Показано с 1 по 10 из 10.

Все началось с ovrscn.sys - Win32/Haxdoor (заявка № 21318)

  1. #1
    Junior Member Репутация
    Регистрация
    09.04.2008
    Сообщений
    5
    Вес репутации
    32

    Thumbs up Все началось с ovrscn.sys - Win32/Haxdoor

    Помогите, пожалуйста.

    Nod в степени свежести на 21.03.08 начал ругаться на ovrscn.sys - Win32/Haxdoor. После запуска глубокого сканирования зараженные файлы просил подтверждения на удаление инфицированных файлов и перезагрузку, но это не помогало.

    Сегодня обновил базу nod до актуального состояния и провел глубокий анализ.

    C:\Documents and Settings\user\Local Settings\Temp\sv32_0.exe - Win32/PSW.LdPinch.GHT троян
    C:\Documents and Settings\user\Local Settings\Temp\{9CC3F3F2-0AD2-4B2A-9C76-8592330B00A1}.exe - Win32/Haxdoor троян
    C:\Documents and Settings\user\Local Settings\Temp\0\svchost.exe - Win32/PSW.LdPinch.GHT троян
    C:\Documents and Settings\user\Local Settings\Temp\2\svchost.exe - Win32/Srizbi.Gen троян
    C:\Documents and Settings\user\Local Settings\Temp\3\svchost.exe - модифицированный Win32/Injector.Z троян
    C:\WINDOWS\system32\ovrscn.sys - Win32/Haxdoor троян
    C:\WINDOWS\system32\ovwscn.sys - Win32/Haxdoor троян
    C:\WINDOWS\system32\qy.sys - Win32/Haxdoor троян
    C:\WINDOWS\system32\qz.dll - Win32/Haxdoor троян
    C:\WINDOWS\system32\qz.sys - Win32/Haxdoor троян

    Удалять их nod не предлагал, просто выдал результаты.

    Проверил cureit с cd в безопасном режиме. Обнаружились и удалились:

    comrep.dll;c:\windows\system32;Trojan.DownLoader.5 4066;Удален.;
    oig32.sys;c:\windows\system32\drivers;Trojan.Spamb ot.2830;Удален.;
    ovrscn.sys;c:\windows\system32;BackDoor.Haxdoor.45 4;Удален.;
    ovwscn.sys;c:\windows\system32;BackDoor.Haxdoor.44 0;Удален.;
    svshost.dll;c:\windows\system32;Trojan.Proxy.3056; Удален.;
    2.tmp;C:\;Trojan.Spambot.3099;Удален.;
    a1-231[1].dat;C:\Documents and Settings\LocalService\Local Settings\Temporary Internet Files\Content.IE5\NHD0CDFE;Trojan.MulDrop.12136;Уд ален.;
    a1-231[2].dat;C:\Documents and Settings\LocalService\Local Settings\Temporary Internet Files\Content.IE5\NHD0CDFE;Trojan.MulDrop.12136;Уд ален.;
    a1-231[3].dat;C:\Documents and Settings\LocalService\Local Settings\Temporary Internet Files\Content.IE5\NHD0CDFE;Trojan.MulDrop.12136;Уд ален.;
    iexplorer.exe;C:\Documents and Settings\user;Trojan.PWS.Pace;Удален.;
    IH2F82.tmp;C:\Documents and Settings\user\Local Settings\Temp;Trojan.Packed.147;Удален.;
    PLUG1.EXE;C:\Documents and Settings\user\Local Settings\Temp;Trojan.Packed.162;Удален.;
    sv32_0.exe;C:\Documents and Settings\user\Local Settings\Temp;Trojan.PWS.LDPinch.1941;Удален.;
    sv32_1.exe;C:\Documents and Settings\user\Local Settings\Temp;Trojan.MulDrop.13597;Удален.;
    svc32_0.exe;C:\Documents and Settings\user\Local Settings\Temp;Trojan.PWS.LDPinch.1941;Удален.;
    {9CC3F3F2-0AD2-4B2A-9C76-8592330B00A1}.exe;C:\Documents and Settings\user\Local Settings\Temp;BackDoor.Haxdoor.363;Удален.;
    svchost.exe;C:\Documents and Settings\user\Local Settings\Temp\0;Trojan.PWS.LDPinch.1941;Удален.;
    svchost.exe;C:\Documents and Settings\user\Local Settings\Temp\1;BackDoor.Foman;Удален.;
    svchost.exe;C:\Documents and Settings\user\Local Settings\Temp\2;Trojan.Sentinel;Удален.;
    02EFDRDA.NQF;C:\Program Files\nod32\infected;BackDoor.Haxdoor.363;Удален.;
    4SJOK4BA.NQF;C:\Program Files\nod32\infected;Trojan.MulDrop.12136;Удален.;
    BZ2O43BA.NQF;C:\Program Files\nod32\infected;BackDoor.Haxdoor.440;Удален.;
    DCJIYADA.NQF;C:\Program Files\nod32\infected;Trojan.DownLoader.14310;Удале н.;
    F031BOCA.NQF;C:\Program Files\nod32\infected;Trojan.Spambot.2830;Удален.;
    NPE5LMDA.NQF;C:\Program Files\nod32\infected;Trojan.MulDrop.12136;Удален.;
    QS2WRBBA.NQF;C:\Program Files\nod32\infected;BackDoor.Haxdoor.454;Удален.;
    UW0LYKDA.NQF;C:\Program Files\nod32\infected;Trojan.DownLoader.56740;Удале н.;
    winlogon.exe;C:\WINDOWS;Trojan.Spambot.3099;Удален .;
    qy.sys;C:\WINDOWS\system32;BackDoor.Haxdoor.454;Уд ален.;
    qz.dll;C:\WINDOWS\system32;BackDoor.Haxdoor.440;Уд ален.;
    qz.sys;C:\WINDOWS\system32;BackDoor.Haxdoor.440;Уд ален.;
    syst2.exe;C:\WINDOWS\system32;Trojan.Packed.162;Уд ален.;
    systff.exe;C:\WINDOWS\system32;Trojan.Packed.162;У дален.;
    systs.exe;C:\WINDOWS\system32;Trojan.Packed.162;Уд ален.;
    systw2.exe;C:\WINDOWS\system32;Trojan.Packed.162;У дален.;
    systws.exe;C:\WINDOWS\system32;Trojan.Packed.162;У дален.;
    tmp_02b.exe;C:\WINDOWS\system32;Trojan.Packed.162; Удален.;
    tmp_066.exe;C:\WINDOWS\system32;Trojan.Packed.162; Удален.;
    tmp_31p.exe;C:\WINDOWS\system32;Trojan.Packed.162; Удален.;
    tmp_s.exe;C:\WINDOWS\system32;Trojan.Packed.162;Уд ален.;
    win_5k.exe;C:\WINDOWS\system32;Trojan.Packed.162;У дален.;
    win_8.exe;C:\WINDOWS\system32;Trojan.Packed.162;Уд ален.;
    symavc32.sys;C:\WINDOWS\system32\drivers;Trojan.Sp ambot.2830;Удален.;
    4F70.tmp;C:\WINDOWS\Temp;Trojan.MulDrop.12136;Удал ен.;
    5207.tmp;C:\WINDOWS\Temp;Trojan.MulDrop.12136;Удал ен.;
    539F.tmp;C:\WINDOWS\Temp;Trojan.MulDrop.12136;Удал ен.

    После этого провел проверку avz и hijackthis по указанной методике. Файлы прикреплены. Насколько система очистилась и требуются ли дополнительные меры?

    Пока nod вроде не ругается.

    Спасибо.


    Вложения Вложения

  2. Реклама
     

  3. #2
    Banned Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    18.11.2007
    Сообщений
    3,293
    Вес репутации
    0
    1.AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".
    Код:
    begin
    SearchRootkit(true, true);
    SetAVZGuardStatus(True);
     QuarantineFile('C:\WINDOWS\system32\syst3.dll','');
     QuarantineFile('C:\WINDOWS\system32\liar[1].exe','');
     QuarantineFile('D:\autorun.inf','');
     QuarantineFile('C:\autorun.inf','');
     QuarantineFile('_.exe','');
     QuarantineFile('C:\WINDOWS\system32\drivers\spools.exe','');
     QuarantineFile('C:\Documents and Settings\LocalService\cftmon.exe','');
     QuarantineFile('d:\buffoon.exe','');
     QuarantineFile('C:\WINDOWS\Temp\startdrv.exe','');
     DeleteFile('C:\WINDOWS\Temp\startdrv.exe');
     DeleteFile('C:\Documents and Settings\LocalService\cftmon.exe');
     DeleteFile('C:\Documents and Settings\user\cftmon.exe');
     DeleteFile('C:\WINDOWS\system32\drivers\spools.exe');
     DeleteFile('C:\autorun.inf');
     DeleteFile('D:\autorun.inf');
    BC_ImportAll;
    ExecuteSysClean;
    BC_Activate;
    RebootWindows(true);
    end.
    После выполнения скрипта компьютер перезагрузится.
    Прислать карантин согласно приложения 3 правил .
    Загружать по ссылке: http://virusinfo.info/upload_virus.php?tid=21318

    2.Пофиксить в HijackThis следующие строчки ( http://virusinfo.info/showthread.php?t=4491 )
    Код:
    O20 - Winlogon Notify: ovrscn - ovrscn.dll (file missing)
    Добавлено через 1 минуту

    В хост файл Вы вносили изменения?
    Последний раз редактировалось wise-wistful; 10.04.2008 в 14:04. Причина: Добавлено

  4. #3
    Junior Member Репутация
    Регистрация
    09.04.2008
    Сообщений
    5
    Вес репутации
    32
    скрипт выполнил, карантин отправил.
    строки пофиксил.

    целенаправленно в хост файл изменения не вносил, поскольку не знаю, что это такое. но мог случайно сделать, не зная, что именно делаю (или зная, что делаю, но не зная, что это называется изменить хост файл).

    Спасибо.

  5. #4
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    03.04.2006
    Сообщений
    21,108
    Вес репутации
    2996
    Цитата Сообщение от PedroDon Посмотреть сообщение
    скрипт выполнил, карантин отправил.
    строки пофиксил.
    Логи повторите, плиз.

  6. #5
    Junior Member Репутация
    Регистрация
    09.04.2008
    Сообщений
    5
    Вес репутации
    32

    высылаю логи

    высылаю логи
    Вложения Вложения

  7. #6
    Global Moderator Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    26.12.2006
    Адрес
    Vladivostok
    Сообщений
    23,300
    Вес репутации
    1551
    Пофиксите в HijackThis:
    Код:
    F2 - REG:system.ini: UserInit=c:\windows\system32\userinit.exe,_,,,
    O4 - HKLM\..\Run: [mssysif] C:\WINDOWS\system32\liar[1].exe
    O20 - AppInit_DLLs: C:\WINDOWS\system32\syst3.dll
    Выполните скрипт в AVZ:
    Код:
    begin
    SearchRootkit(true, true);
    SetAVZGuardStatus(True);
     DeleteFile('C:\WINDOWS\system32\liar[1].exe');
     DeleteFile('C:\WINDOWS\system32\syst3.dll');
     DeleteFile('C:\Buffoon.exe');
     DeleteFile('D:\Buffoon.exe');
    BC_ImportDeletedList;
    ExecuteSysClean;
    ExecuteRepair(13);
    BC_Activate;
    RebootWindows(true);
    end.
    Компьютер перезагрузится.
    Сделайте новые логи, начиная с п.10 правил.
    I am not young enough to know everything...

  8. #7
    Junior Member Репутация
    Регистрация
    09.04.2008
    Сообщений
    5
    Вес репутации
    32

    выполнил

    пофиксил, скрипт выполнил, логи начиная с п. 10 правил приаттачил.

    спасибо.
    Вложения Вложения

  9. #8
    Senior Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    10.01.2007
    Сообщений
    22,817
    Вес репутации
    1497
    в логах чисто ...

  10. #9
    Junior Member Репутация
    Регистрация
    09.04.2008
    Сообщений
    5
    Вес репутации
    32

    Спасибо.

    Всем спасибо.

  11. #10
    Cybernetic Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    29.12.2008
    Сообщений
    47,517
    Вес репутации
    940

    Итог лечения

    Статистика проведенного лечения:
    • Получено карантинов: 1
    • Обработано файлов: 21
    • В ходе лечения обнаружены вредоносные программы:
      1. c:\\autorun.inf - Worm.Win32.Delf.ge (DrWEB: Win32.HLLW.Autoruner.1797)
      2. d:\\autorun.inf - Worm.Win32.Delf.ge (DrWEB: Win32.HLLW.Autoruner.1797)
      3. d:\\buffoon.exe - Worm.Win32.Delf.gc (DrWEB: Win32.HLLW.Buffoon)


  • Уважаемый(ая) PedroDon, наши специалисты оказали Вам всю возможную помощь по вашему обращению.

    В целях поддержания безопасности вашего компьютера настоятельно рекомендуем:


    Надеемся больше никогда не увидеть ваш компьютер зараженным!

    Если Вас не затруднит, пополните пожалуйста нашу базу безопасных файлов.
  • Присоединяйтесь к нам в соцсетях!

    Мы делаем все возможное, чтобы помогать людям в защите и лечении компьютеров.

    Похожие темы

    1. Backdoor.Win32.Haxdoor.kz
      От XPOHAPUYC в разделе Помогите!
      Ответов: 8
      Последнее сообщение: 22.02.2009, 04:42
    2. BackDoor.Win32.HaxDoor.kz не убивается ни чем
      От Dikvertin в разделе Помогите!
      Ответов: 11
      Последнее сообщение: 22.02.2009, 04:21
    3. BackDoor.Haxdoor.440 в ovrscn.dll
      От Netrat в разделе Помогите!
      Ответов: 16
      Последнее сообщение: 22.02.2009, 02:28
    4. Проблема: Backdoor.Win32.Haxdoor.kz
      От Nekiydima в разделе Помогите!
      Ответов: 2
      Последнее сообщение: 06.05.2008, 23:49
    5. Ответов: 3
      Последнее сообщение: 15.12.2006, 07:11

    Свернуть/Развернуть Ваши права в разделе

    • Вы не можете создавать новые темы
    • Вы не можете отвечать в темах
    • Вы не можете прикреплять вложения
    • Вы не можете редактировать свои сообщения
    •  
    Page generated in 0.00400 seconds with 24 queries