Показано с 1 по 16 из 16.

trojan.win32/vundo.gen!AW (заявка № 126328)

  1. #1
    Junior Member Репутация
    Регистрация
    27.10.2012
    Сообщений
    8
    Вес репутации
    16

    trojan.win32/vundo.gen!AW

    Здравствуйте. Вчера вечером поймал трояна trojan.win32/vundo.gen!AW. Защитник Windows его видит, но сделать с ним ничего не может. ESET NOD32 с новыми базами, при полной проверке его тоже не нашел. Поставил Dr.Web результат аналогичный. Троян запустил в браузере сайт speed2 и все, пока больше никак не проявляется. Прошу помочь избавиться от зверя.
    Вложения Вложения
    Последний раз редактировалось TAL; 28.10.2012 в 11:16.

  2. Реклама
     

  3. #2
    Cyber Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для Info_bot
    Регистрация
    11.05.2011
    Сообщений
    2,268
    Вес репутации
    326
    Уважаемый(ая) TAL, спасибо за обращение на наш форум!

    Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

    Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

  4. #3
    Senior Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    03.08.2010
    Сообщений
    24,567
    Вес репутации
    709
    Здравствуйте!

    Закройте все программы

    Отключите
    - ПК от интернета/локалки.
    - Антивирус и Файрвол

    Выполните скрипт в АВЗ -

    Код:
    begin
     QuarantineFile('C:\Users\User\taskhost.exe','');
     DeleteFile('C:\Users\User\taskhost.exe');
     RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Taskhost');
     ExecuteRepair(3);
     ExecuteRepair(4);
     ExecuteRepair(21);
    CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
    ExecuteSysClean;
    RebootWindows(true);
    end.
    После выполнения скрипта компьютер перезагрузится.

    Файл quarantine.zip из папки AVZ загрузите по ссылке "Прислать запрошенный карантин" вверху темы.

    - Сделайте повторные логи по правилам п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip;hijackthis.log)


    - Сделайте лог полного сканирования МВАМ.

  5. regist получил(а) благодарность за это сообщение от

    TAL

  6. #4
    Junior Member Репутация
    Регистрация
    27.10.2012
    Сообщений
    8
    Вес репутации
    16
    Выполнил Скрипт, отправил карантин. Запустил сканирование MBAM, лог выложу позже после завершения сканирования.
    Вложения Вложения

  7. #5
    Senior Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    03.08.2010
    Сообщений
    24,567
    Вес репутации
    709
    Цитата Сообщение от TAL Посмотреть сообщение
    MBAM, лог выложу позже после завершения сканирования.
    ок, ждём. заодно отпишитесь, что с проблемой.

  8. #6
    Junior Member Репутация
    Регистрация
    27.10.2012
    Сообщений
    8
    Вес репутации
    16
    Вот лог MBAM как и обещал. Защитник молчал с самого утра, решил проверить его, оказалось его что-то вырубило, запустил, выполнил сканирование его средствами. Говорит что все нормально, после перезагрузки вроде тоже молчит. Осталась проблема speed2. При каждом запуске браузера Opera, изменяются инструкции оперы для запуска программы: на запуск с домашней страницы, которой прописан сайт перенаправляющий на speed2.

    - - - Добавлено - - -

    Так, со speed2 разобрался. Теперь другая проблема. Что-то выключает службу защитника Windows после каждой перезагрузки, так как trojan.win32/vundo.gen!AW кроме защитника при запуске никто не видел, не могу утверждать что проблема решена, может быть он и отключает.
    Вложения Вложения
    Последний раз редактировалось TAL; 28.10.2012 в 13:48.

  9. #7
    Senior Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для Techno
    Регистрация
    25.08.2009
    Адрес
    Россия
    Сообщений
    10,961
    Вес репутации
    379
    - Выполните в AVZ скрипт из файла ScanVuln.txt
    - Откройте файл avz_log.txt из под-папки LOG.
    - Пройдитесь по ссылкам из файла avz_log.txt и установите важные обновления.
    - Перезагрузите компьютер.
    - Повторите выполнение скрипта, чтобы убедиться, что уязвимости устранены.

    Повторите логи АВЗ и hijackthis.


  10. #8
    Junior Member Репутация
    Регистрация
    27.10.2012
    Сообщений
    8
    Вес репутации
    16
    Здравствуйте, запустил скрипт, устранил все уязвимости. Проблема с защитником решилась, теперь влючается нормально. Появилась другая проблема, теперь вместо сайта speed2 в браузере постоянно запускается сайт webalta. Пытался пофиксить все строки с данным адресом в HijackThis, строки пофиксились а результата ноль, опять запускается этот сайт.
    Вложения Вложения
    Последний раз редактировалось TAL; 30.10.2012 в 19:20.

  11. #9
    Senior Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для Techno
    Регистрация
    25.08.2009
    Адрес
    Россия
    Сообщений
    10,961
    Вес репутации
    379
    - Выполните в АВЗ:(выполняться будет долго, дождитесь)
    Код:
    procedure ProSearchReg(SearchStr:string; SearchKey, SearchParam, SearchVal:boolean=true); //процедура поиска
    		      //строка поиска, искать в ключах, в параметрах, в значениях
      var
      count,i: integer=0;
      SKey, SParam, SVal: string;
      HKEY_USERSLines : TStrings; //список подразделов HKEY_USERS
      begin 
        HKEY_USERSLines := TStringList.Create;
        SearchStr:=LowerCase(SearchStr);//к нижнему регистру для сравнения
        if SearchKey then SKey:='true' else SKey := 'false';
        if SearchParam then SParam:='true' else SParam := 'false';
        if SearchVal then SVal:='true' else SVal := 'false';
    
        //заголовок INI файла
        INIStrParamWrite(GetAVZDirectory+'Search.ini','Parametrs','StrSearch',SearchStr);
        INIStrParamWrite(GetAVZDirectory+'Search.ini','Parametrs','SearchKey',SKey);
        INIStrParamWrite(GetAVZDirectory+'Search.ini','Parametrs','SearchParam',SParam);
        INIStrParamWrite(GetAVZDirectory+'Search.ini','Parametrs','SearchVal',SVal);
    
        //чистка разделов INI файла HKLM и HKEY_USERS
        INIEraseSection(GetAVZDirectory+'Search.ini','HKLM');
        INIEraseSection(GetAVZDirectory+'Search.ini','HKEY_USERS');
        
        //поиск в HKLM
        count:=FuncSearchReg('HKLM','HARDWARE',SearchStr, count, SearchKey, SearchParam, SearchVal);
        count:=FuncSearchReg('HKLM','SAM',SearchStr, count, SearchKey, SearchParam, SearchVal);
        count:=FuncSearchReg('HKLM','SECURITY',SearchStr, count, SearchKey, SearchParam, SearchVal);
        count:=FuncSearchReg('HKLM','SOFTWARE',SearchStr, count, SearchKey, SearchParam, SearchVal);
        count:=FuncSearchReg('HKLM','SYSTEM',SearchStr, count, SearchKey, SearchParam, SearchVal);
    
        INIStrParamWrite(GetAVZDirectory+'Search.ini','Parametrs','HKLM_Count',inttostr(count));//количество найденных ключей, значений, параметров в разделе HKLM
        count:=0;
        
        //формирование списка разделов HKEY_USERSLines
        RegKeyEnumKey('HKLM','SOFTWARE\Microsoft\Windows NT\CurrentVersion\ProfileList', HKEY_USERSLines);//узнаем какие подразделы в HKEY_USERS
        HKEY_USERSLines.insert(0,'.DEFAULT');
        i:=0;
        while i < HKEY_USERSLines.count do
          begin
            if RegKeyExists('HKEY_USERS', HKEY_USERSLines[i]+'_Classes') then HKEY_USERSLines.insert(i+1,HKEY_USERSLines[i]+'_Classes');
            i:=i+1; 
          end;
        //поиск в HKEY_USERS
        for i:=0 to HKEY_USERSLines.count-1 do
          count:=FuncSearchReg('HKEY_USERS',HKEY_USERSLines[i],SearchStr, count, SearchKey, SearchParam, SearchVal);
    
      INIStrParamWrite(GetAVZDirectory+'Search.ini','Parametrs','HKEY_USERS_Count',inttostr(count));//количество найденных ключей, значений, параметров в разделе HKEY_USERS
      HKEY_USERSLines.free;
      end;  
    
    Function FuncSearchReg(ARoot, AKey, SearchStr:string; count: integer; SearchKey, SearchParam, SearchVal:boolean): integer;
      var
        KeyLines, ValLines : TStrings;
        i,j : integer;
        binary:boolean;
        begin
          KeyLines := TStringList.Create; //список ключей
          ValLines := TStringList.Create; //список параметров
          if SearchKey then
            begin
              if Pos(SearchStr, LowerCase(AKey))<>0 then 
                begin
                  INIStrParamWrite(GetAVZDirectory+'Search.ini',ARoot,'Key'+inttostr(count+1),AKey);
                  INIStrParamWrite(GetAVZDirectory+'Search.ini',ARoot,'Param'+inttostr(count+1),'');
                  INIStrParamWrite(GetAVZDirectory+'Search.ini',ARoot,'Value'+inttostr(count+1),'');
                  count:=count+1;
                end;
            end;
    
          RegKeyEnumVal(ARoot,AKey, ValLines);//чтение параметров ключа AKey
    
          if SearchParam then
            begin
              for i:= 0 to ValLines.Count-1 do
                begin
                  if Pos(SearchStr, LowerCase(ValLines[i]))<>0 then 
                    begin
                      INIStrParamWrite(GetAVZDirectory+'Search.ini',ARoot,'Key'+inttostr(count+1),AKey);
                      INIStrParamWrite(GetAVZDirectory+'Search.ini',ARoot,'Param'+inttostr(count+1),ValLines[i]);
                      INIStrParamWrite(GetAVZDirectory+'Search.ini',ARoot,'Value'+inttostr(count+1),'');
                      count:=count+1;
                    end;
                end;
            end;
    
          if SearchVal then
            begin
              for i:= 0 to ValLines.Count-1 do
                begin
                  if Pos(SearchStr, LowerCase(RegKeyStrParamRead(ARoot, AKey, ValLines[i])))<>0 then 
                    begin
                      j:=0;
                      binary:=false;
    	    for j:=0 to Length(RegKeyStrParamRead(ARoot, AKey, ValLines[i]))-1 do 	
    	
                          if Ord(copy(RegKeyStrParamRead(ARoot, AKey, ValLines[i]), j, 2))<32 then //проверка на бинарность
    	        begin 
    	          binary:=true;
    	          break;
    	        end;
    
    	      if(not binary) then
    	        begin
                              INIStrParamWrite(GetAVZDirectory+'Search.ini',ARoot,'Key'+inttostr(count+1),AKey);
                              INIStrParamWrite(GetAVZDirectory+'Search.ini',ARoot,'Param'+inttostr(count+1),ValLines[i]);
                              INIStrParamWrite(GetAVZDirectory+'Search.ini',ARoot,'Value'+inttostr(count+1),RegKeyStrParamRead(ARoot, AKey, ValLines[i]));
                              count:=count+1
    	        end;
                    end;
                end;
              end;  
    
           RegKeyEnumKey(ARoot,AKey, KeyLines);
             for i:= 0 to KeyLines.Count-1 do
               begin
                 count:=FuncSearchReg(ARoot, NormalDir(AKey)+LowerCase(KeyLines[i]), SearchStr, count, SearchKey, SearchParam, SearchVal);      
               end;
        KeyLines.free;
        ValLines.free;
        result:=count;    
      end;
    begin
    ProSearchReg('webalta');
    executerepair(10);
    end.
    Файл Search.ini из папки АВЗ прикрепите к следующему сообщению.


  12. #10

  13. #11
    Junior Member Репутация
    Регистрация
    27.10.2012
    Сообщений
    8
    Вес репутации
    16
    Запустил скрипт, через 30 сек после запуска, AVZ упал. Выключил все антивирусы, отключил инет, повторил, опять упал. Проверил директорию AVZ, лежит файл серч, на всякий случай прикладываю вместе с образом.
    Вложения Вложения

  14. #12
    Senior Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    03.08.2010
    Сообщений
    24,567
    Вес репутации
    709
    Выполните скрипт в uVS

    Код:
    ;uVS v3.76 script [http://dsrt.dyndns.org]
    ;Target OS: NTv6.1
    
    breg
    delref PUSHD
    CLRMD
    restart
    по проблеме что-нибудь изменилось ? Лог uVS вы сами в архив упаковывали или он сразу в архиве был после сохранения ?

  15. #13
    Junior Member Репутация
    Регистрация
    27.10.2012
    Сообщений
    8
    Вес репутации
    16
    Выполнил скрипт в uVS, проблема осталась. Лог uVS был уже заархивирован.

  16. #14
    Junior Member Репутация
    Регистрация
    27.10.2012
    Сообщений
    8
    Вес репутации
    16
    Спасибо за помощь, хоть и не до конца оказанную, с оставшимися проблемами разобрался самостоятельно.

  17. #15

  18. #16
    Cybernetic Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    29.12.2008
    Сообщений
    47,541
    Вес репутации
    941

    Итог лечения

    Статистика проведенного лечения:
    • Получено карантинов: 1
    • Обработано файлов: 5
    • В ходе лечения вредоносные программы в карантинах не обнаружены


  • Уважаемый(ая) TAL, наши специалисты оказали Вам всю возможную помощь по вашему обращению.

    В целях поддержания безопасности вашего компьютера настоятельно рекомендуем:


    Надеемся больше никогда не увидеть ваш компьютер зараженным!

    Если Вас не затруднит, пополните пожалуйста нашу базу безопасных файлов.
  • Присоединяйтесь к нам в соцсетях!

    Мы делаем все возможное, чтобы помогать людям в защите и лечении компьютеров.

    Похожие темы

    1. Ответов: 20
      Последнее сообщение: 22.10.2012, 21:35
    2. Ответов: 13
      Последнее сообщение: 18.10.2012, 14:57
    3. Ответов: 16
      Последнее сообщение: 29.08.2012, 16:34
    4. Ответов: 5
      Последнее сообщение: 29.08.2012, 10:17
    5. Ответов: 7
      Последнее сообщение: 21.07.2012, 13:30

    Метки для этой темы

    Свернуть/Развернуть Ваши права в разделе

    • Вы не можете создавать новые темы
    • Вы не можете отвечать в темах
    • Вы не можете прикреплять вложения
    • Вы не можете редактировать свои сообщения
    •  
    Page generated in 0.01410 seconds with 23 queries