Показано с 1 по 16 из 16.

Trojan.Downloader.62110 и как с ним бороться. (заявка № 24362)

  1. #1
    Junior Member Репутация
    Регистрация
    10.06.2008
    Сообщений
    8
    Вес репутации
    32

    Exclamation Trojan.Downloader.62110 и как с ним бороться.

    Заранее извиняюсь за свою тупость, ибо дольше пользуюсь линуксом чем виндой.

    Проблема такова: Винда стала глючить и тупить. Полез ее сканить и вылез "Альман". Штук 2000 копий. Снес их каспером... но оно снова лезит. Все библиотеки, которые Каспер посчитал опасными но удалить не смог, я снес руками в лине (возможно это было глупо с моей стороны). Снес каспер...
    В DrWeb аналогично: Trojan.Downloader.62110 и root[1].gif вылезают при каждом ребуте компа в винду.

    Вопросы таковы:
    1) А он в принципе лечиться?
    2) Если лечиться, то можно ли избавится от этого из под лина?
    3) Если из-под лина нельзя, то в чем особенность этой твари и где она обычно сидит?

  2. Реклама
     

  3. #2
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для Shu_b
    Регистрация
    02.11.2004
    Сообщений
    3,553
    Вес репутации
    1636
    Описание Альмана: http://info.drweb.com/virus_description/154207
    Рекомендация по лечению:
    1. Отключить инфицированный компьютер от локальной сети и\или Интернета и отключить службу Восстановления системы.
    2. С заведома неинфицированного компьютера скачать бесплатную лечащую утилиту Dr.Web CureIt! и записать её на внешний носитель.
    3. Инфицированный компьютер перезагрузить в Безопасный режим (F8 при старте Windows) и просканировать инфицированные компьютеры Dr.Web CureIt!. Для найденных объектов применить действие "Лечить".
    1 В принципе лечиться, если новая модификация, тогда нужны экземпляры для исследования.
    2 Если файлы лечатся, тогда можно.
    3 см ссылку и ответ по первому пункту.

    ps.
    1. Отключить инфицированный компьютер от локальной сети и\или Интернета и отключить службу Восстановления системы. -- это обязательное условие, иначе будет перезаражение

  4. #3
    Junior Member Репутация
    Регистрация
    10.06.2008
    Сообщений
    8
    Вес репутации
    32
    Спасибо за оперативность.

    В безопасном режиме проверил с CureIt!. Тот нашел тока root[1].gif где тот обычно и появлялся.
    Полез руками... Через линух нашел и потер еще один linkinfo.dll и папку AppPatch. Ребутнулся в винду (без LAN кабеля в разъеме и востановления системы) Минут десять поработал пока DrWeb сканил диск C

    В итоге: DrWeb ничего не нашел, SpiderGuard молчал. Однако папка AppPatch опять появилась и удаляться не хочет. Подозреваю что вирус по английски уходить отказываеться =)

    Можете еще что-нить еще посоветовать?

  5. #4
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    03.04.2006
    Сообщений
    21,108
    Вес репутации
    2997
    Цитата Сообщение от Holst Vangoga Посмотреть сообщение
    Заранее извиняюсь за свою тупость, ибо дольше пользуюсь линуксом чем виндой.
    Ну и хорошо-Тогда Вы знаете, что такое ntfs-3g. Просканируйте Виндосовский раздел с Линукса и удалите все зловредное

  6. #5
    Junior Member Репутация
    Регистрация
    10.06.2008
    Сообщений
    8
    Вес репутации
    32
    2Rene-gad: Да, знаю. Но мне от этого пока не легче.

    Я наверно неправильно сформулировал вопрос.

    Все что описано в статье по ссылке http://info.drweb.com/virus_description/154207
    я нашел и потер под Линухом.

    Но если подключаю LAN попрежному вылазит:
    "..\Temporal internet Files\..\ root[1].gif - инфицирован Trojan.DownLoader.62110"
    и с ".. \system32\..\ wmsetup.dll" (или типа того) аналогичная ситуация.

    ?_1) Вирус у меня на винче или "Сантаклаус" сажает мне его через LAN?
    ?_2) Если вирус на винче, то через что его отловить? Или хотябы найти путь до его бинарников на винче. Ибо перепробывал 4 антивируса, а току 0.
    ?_3) Если через LAN, то чем порты пофиксить?

  7. #6
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    03.04.2006
    Сообщений
    21,108
    Вес репутации
    2997
    Сорри, но наша гадалка взяла отпуск и уехала в Австрию на ЧЕ . Хотите по-серьезному говорить - сделайте логи по правилам. Можете еще перед выполнением логов почистить темп-папки и кэши браузеров.

  8. #7
    Junior Member Репутация
    Регистрация
    10.06.2008
    Сообщений
    8
    Вес репутации
    32

    Логи

    Ну вот собственно и они. Заранее спасибо.
    Вложения Вложения

  9. #8
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    03.04.2006
    Сообщений
    21,108
    Вес репутации
    2997
    Пофиксите
    Код:
    O2 - BHO: (no name) - {13FD5987-65D2-C58D-D87E-987451F12531} - (no file)
    O2 - BHO: (no name) - {22596546-2036-9451-6058-658402589722} - (no file)
    O2 - BHO: (no name) - {27AC9076-C898-B098-D098-A18319080972} - (no file)
    O2 - BHO: (no name) - {32023698-6984-8541-9654-698745012523} - (no file)
    O2 - BHO: (no name) - {33512378-9874-5641-1025-985420368733} - (no file)
    O2 - BHO: (no name) - {35671234-7890-ABCD-CDEF-567801237653} - (no file)
    O2 - BHO: (no name) - {4A069845-2036-6084-9054-6087502480A4} - (no file)
    O2 - BHO: (no name) - {4A698102-5904-AFD0-20DF-CD1A65829CA4} - (no file)
    O2 - BHO: (no name) - {4FD45A54-9875-698F-E56E-65102358FDF4} - (no file)
    O2 - BHO: (no name) - {50940F85-F015-14F1-A05F-F69858AC6D05} - (no file)
    O2 - BHO: (no name) - {6319A1F1-9410-9654-3201-345FFA349136} - (no file)
    O2 - BHO: mnmhgsrv.dll - {7C8D1401-A58D-A81C-CD24-A5915C4517C7} - C:\WINDOWS\system32\mnmhgsrv.dll (file missing)
    O2 - BHO: (no name) - {81954FAC-1023-154F-895A-1458258AD818} - (no file)
    O2 - BHO: (no name) - {83BA45AF-FAAA-CDDD-BEEE-BCDE1234AB38} - (no file)
    O2 - BHO: (no name) - {91698482-6555-3666-1222-954784129019} - (no file)
    O2 - BHO: (no name) - {9490415F-65F8-B5C5-D8BA-9405FB120549} - (no file)
    O9 - Extra button: (no name) - {8DAE90AD-4583-4977-9DD4-4360F7A45C74} - shell32.dll (file missing)
    Выполните скрипт
    Код:
    begin
    SearchRootkit(true, true);
    SetAVZGuardStatus(True);
     RegKeyDel('{17DFD111-BF3A-4CB4-ADB0-88FCBFE69821} ',' ');
     RegKeyDel('{CAED0F3B-DF8B-4DBF-BB20-8DFBC3199068} ',' ');
     DelBHO('{13FD5987-65D2-C58D-D87E-987451F12531}');
     DelBHO('{22596546-2036-9451-6058-658402589722}');
     DelBHO('{27AC9076-C898-B098-D098-A18319080972}');
     DelBHO('{32023698-6984-8541-9654-698745012523}');
     DelBHO('{33512378-9874-5641-1025-985420368733}');
     DelBHO('{35671234-7890-ABCD-CDEF-567801237653}');
     DelBHO('{4A069845-2036-6084-9054-6087502480A4}');
     DelBHO('{4A698102-5904-AFD0-20DF-CD1A65829CA4}');
     DelBHO('{4FD45A54-9875-698F-E56E-65102358FDF4}');
     DelBHO('{50940F85-F015-14F1-A05F-F69858AC6D05}');
     DelBHO('{6319A1F1-9410-9654-3201-345FFA349136}');
     DelBHO('{7C8D1401-A58D-A81C-CD24-A5915C4517C7}');
     DelBHO('{81954FAC-1023-154F-895A-1458258AD818}');
     DelBHO('{83BA45AF-FAAA-CDDD-BEEE-BCDE1234AB38}');
     DelBHO('{91698482-6555-3666-1222-954784129019}');
     DelBHO('{9490415F-65F8-B5C5-D8BA-9405FB120549}');
     QuarantineFile('C:\SC\WINMBR.EXE','');
     QuarantineFile('C:\WINDOWS\system32\jhrcar.dll','');
     QuarantineFile('C:\WINDOWS\system32\hhrdxd.dll','');
     QuarantineFile('C:\WINDOWS\system32\mnmhgsrv.dll','');
     DeleteFile('C:\WINDOWS\system32\mnmhgsrv.dll');
     DeleteFile('C:\WINDOWS\system32\hhrdxd.dll');
     DeleteFile('C:\WINDOWS\system32\jhrcar.dll');
    BC_ImportDeletedList;
    ExecuteSysClean;
    BC_Activate;
    RebootWindows(true);
    end.
    После перезагрузки закачайте карантин по правилам и повторите логи.

  10. #9
    Junior Member Репутация
    Регистрация
    10.06.2008
    Сообщений
    8
    Вес репутации
    32

    Новые логи.

    Логи я сделал, а вот карантин пуст =(
    Вложения Вложения

  11. #10
    Senior Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    10.01.2007
    Сообщений
    22,817
    Вес репутации
    1497
    Пофиксите
    Код:
    O21 - SSODL: JavaView - {DA191DE0-AA86-D04E-4B87-2A3D4928BE99} - C:\WINDOWS\AppPatch\Jview.dll (file missing)
    выполните скрипт ...
    Код:
    begin
    SearchRootkit(true, true);
    SetAVZGuardStatus(True);
     BC_DeleteSvc('cdralw');
     QuarantineFile('C:\WINDOWS\AppPatch\Jview.dll','');
     QuarantineFile('C:\WINDOWS\system32\DRIVERS\nvmini.sys','');
     DeleteFile('C:\WINDOWS\system32\DRIVERS\nvmini.sys');
     DeleteFile('C:\WINDOWS\AppPatch\Jview.dll');
    BC_ImportDeletedList;
    ExecuteSysClean;
    BC_Activate;
    RebootWindows(true);
    end.
    пришлите карантин согласно приложения 3 правил ...
    повторите логи ...
    Последний раз редактировалось Rene-gad; 11.06.2008 в 18:00. Причина: добавлено в скрипт :)

  12. #11
    Junior Member Репутация
    Регистрация
    10.06.2008
    Сообщений
    8
    Вес репутации
    32

    Логи

    Карантин по прежнему пустует.
    Вложения Вложения

  13. #12
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    03.04.2006
    Сообщений
    21,108
    Вес репутации
    2997
    Сейчас в логах чисто. Какие проблемы наблюдаете?

  14. #13
    Junior Member Репутация
    Регистрация
    10.06.2008
    Сообщений
    8
    Вес репутации
    32
    На первый взгляд все в порядке. Большое спасибо за помощь.

  15. #14
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    03.04.2006
    Сообщений
    21,108
    Вес репутации
    2997
    Систему обновить в ближайшее время необходимо
    Platform: Windows XP SP2 (WinNT 5.01.2600)
    MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
    Если проблем не наблюдается, то чам было бы интересно Ваше мнение о нашем ресурсе. Будем очень благодарны за отзыв, он может помочь нам улучшить ресурс.
    Советуем прочитать электронную книгу "Безопасный Интернет. Универсальная защита для Windows ME - Vista".

  16. #15
    Junior Member Репутация
    Регистрация
    10.06.2008
    Сообщений
    8
    Вес репутации
    32
    Спасибо за литературу.

    Меня вот тока смущает Spoolsv.exe (Spool Subsiyem App) в процессах.
    И наличие Apphelp.dll в winlogon.exe

  17. #16
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    03.04.2006
    Сообщений
    21,108
    Вес репутации
    2997

    Wink

    Цитата Сообщение от Holst Vangoga Посмотреть сообщение
    Меня вот тока смущает Spoolsv.exe (Spool Subsiyem App) в процессах.
    И наличие Apphelp.dll в winlogon.exe
    apphelp.dll

    Spoolsv.exe

  • Уважаемый(ая) Holst Vangoga, наши специалисты оказали Вам всю возможную помощь по вашему обращению.

    В целях поддержания безопасности вашего компьютера настоятельно рекомендуем:


    Надеемся больше никогда не увидеть ваш компьютер зараженным!

    Если Вас не затруднит, пополните пожалуйста нашу базу безопасных файлов.
  • Присоединяйтесь к нам в соцсетях!

    Мы делаем все возможное, чтобы помогать людям в защите и лечении компьютеров.

    Похожие темы

    1. Trojan.Win32.Patched.fr как бороться ?..
      От Trifan в разделе Помогите!
      Ответов: 1
      Последнее сообщение: 14.08.2009, 09:51
    2. не могу избавиться Trojan.Downloader.62110
      От MrAlek в разделе Помогите!
      Ответов: 10
      Последнее сообщение: 01.06.2009, 00:28
    3. Ответов: 4
      Последнее сообщение: 22.02.2009, 03:31
    4. Trojan-Spy.Win32.Zbot.fjj - что за чудо и как с ним бороться?
      От Nigmatrader в разделе Вредоносные программы
      Ответов: 1
      Последнее сообщение: 19.10.2008, 00:19
    5. Trojan.Zoclib - как с ним бороться?
      От Tricky в разделе Вредоносные программы
      Ответов: 1
      Последнее сообщение: 09.02.2007, 01:13

    Свернуть/Развернуть Ваши права в разделе

    • Вы не можете создавать новые темы
    • Вы не можете отвечать в темах
    • Вы не можете прикреплять вложения
    • Вы не можете редактировать свои сообщения
    •  
    Page generated in 0.00226 seconds with 22 queries