал, что они заняты процессом), но потом появлялись снова.
    В автозагрузке ничего подозрительного не было видно. DrWeb в них вирусов не видел, а при онлайн-проверке не видел и самих файлов вообще (писал "файл не загружен"). То же самое с Касперским. С ЦП, интернет эксплорером и трафиком ничего подозрительного, вроде, не происходило. Единственный заметный "тревожный звонок" - компьютер не выключался и не перегружался через "Пуск", приходилось кнопкой.
    Да, еще в windows/temp появилась сомнительная папка TSK16HXAQV с файлами .tmp
    DrWeb лицензионный, регулярно обновляемый. Windows нелицензионная, в связи с чем DrWeb постоянно ругается на файл srvany.exe.

    Согласно советам, проверил cureit-beta.exe в безопасном режиме - она выявила atiatbxx.sys и atiataxx.dll как вирусы Trojan-Spy.Win32.Banker. Я их сразу удалил (ng77.bin и ksl48.bin тоже), и они больше не появлялись.
    АVZ выявила дополнительно такие же трояны в двух файлах tmp и нашла vbsys2.dll - Trojan-Clicker.Win32.Agent
    Проверку AVZ и HijackThis выполнил, логи отправляю. Я не уверен, что нужно было удалять файлы-вирусы, но, видимо, немного переволновался.
    Посмотрите, пожалуйста, логи и, если дадите советы по дальнейшим действиям, большое спасибо. Если особых действий предпринимать не надо - тоже в любом случае большое спасибо. С компьютером, кажется, все нормально, выгружается и перегружается через "пуск".
    С уважением, Дмитрий
    Вложения Вложения

  2. Реклама
     

  3. #2
    Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    25.02.2007
    Сообщений
    8,033
    Вес репутации
    1691
    Выполните скрипт в AVZ
    Код:
    begin
     SearchRootkit(true, true);
     SetAVZGuardStatus(true);
     QuarantineFile('C:\windows\temp\winlogon.exe','');
     DeleteFile('C:\windows\temp\winlogon.exe');
     DeleteFile('C:\WINDOWS\System32\vbsys2.dll');  
     BC_ImportALL;  
     BC_Activate;
     ExecuteSysClean;
     RebootWindows(true);
    end.
    "Пофиксите" в HijackThis
    Код:
    O4 - HKCU\..\Run: [Firewall auto setup] C:\windows\temp\winlogon.exe
    O4 - HKLM\..\Run: [Cleanup] ??
    O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Program Files\Common Files\Adobe\Calibration\Adobe Gamma Loader.exe
    O4 - Global Startup: Adobe Gamma Loader.exe.lnk = C:\Program Files\Common Files\Adobe\Calibration\Adobe Gamma Loader.exe
    O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
    O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
    O16 - DPF: {33331111-1111-1111-1111-611111193423} - 
    O16 - DPF: {33331111-1111-1111-1111-615111193427} - 
    O16 - DPF: {33331111-1131-1111-1111-611111193428} -
    Пришлите файлы карантина по правилам раздела "Помогите". Повторите логи.

  4. #3
    Junior Member Репутация
    Регистрация
    17.07.2007
    Сообщений
    11
    Вес репутации
    35

    карантин

    Спасибо.
    Отправляю карантин.
    Последний раз редактировалось drongo; 18.07.2007 в 18:47. Причина: japanies policeman удалил вирус, Ха-Ха ;)

  5. #4
    Junior Member Репутация
    Регистрация
    17.07.2007
    Сообщений
    11
    Вес репутации
    35
    Логи тоже сделал.

  6. #5
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для pig
    Регистрация
    17.09.2004
    Адрес
    Апатиты, Мурманская область, Россия
    Сообщений
    10,629
    Вес репутации
    1288
    Так вот- логи сюда, а карантин - по ссылке над темой. Дитям мороженое! (c)

  7. #6
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для drongo
    Регистрация
    17.09.2004
    Адрес
    Israel
    Сообщений
    7,165
    Вес репутации
    967
    По правилам, значит по ссылке в шапке (http://virusinfo.info/upload_virus.php?tid=11124 ) присылать запрошенный карантин и никак инaче!

  8. #7
    Junior Member Репутация
    Регистрация
    17.07.2007
    Сообщений
    11
    Вес репутации
    35
    Понял.
    Логи вот.
    Вложения Вложения

  9. #8
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для Muzzle
    Регистрация
    07.02.2007
    Адрес
    Владивосток
    Сообщений
    1,068
    Вес репутации
    62
    1.AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Надать кнопку "Запустить".
    Код:
    begin
    SearchRootkit(true, true);
    SetAVZGuardStatus(true);
     BC_QrSvc('i9aaduotiqe');
     BC_QrFile('C:\WINDOWS\wc98pp.dll');
     BC_QrFile('C:\WINDOWS\System32\dior4f48842391.exe');
     BC_DeleteSvc('i9aaduotiqe');
     BC_DeleteFile('C:\WINDOWS\System32\dior4f48842391.exe');
    BC_Activate;
    RebootWindows(true);
    end.
    После выполнения скрипта компьютер перезагрузится.
    Прислать карантин согласно приложения 3 правил .
    Загружать по ссылке: http://virusinfo.info/upload_virus.php?tid=11124

    Также нужно обновить систему до SP2 + все критические обновление которые вышли за последние время,иначе вы можете стать частым гостем раздела "Помогите" и Internet Explorer тоже нужно обновить(текущая версия 7)

  10. #9
    Junior Member Репутация
    Регистрация
    17.07.2007
    Сообщений
    11
    Вес репутации
    35
    Понял, спасибо, пожелания учту.
    Карантин выслал.

  11. #10

  12. #11
    Junior Member Репутация
    Регистрация
    17.07.2007
    Сообщений
    11
    Вес репутации
    35
    Отправил, ответ был такой - "Не указана ссылка на тему. Должен быть линк вида http://virusinfo.info/showthread.php?t=XXXX на существующую тему на форуме"
    Ссылку указал вот эту - http://virusinfo.info/showthread.php?&p=123590
    Отправил несколько раз, потом подумал, что, может быть, все ушло, просто мелкие неполадки.
    Сейчас отправил еще раз с этой же ссылкой.

  13. #12
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для pig
    Регистрация
    17.09.2004
    Адрес
    Апатиты, Мурманская область, Россия
    Сообщений
    10,629
    Вес репутации
    1288
    Используйте ссылку "Прислать запрошенные файлы" в шапке темы.

  14. #13
    Junior Member Репутация
    Регистрация
    17.07.2007
    Сообщений
    11
    Вес репутации
    35
    Отправил - то же самое.

  15. #14
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для pig
    Регистрация
    17.09.2004
    Адрес
    Апатиты, Мурманская область, Россия
    Сообщений
    10,629
    Вес репутации
    1288
    Видимо, не так ссылку использовали. Просто жмакнуть по ней - откроется форма загрузки с уже заполненной ссылкой на тему, останется только файл выбрать.

  16. #15
    Junior Member Репутация
    Регистрация
    17.07.2007
    Сообщений
    11
    Вес репутации
    35
    Да, все верно, я перемудрил.
    Выслал карантин.

  17. #16
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для Muzzle
    Регистрация
    07.02.2007
    Адрес
    Владивосток
    Сообщений
    1,068
    Вес репутации
    62
    В карантин попал только 1 файл и он чистый,как состояние компьютера?
    Повторите логи.

  18. #17
    Junior Member Репутация
    Регистрация
    17.07.2007
    Сообщений
    11
    Вес репутации
    35
    Состояние компьютера - как вы и предупреждали - успел поймать еще и трояна rsvp32_2.dll со sporder.dll.
    Попробовал вылечить сам, удалил, провел проверку, почистил от rsvp322 реестр - winsock2 во всех контролсетах. Внешне все нормально, все работает, хотя я далеко не уверен.
    Логи отправляю, карантин сейчас приложу.
    Обновлением до SP2 озадачился, главная проблема в том, что Windows нелицензионная, кряков к SP2 у знакомых пока не нашел. Эксплорер 7-й поставлю.
    Вложения Вложения

  19. #18
    Senior Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    10.01.2007
    Сообщений
    22,817
    Вес репутации
    1497
    профиксите
    Код:
    O4 - HKLM\..\Run: [System] C:\WINDOWS\svchost.exe
    выполните скрипт
    Код:
    begin
     SearchRootkit(true, true);
     SetAVZGuardStatus(True);
     QuarantineFile('C:\WINDOWS\wc98pp.dll','');
     QuarantineFile('C:\WINDOWS\svchost.exe','');
     QuarantineFile('C:\WINDOWS\System32\rsvp322.dll','');
     DeleteFile('C:\WINDOWS\svchost.exe');
     DeleteFile('C:\WINDOWS\System32\rsvp322.dll');
    BC_ImportAll;
    BC_Activate;
    ExecuteSysClean;
    RebootWindows(true);
    end.
    пришлите карантин согласно приложения 3 правил...
    повторите логи...

  20. #19
    Junior Member Репутация
    Регистрация
    17.07.2007
    Сообщений
    11
    Вес репутации
    35
    Скрипт выполнил, логи прилагаю.
    Карантин сейчас вышлю.
    Вложения Вложения

  21. #20
    Senior Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    10.01.2007
    Сообщений
    22,817
    Вес репутации
    1497
    логи чисты ... настоятельно рекомендуем SP2 и все последующие обновления безопастности... иначе эта тема будет продолжаться очень долго
    Последний раз редактировалось V_Bond; 30.07.2007 в 13:21.

  • Уважаемый(ая) DSKv, наши специалисты оказали Вам всю возможную помощь по вашему обращению.

    В целях поддержания безопасности вашего компьютера настоятельно рекомендуем:


    Надеемся больше никогда не увидеть ваш компьютер зараженным!

    Если Вас не затруднит, пополните пожалуйста нашу базу безопасных файлов.
  • Присоединяйтесь к нам в соцсетях!

    Мы делаем все возможное, чтобы помогать людям в защите и лечении компьютеров.

    Страница 1 из 2 12 Последняя

    Похожие темы

    1. трояны
      От Gross в разделе Помогите!
      Ответов: 24
      Последнее сообщение: 17.06.2010, 22:12
    2. Трояны
      От kba в разделе Помогите!
      Ответов: 1
      Последнее сообщение: 07.11.2009, 21:22
    3. Ответов: 6
      Последнее сообщение: 22.02.2009, 02:07
    4. Живучий atiataxx.dll
      От Krosha в разделе Помогите!
      Ответов: 14
      Последнее сообщение: 22.02.2009, 02:07
    5. Трояны - 8
      От Paukcom в разделе Помогите!
      Ответов: 4
      Последнее сообщение: 08.08.2008, 22:37

    Свернуть/Развернуть Ваши права в разделе

    • Вы не можете создавать новые темы
    • Вы не можете отвечать в темах
    • Вы не можете прикреплять вложения
    • Вы не можете редактировать свои сообщения
    •  
    Page generated in 0.00810 seconds with 24 queries