Вирус в winlogon.exe

[7tas]

Всем добрый день.
Помогите пожалуйста.
Некий vtuolevo.dll загружается вместе с winlogon.exe. Уходит трафик.
Avz пишет подозрение на AdvWare.Win32.Virtumonde.qne.
Я нашел пачку Keylogger в автозагрузке. Убил. Сделал проверку, перезагрузился. После перезагрузки в систему стало ломится на установку неизвестное устройство. Трафик вроде как восстановился, но надолго ли.

[PavelA]

Выполнить скрипт:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\system32\nnnkLcCT.dll','');
QuarantineFile('C:\WINDOWS\system32\Drivers\SRTSPX.SYS','');
 QuarantineFile('C:\WINDOWS\system32\Drivers\SRTSPL.SYS','');
 QuarantineFile('C:\WINDOWS\system32\Drivers\SRTSP.SYS','');
 DeleteFile('C:\WINDOWS\system32\cbXQkkJA.dll');
 DeleteFile('C:\WINDOWS\system32\hgGyyaxx.dll');
 DeleteFile('C:\WINDOWS\system32\pmnlkhgD.dll');
 DeleteFile('C:\WINDOWS\system32\rqRIbccD.dll');
 DeleteFile('C:\WINDOWS\system32\tuvUlkHX.dll');
 DeleteFile('C:\WINDOWS\system32\tuvVNFyX.dll');
 DeleteFile('C:\WINDOWS\system32\vtUoLEVO.dll');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Загрузить ВЕСЬ карантин. Сделать повторно логи.

[7tas]

На счет карантина. Мне тупо в AVZ папку Quarantine зазипить, запоролить и выслать вам или что-то через AVZ сделать?

[Shu_b]

На счет карантина. Мне тупо в AVZ папку Quarantine зазипить, запоролить и выслать вам или что-то через AVZ сделать?

Приложение 3 правил

[7tas]

Хочу поблагодарить тех кто мне помог. Сегодня писал про вирус, тему видимо удалили. Вроде все в норме. Трафик не идет. Новое неизвестное устройство не вылазит.На всякий случай в твикере заблокировал установку принторов и почистил драйвера AVZ. Логи и карантин выслал.
Еще раз, СПАСИБО!

[7tas]

Эх! Рано я обрадовался. Вышел на Google, пишет:
но ваш запрос похож на запросы, автоматически рассылаемые компьютерным вирусом.
Стал чистить cookies, полезло сообшение рекламного характера о необходимости проверить комп на всяко разно.Лезет на сайт. Восстановились левые dll процессы под rundll32.ехе.
Что-то пропустил. Запускаю AVZ. Делаю логи заново.

[wise-wistful]

Отключите восстановление системы, там все законсервированные враги.

1.AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 DelBHO('{C3F37ECA-A8D9-4633-92C6-FE24C7D16ABA}');
 DelBHO('{03A12934-29DE-4D9E-B7FA-745A47E713CE}');
 DeleteFile('C:\WINDOWS\system32\nnnkLcCT.dll');
 DeleteFile('vtUoLEVO.dll');
 DeleteFile('C:\WINDOWS\system32\vtUoLEVO.dll');
 DeleteFile('C:\System Volume Information\_restore{D637267E-C56B-4E43-9E55-01A181C63BD2}\RP92\A0018619.dll');
 DeleteFile('C:\System Volume Information\_restore{D637267E-C56B-4E43-9E55-01A181C63BD2}\RP92\A0018621.dll');
 DeleteFile('C:\System Volume Information\_restore{D637267E-C56B-4E43-9E55-01A181C63BD2}\RP97\A0018966.dll');
 DeleteFile('C:\System Volume Information\_restore{D637267E-C56B-4E43-9E55-01A181C63BD2}\RP97\A0018967.dll');
 DeleteFile('C:\System Volume Information\_restore{D637267E-C56B-4E43-9E55-01A181C63BD2}\RP97\A0018979.dll');
 DeleteFile('C:\System Volume Information\_restore{D637267E-C56B-4E43-9E55-01A181C63BD2}\RP97\A0018971.dll');
 DeleteFile('C:\System Volume Information\_restore{D637267E-C56B-4E43-9E55-01A181C63BD2}\RP97\A0018970.dll');
 DeleteFile('C:\System Volume Information\_restore{D637267E-C56B-4E43-9E55-01A181C63BD2}\RP97\A0018969.dll');
 DeleteFile('C:\System Volume Information\_restore{D637267E-C56B-4E43-9E55-01A181C63BD2}\RP97\A0018968.dll');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.
virusinfo_cure.zip - это карантин и он загружается по ссылке вверху страницы.

Повторите логи.

[7tas]

После долгих попыток, хоть как то самостоятельно победить vtUoLEVO.dll я сдался.
Отключил восстановление системы.
При интернет подключении выдает (не сразу ) рекламу Sanitardiska.После сразу вешает в систему и автозагрузку два dll процесса Keyloggers, и все начинается по новой.
Оперативно опытным путем выяснил что при удалении непосредственно самого vtUoLEVO.dll в папке system32 Unlocker сначало выдает блокировку на все запущенные exe процессы в диспечере задач. После снятия блокировки, показывает на два - под System и winlogon.exe. Видимо дрянь сидить под winlogon.exe и при любых танцах с бубнами востанавливается снова.
Логи прилагаются.

[Rene-gad]

Попробуйте установить СП3. При этом важные системные файлы, включая winlogon, будут заменены новыми оригинальными.

[7tas]

Sp3 не помог.

vtUoLEVO.dll spzb.sys nnnkLcCT.dll

Продолжают упорно сидеть в системе. Если специалисты не помогут, в конце дня буду сносить ось.

[Гриша]

AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\WINDOWS\system32\nnnkLcCT.dll');
DeleteFile('vtUoLEVO.dll');
DeleteFile('C:\WINDOWS\system32\vtUoLEVO.dll');
DelBHO('{5CA129AE-7F55-4BB2-81FF-3AF1398ED708}');    
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Повторите логи.

[7tas]

причем после выполнения скрипта в AVZ, Symantec тут же фиксирует трояна блочит его но видимо без результатно.

[Гриша]

Отключите антивирус и выполните скрипт

[7tas]

Скрипт выполнил.
Логи выложил.

[Гриша]

Пофиксить

O2 - BHO: (no name) - {27B4FEAD-A250-42D6-97CD-76191C3B7949} - C:\WINDOWS\system32\nnnkLcCT.dll (file missing)
O20 - Winlogon Notify: vtUoLEVO - C:\WINDOWS\

В логах чисто,жалобы есть?

[7tas]

AVZ жалуется на Rootkit
C:\WINDOWS\system32\Drivers\SYMEVENT.SYS
spsp.sys

[Гриша]

SYMEVENT.SYS- от Симантек,spsp.sys-от эмулятора дисков

[7tas]

Григорий, ВЫ волшебник!
Большое вам человеческое спасибо!

[Гриша]

Нам интересно Ваше мнение о нашем ресурсе. Будем очень благодарны за отзыв, он может помочь нам улучшить ресурс.

Советуем прочитать электронную книгу "Безопасный Интернет. Универсальная защита для Windows ME - Vista".