Показано с 1 по 10 из 10.

троянская программа Trojan-Spy.Win32.Zbot.fjz (заявка № 32132)

  1. #1
    Junior Member Репутация
    Регистрация
    01.10.2008
    Адрес
    Москва
    Сообщений
    22
    Вес репутации
    30

    Thumbs up троянская программа Trojan-Spy.Win32.Zbot.fjz

    Не знаю что делать... Полностью выполнить правила обращения за помощью мне не позволяет комп. При попытке выполнения "Скрипт лечения/карантина и сбора информации для раздела "Помогите!" virusinfo.info" компьютер срывается в перезагрузку... Сможете ли вы помочь мне учитывая факт отсутствия первого лога? На всякий случай расскажу о начале проблеммы:
    Началось с того что во время серфа в сети Dr.Web обнаружил и вроде как благополучно удалил какой-то вирус. Закончив работу я решил еще раз проверить систему и запустил сканер Dr.Web. Сканер больше ничего не нашел... но комп после обнаружения и удаления вируса стал сильно тормозить и , как мне показалось это было вызвано солидным исходящим траффиком... хотя я ничего никому не посылал. Я отрубил модем и кажется еще что-то попытался сделать ( сейчас уже не помню - это было два дня назад) но тут мне показали "синий экран смерти" там было что-то насчет Full dump memory с отсчетом... В принципе у меня такое уже бывало, поэтому я не стал дожидаться окончания отсчета и нажал reset, но не тут-то было - началась циклическая перезагрузка... Комп недозагрузившись начинал перезагружаться... не реагируя больше ни на что - ни на reset ни на кнопку выкл. питания. Пришлось выдергивать из розетки. После мне удалось вклиниться в циклическую перезагрузку и войти в защищенный режим. Оттуда я запустил лечащую утилиту AVPTool Касперского. Вот результат:
    удалено: троянская программа Trojan-Spy.Win32.Zbot.fgj Файл: C:\Program Files\DrWeb\infected.!!!\1.tmp.500CEBDB
    удалено: троянская программа Trojan-Spy.Win32.Zbot.fgj Файл: C:\Program Files\DrWeb\infected.!!!\14.tmp.5F1A3818
    удалено: троянская программа Trojan-Downloader.Win32.Obfuscated.dur Файл: C:\WINDOWS\system32\wpv6620.cpx
    удалено: троянская программа Trojan-Spy.Win32.Zbot.fgz Файл: C:\WINDOWS\system32\wpv7219.cpx
    обнаружено: троянская программа Trojan-Spy.Win32.Zbot.fjz Файл: C:\WINDOWS\system32\twext.exe
    удалено: троянская программа Trojan-Spy.Win32.Zbot.fjz Файл: C:\WINDOWS\Temp\1.tmp.
    То есть Trojan-Spy.Win32.Zbot.fjz удален не был с комментарием что "невозможно удаление при перезагрузке". (подробный отчет могу приложить)
    Далее, после перезагрукзи, Windows запустиля но с ошибками при инициализации нескольких приложений и с сообщением о том что система была восстановлена после серьёзной ошибки... что теперь и повторяется каждый раз при перезагрузке... Как я уже упомянул выше, решив попросить у вас помощи я столкнулся с сопротивлением этому со стороны "пациента" поэтому обращаюсь к вам не совсем по форме...
    Что посоветуете?
    Вложения Вложения
    Последний раз редактировалось Игорь Владимирович; 17.10.2008 в 03:04. Причина: запутался в скриптах во время письма ))

  2. Реклама
     

  3. #2
    Global Moderator Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    26.12.2006
    Адрес
    Vladivostok
    Сообщений
    23,300
    Вес репутации
    1551
    Пофиксите в HijackThis:
    Код:
    R3 - URLSearchHook: (no name) - {83821C2B-32A8-4DD7-B6D4-44309A78E668} - C:\Documents and Settings\I\Application Data\Mra\Update\mrasearch.dll (file missing)
    F1 - win.ini: run=C:\WESTWOOD\REDALERT\INSTICON.EXE C:\WESTWOOD\REDALERT\INSTICON.EXE C:\WESTWOOD\REDALERT\INSTICON.EXE
    F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,C:\WINDOWS\system32\twext.exe,
    O4 - HKLM\..\Run: [lsass driver] C:\WINDOWS\msauc.exe
    O4 - HKLM\..\Run: [RLRHAAAU] %systemroot%\RLRHAAAU.exe
    O4 - HKLM\..\Run: [LJLAHGIU] %systemroot%\LJLAHGIU.exe
    Выполните скрипт в AVZ:
    Код:
    begin
    SearchRootkit(true, true);
    SetAVZGuardStatus(True);
    ClearQuarantine;
     StopService('VUWFRYKR');
     SetServiceStart('VUWFRYKR', 4);
     QuarantineFile('c:\windows\msauc.exe','');
     QuarantineFile('C:\WINDOWS\system32\twext.exe','');
     QuarantineFile('C:\WINDOWS\RLRHAAAU.exe','');
     QuarantineFile('C:\WINDOWS\LJLAHGIU.exe','');
     QuarantineFile('C:\WINDOWS\system32\drivers\qqnqstsu.sys','');
     QuarantineFile('C:\WINDOWS\system32\drivers\JRPXLPVZ.sys','');
     QuarantineFile('C:\WINDOWS\system32\drivers\VUWFRYKR.sys','');
     DeleteFile('C:\WINDOWS\system32\drivers\VUWFRYKR.sys');
     DeleteFile('C:\WINDOWS\system32\drivers\JRPXLPVZ.sys');
     DeleteFile('C:\WINDOWS\system32\drivers\qqnqstsu.sys');
     DeleteFile('C:\WINDOWS\LJLAHGIU.exe');
     DeleteFile('C:\WINDOWS\RLRHAAAU.exe');
     DeleteFile('C:\WINDOWS\system32\twext.exe');
     DeleteFile('C:\WINDOWS\System32\NavLogon.dll');
     DeleteFile('c:\windows\msauc.exe');
    BC_ImportALL;
    ExecuteSysClean;
     BC_DeleteSvc('ZTJFVZPR');
     BC_DeleteSvc('NRRVRVVJ');
     BC_DeleteSvc('JRPXLPVZ');
     BC_DeleteSvc('qqnqstsu');
     BC_DeleteSvc('VUWFRYKR');
     BC_DeleteSvc('is-JFRV7drv');
     BC_DeleteSvc('is-R8SPEdrv');
     BC_DeleteSvc('is-6Q2L6drv');
     BC_DeleteSvc('is-5SPICdrv');
    BC_Activate;
    RebootWindows(true);
    end.
    Компьютер перезагрузится.
    Пришлите карантин согласно приложению 2 правил
    (загружать тут: http://virusinfo.info/upload_virus.php?tid=32132).
    Сделайте новые логи. По возможности все три.
    I am not young enough to know everything...

  4. #3
    Junior Member Репутация
    Регистрация
    01.10.2008
    Адрес
    Москва
    Сообщений
    22
    Вес репутации
    30
    Пофиксил то что Вы сказали предварительно скачав программу HijackThis отсюда http://www.whatthetech.com/hijackthis/ как сказано в пояснении правил: Что значит "пофиксить с помощью HiJackThis" http://virusinfo.info/showthread.php?t=4491 Кстати в основном тексте правил ссылка идет на утилиту HiJackThis размером 310 кб которая не требует установки, а в пояснении, откуда я повторно скачал прогу, ссылка на установочный файл размером 476 кб. Каким правильнее пользоваться? С установкой или без? Или без разницы? Далее: после того как пофиксил в правилах сказано перезагрузить комп, что я и сделал и только после этого выполнил предложенный Вами скрипт в AVZ. А может правильнее было не перезагружать, следуя правилам, а сразу после того как пофиксил выполнить скрипт? Короче у меня практически ничего заметно не изменилось. Так же после перезагрузки выскакивают ошибки при инициализации приложений, так же обнаруживается "ошибка в LJLAHGIU.exe приложение будет закрыто", правда тихо на счет приложения RLRHAAAU.EXE, далее сообщение о том что "система была восстановлена после серьёзной ошибки", нет значка сети в трее ( да и вообще нигде сеть не отображается), ну и снова при попытке выполнить "Скрипт лечения/карантина и сбора информации для раздела "Помогите!" virusinfo.info" начинается перезагрузка... Может попробовать выполнить его в защищенном режиме... хотя я не уверен что он хоть там запустится? И еще вопрос: при выполнении скриптов, нужно в AVZ предварительно помечать галочками диски? ( у меня винт разбит на С и Е )
    Логи прилагаю (файл отчта hijackthis.log от неустанавливаемой програмы, если нужно пришлю и второй - они вроде немного отличаются друг от друга)
    А карантина нет - пусто там...
    Вложения Вложения
    Последний раз редактировалось Игорь Владимирович; 17.10.2008 в 03:02.

  5. #4
    Global Moderator Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    26.12.2006
    Адрес
    Vladivostok
    Сообщений
    23,300
    Вес репутации
    1551
    Выполните скрипт в AVZ:
    Код:
    begin
     BC_DeleteFile('C:\WINDOWS\System32\NavLogon.dll');
     BC_DeleteFile('C:\WINDOWS\system32\drivers\rqqwptns.sys');
     BC_DeleteFile('C:\WINDOWS\system32\drivers\OVOVMWLV.sys');
     BC_DeleteFile('C:\WINDOWS\LJLAHGIU.exe');
     BC_DeleteSvc('is-JFRV7drv');
     BC_DeleteSvc('rqqwptns');
     BC_DeleteSvc('OVOVMWLV');
     BC_DeleteSvc('is-R8SPEdrv');
     BC_DeleteSvc('is-6Q2L6drv');
     BC_DeleteSvc('is-5SPICdrv');
    BC_Activate;
    RebootWindows(true);
    end.
    Компьютер перезагрузится.

    Пофиксите в HijackThis:
    Код:
    F2 - REG:system.ini: UserInit=C:\WINDOWS\SYSTEM32\Userinit.exe,C:\WINDOWS\system32\twext.exe,
    O4 - HKLM\..\Run: [LJLAHGIU] %systemroot%\LJLAHGIU.exe
    Перезагрузите компьютер и повторите логи.
    I am not young enough to know everything...

  6. #5
    Junior Member Репутация
    Регистрация
    01.10.2008
    Адрес
    Москва
    Сообщений
    22
    Вес репутации
    30
    А есть все же разница в каком варианте фиксить?

  7. #6
    Junior Member Репутация
    Регистрация
    01.10.2008
    Адрес
    Москва
    Сообщений
    22
    Вес репутации
    30
    Спасибо! Теперь ошибок при перезагрузке нет, первый скрипт выполняется и значок сети и Dr.Web Scheduler в трей вернулись... Но не вернулись в трей и вообще не запускаются ни Catalyst Control Center ни монитор Dr.Web... Можно с этим что-нибудь сделать?
    Вложения Вложения

  8. #7
    Global Moderator Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    26.12.2006
    Адрес
    Vladivostok
    Сообщений
    23,300
    Вес репутации
    1551
    Выполните скрипт в AVZ:
    Код:
    begin
    SearchRootkit(true, true);
    SetAVZGuardStatus(True);
     DeleteFile('C:\WINDOWS\system32\twext.exe');
    BC_ImportDeletedList;
    ExecuteSysClean;
    ExecuteRepair(16);
    BC_Activate;
    RebootWindows(true);
    end.
    После перезагрузки сделайте новый лог HijackThis.

    CCC в автозагрузке не нужен принципиально. Я бы пофиксил
    Код:
    O4 - HKLM\..\Run: [ATICCC] "C:\Program Files\ATI Technologies\ATI.ACE\cli.exe" runtime -Delay
    и радовался, что он не маячит перед глазами. Но если очень хочется - его можно просто переустановить. DrWeb не мудрствуя лукаво тоже переустановите и все будет ОК.
    I am not young enough to know everything...

  9. #8
    Junior Member Репутация
    Регистрация
    01.10.2008
    Адрес
    Москва
    Сообщений
    22
    Вес репутации
    30
    Спасибо! Сейчас все вроде в норме... ССС тоже кстати появился в трее..., но я его пофиксил - в автозагрузке он действительно не нужен... Просто я периодически с его помощью настраиваю изображение на телевизоре в другой комнате
    А Dr.Web я действительно переустановлю...
    Лог HijackThis прилагаю. Если все нормально, то наверно пора занятся ограничением доступа к системе из сети, а то привык работать под админом на телефонном соединении... там это насколько понимаю не так критично было как сейчас на высокоскоростном - IP то менялся постоянно...
    Вложения Вложения

  10. #9
    Expert Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    03.03.2008
    Сообщений
    14,832
    Вес репутации
    1781
    Чисто...

  11. #10
    Junior Member Репутация
    Регистрация
    01.10.2008
    Адрес
    Москва
    Сообщений
    22
    Вес репутации
    30
    Пока да... надолго ли только )))

  • Уважаемый(ая) Игорь Владимирович, наши специалисты оказали Вам всю возможную помощь по вашему обращению.

    В целях поддержания безопасности вашего компьютера настоятельно рекомендуем:


    Надеемся больше никогда не увидеть ваш компьютер зараженным!

    Если Вас не затруднит, пополните пожалуйста нашу базу безопасных файлов.
  • Присоединяйтесь к нам в соцсетях!

    Мы делаем все возможное, чтобы помогать людям в защите и лечении компьютеров.

    Похожие темы

    1. Модифицированный Win32/Spy.Zbot.ZR троянская программа
      От Саша Рад в разделе Помогите!
      Ответов: 4
      Последнее сообщение: 07.07.2012, 14:37
    2. Модифицированный Win32/Spy.Zbot.ZR троянская программа
      От Саша Рад в разделе Помогите!
      Ответов: 5
      Последнее сообщение: 06.07.2012, 18:36
    3. Ответов: 5
      Последнее сообщение: 05.05.2012, 16:56
    4. Ответов: 2
      Последнее сообщение: 23.04.2012, 18:07
    5. не удаляется троянская программа Trojan-Spy.Win32.Zbot.bpks (заявка №74230)
      От CyberHelper в разделе Отчеты сервиса лечения VirusInfo
      Ответов: 2
      Последнее сообщение: 02.06.2011, 03:00

    Свернуть/Развернуть Ваши права в разделе

    • Вы не можете создавать новые темы
    • Вы не можете отвечать в темах
    • Вы не можете прикреплять вложения
    • Вы не можете редактировать свои сообщения
    •  
    Page generated in 0.00571 seconds with 21 queries