Trojan-Downloader.Win32.Diehard.dz

**LABUH** · 10.03.2008, 19:32

Kaspersky Online Scanner нашел Trojan-Downloader.Win32.Diehard.dz
Как победить этот вирус?
Заранее спасибо

Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

**LABUH** · 10.03.2008, 20:29

Сообщение от Shu_b

http://helpme.virusinfo.info/

Постарался сделать все как рекамендованно. Пркрепляю логи. Помогите пожалуйста.

**V_Bond** · 10.03.2008, 20:33

выполните скрипт ...

Код:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('\SystemRoot\system32\DRIVERS\lstone2k.sys','');
BC_Importall;
BC_Activate;
RebootWindows(true);
end.

пришлите карантин согласно приложения 3 правил ...

**LABUH** · 10.03.2008, 20:56

К сожалению я не знаю что нужно выделять в моем карантине согласно пункта
2. Справа в списке файлов отметьте те файлы которые нужно выслать.
поэтому выделил всё. Если не прав прошу прощения.
Карантин вроде бы отправил.

**akok** · 10.03.2008, 21:25

15 mb - бедный вирлаб

**LABUH** · 11.03.2008, 02:24

Сообщение от akoK

15 mb - бедный вирлаб

Что я не правильно сделал?

Добавлено через 2 часа 7 минут

Карнтин исправил и послал. Надеюсь на вашу помощь.

**Bratez** · 11.03.2008, 02:35

В карантине:
C:\WINDOWS\system32\DRIVERS\lstone2k.sys - чистый
C:\WINDOWS\cpu.exe - Trojan-Downloader.Win32.Diehard.dz (в логах не фигурирует, вероятно уже удален, однако ставлю на удаление на всякий случай).

Выполните скрипт в AVZ:

Код:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
ClearQuarantine;
 QuarantineFile('C:\Program Files\DNA\btdna.exe','');
 QuarantineFile('C:\WINDOWS\system32\diskcop.dll','');
 DeleteFile('C:\WINDOWS\cpu.exe');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.
Пришлите новый карантин согласно приложению 3 правил

**LABUH** · 11.03.2008, 03:53

новый карантин послал

**Bratez** · 11.03.2008, 04:00

Выполните скрипт в AVZ:

Код:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 DelBHO('{522D5C87-911C-49FA-919E-D18BDA5387FA}');
 DeleteFile('C:\WINDOWS\system32\diskcop.dll');
 BC_DeleteFile('C:\WINDOWS\system32\diskcop.dll');
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.
Сделайте новые логи, начиная с п.10 правил.

**LABUH** · 11.03.2008, 04:19

Все сделал как просили. Жду следующих указаний.

**Bratez** · 11.03.2008, 04:30

Можно сказать, что все чисто. Остается странная маскировка драйвера от Pinnacle, но файл этот сам по себе чистый. Если никаких проблем не наблюдается, то я думаю, можно не волноваться. Если вы на самом деле не используете оборудование и софт от Pinnacle, то деинсталлируйте его.

Добавлено через 1 минуту

Рекомендуется отключить все что вам не нужно из этого списка:

Код:

>> Службы: разрешена потенциально опасная служба TermService (Службы терминалов)
>> Службы: разрешена потенциально опасная служба SSDPSRV (Служба обнаружения SSDP)
>> Службы: разрешена потенциально опасная служба Messenger (Служба сообщений)
>> Службы: разрешена потенциально опасная служба Schedule (Планировщик заданий)
>> Службы: разрешена потенциально опасная служба RDSessMgr (Диспетчер сеанса справки для удаленного рабочего стола)
>> Безопасность: разрешен автозапуск программ с CDROM
>> Безопасность: разрешен административный доступ к локальным дискам (C$, D$ ...)
>> Безопасность: к ПК разрешен доступ анонимного пользователя
>> Безопасность: Разрешены терминальные подключения к данному ПК

**LABUH** · 11.03.2008, 04:43

софт от Pinnacle использую - с этим проблем нет. Я забеспокоился про вирус когда при открытии, скажем диска С: или D: или Explorer, стало выскакивать информационное окно с указанием пути - Information: c:\WINDOWS\Explorer.exe
Скажите пожалуйста - это связано как-то с вирусом (в данный момент вроде это не появляется)

Добавлено через 7 минут

Сообщение от Bratez

Можно сказать, что все чисто. Остается странная маскировка драйвера от Pinnacle, но файл этот сам по себе чистый. Если никаких проблем не наблюдается, то я думаю, можно не волноваться. Если вы на самом деле не используете оборудование и софт от Pinnacle, то деинсталлируйте его.

Добавлено через 1 минуту

Рекомендуется отключить все что вам не нужно из этого списка:

Код:

>> Службы: разрешена потенциально опасная служба TermService (Службы терминалов)
>> Службы: разрешена потенциально опасная служба SSDPSRV (Служба обнаружения SSDP)
>> Службы: разрешена потенциально опасная служба Messenger (Служба сообщений)
>> Службы: разрешена потенциально опасная служба Schedule (Планировщик заданий)
>> Службы: разрешена потенциально опасная служба RDSessMgr (Диспетчер сеанса справки для удаленного рабочего стола)
>> Безопасность: разрешен автозапуск программ с CDROM
>> Безопасность: разрешен административный доступ к локальным дискам (C$, D$ ...)
>> Безопасность: к ПК разрешен доступ анонимного пользователя
>> Безопасность: Разрешены терминальные подключения к данному ПК

Службы отключил, хотя некоторые из них были не запущены а находились в режиме Тип запуска - вручную.
А где безопасность подправить подскажите пожалуйста?

**Bratez** · 11.03.2008, 04:54

Сообщение от LABUH

Скажите пожалуйста - это связано как-то с вирусом

Не знаю. Возможно.

Сообщение от LABUH

А где безопасность подправить подскажите пожалуйста?

Вот так:

Код:

begin
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Control\LSA','RestrictAnonymous', 2);
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Control\Terminal Server','fDenyTSConnections', 1);
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'System\CurrentControlSet\Services\LanmanServer\Parameters','AutoShareWks', 0);
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'System\CurrentControlSet\Services\CDROM','AutoRun', 0);
RebootWindows(true);
end.

Только если есть локалка с общим доступом к файлам и принтерам, уберите первую строчку после begin.

**LABUH** · 11.03.2008, 04:58

Сообщение от Bratez

Не знаю. Возможно.

Вот так:

Код:

begin
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Control\LSA','RestrictAnonymous', 2);
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Control\Terminal Server','fDenyTSConnections', 1);
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'System\CurrentControlSet\Services\LanmanServer\Parameters','AutoShareWks', 0);
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'System\CurrentControlSet\Services\CDROM','AutoRun', 0);
RebootWindows(true);
end.

Только если есть локалка с общим доступом к файлам и принтерам, уберите первую строчку после begin.

А не програмным способом где это редактируется? В реестре?

**Bratez** · 11.03.2008, 05:16

Посмотрите внимательно на команды скрипта. Они говорят сами за себя.

**LABUH** · 11.03.2008, 05:22

Спасибо Вам огромное за терпение и за помощь. Дай Вам Бог здоровья.

**LABUH** · 12.03.2008, 23:42

Вынужден вновь обратиться с вопросом. После устранения проблем с вирусом пропала запись Имя Пользователя в Диспетчере задач. Как решить эту проблему. Заранее приношу свои извинения если не по теме.

**V_Bond** · 12.03.2008, 23:58

это из-за того что отключена Службы терминалов ....

**LABUH** · 13.03.2008, 00:01

Супер. Ну вы молодцы. Спасибо.

**CyberHelper** · 22.02.2009, 04:21

Статистика проведенного лечения:

Получено карантинов: 3
Обработано файлов: 133
В ходе лечения обнаружены вредоносные программы:
1. c:\\windows\\cpu.exe - Trojan-Downloader.Win32.Diehard.dz (DrWEB: BackDoor.Bulknet)
2. c:\\windows\\system32\\diskcop.dll - Rootkit.Win32.Podnuha.al (DrWEB: Trojan.DownLoader.56883)

Trojan-Downloader.Win32.Diehard.dz (заявка № 19504)

Опции темы

Trojan-Downloader.Win32.Diehard.dz

Итог лечения

Похожие темы

Подозрение на Trojan.Win32.Agent2.byu и Trojan-Downloader.Win32.Autolt.q

Последствия rojan.Win32.Agent.buqf, Trojan-Downloader.Win32.Kido.k, Trojan.Win32.Hosts.gen и т.д.

Последствия вирусов: Backdoor.Win32.Shiz.vp, Packed.Win32.Krap.h, Trojan-Downloader.Win32.Agent.esao, Trojan.JS.Redirector.nf

KIS 2010 обнаружил Trojan.Win32.Swisyn.yxx, Trojan-Downloader.Win32.AutoIt.x, Trojan.Win32.VB.ahcz

подозрение на Trojan-Downloader.Win32.Tiny.ze и Trojan.MSWord.Melt

Ваши права в разделе