Несанкционированный удаленный доступ

[fine1]

К ПК в сети из 5 машин, соединенных с интернетом через роутер ASUS 524, очевидно с помощью трояна получен удаленный доступ, создана скрытая учетная запись с правами администратора, от имени которой запускались программы.

[Info_bot]

Уважаемый(ая) fine1, спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[thyrex]

Выполните скрипт в AVZ

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
QuarantineFile('C:\WINDOWS\system32\msgyzgxh.exe','');
 DeleteService('Network Adapter Events');
 TerminateProcessByName('c:\windows\system32\betwinservicexp.exe');
 QuarantineFile('c:\windows\system32\betwinservicexp.exe','');
 DeleteFile('c:\windows\system32\betwinservicexp.exe');
 DeleteFile('C:\WINDOWS\system32\msgyzgxh.exe');
RegKeyParamWrite('HKLM', 'SYSTEM\CurrentControlSet\Services\TermService\Parameters', 'ServiceDll', 'REG_EXPAND_SZ', '%SystemRoot%\System32\termsrv.dll');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.

Пришлите карантин согласно Приложения 2 правил по красной ссылке Прислать запрошенный карантин вверху темы

Сделайте новые логи

Сделайте лог gmer

[fine1]

Сделал, после перезагрузки - сетевых подключений нет, мастер установки сети не запускается, восстановление системы не запускается, в сейф моде тоже. Gmer доходит до момента сканирования http://ipic.su/img/img7/fs/gmer.1367175828.jpg и виснет напрочь.

Карантин пустой

- - - Добавлено - - -


P.S. Как удалить загрузки, там несколько файлов с одинаковыми именами, неудобно ориентироваться, если еще нужны будут логи...

[thyrex]

1. Откройте Блокнот и скопируйте в него текст скрипта

ibbvdd9d.exe -del file "C:\WINDOWS\system32\ijudkst.dll"
ibbvdd9d.exe -del file "C:\WINDOWS\system32\fdgbkggn.dll"
ibbvdd9d.exe -del reg "HKLM\SYSTEM\ControlSet001\Services\bjrzreq"
ibbvdd9d.exe -del reg "HKLM\SYSTEM\ControlSet001\Services\ewhtizs"
ibbvdd9d.exe -del reg "HKLM\SYSTEM\ControlSet003\Services\bjrzreq"
ibbvdd9d.exe -del reg "HKLM\SYSTEM\ControlSet003\Services\ewhtizs"
ibbvdd9d.exe -del reg "HKLM\SYSTEM\ControlSet004\Services\bjrzreq"
ibbvdd9d.exe -del reg "HKLM\SYSTEM\ControlSet004\Services\ewhtizs"
ibbvdd9d.exe -reboot

2. Нажмите Файл - Сохранить как
3. Выберите папку, в которую сохранили ibbvdd9d.exe (gmer)
4. Укажите Тип файла - Все файлы (*.*)
5. Введите имя файла cleanup.bat и нажмите кнопку Сохранить
6. Запустите cleanup.bat

ВНИМАНИЕ: Компьютер перезагрузится!!!

Сделайте новый лог gmer

- - - Добавлено - - -

Ваши темы?
http://forum.kaspersky.com/index.php?showtopic=262937
http://forum.kaspersky.com/index.php?showtopic=262939
http://forum.kaspersky.com/index.php?showtopic=262940

[fine1]

http://forum.kaspersky.com/index.php?showtopic=262937
http://forum.kaspersky.com/index.php?showtopic=262939
http://forum.kaspersky.com/index.php?showtopic=262940

Наши, то другие 3 машины, с ними всё более-менее понятно, с этой есть неясности из-за трояна который создает TermUser + еще одна через которую всё и завертелось, ее пока трогать нельзя. Завтра утром сделаю, спасибо.

[fine1]

Gmer останавливается на том же месте, несколько раз пробовал. Не хочется зря отнимать время, перенесу данные и переставлю систему. Спасибо.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 1
• В ходе лечения вредоносные программы в карантинах не обнаружены