Hacktool - нуждаюсь в помощи [Trojan.Win32.Genome.aeefz, Packed.Win32.Krap.g ]

[reshetylo]

Здравствуйте, нуждаюсь в Вашей помощи - Symantec не находит ничего при полной проверке, но при каждой загрузке компьютера, автоматическая защита обнаруживает Hacktool, после чего окно проверки не отвечает; закрыть его можно, правда. Кроме этого, запускается мастер установки драйвера (неизвестного), с уведомлением успешной его установки.

P.S. virusinfo_syscheck.zip не был сгенерирован. вместо него сгенерило другой zip размером свыше 20Мб, который превышает Ваши лимиты

[drongo]

Да уж, что-то почувствовал, но молчит как партизан
несколько файлов нуждаются в проверке.
отключиться от интернета/локалки, и антивирус отключить.

Выполнить скрипт в avz:

begin
ClearQuarantine; 
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('D:\bd3q0qix.exe','');
 QuarantineFile('D:\autorun.inf','');
 QuarantineFile('C:\autorun.inf','');
 QuarantineFile('C:\bd3q0qix.exe','');
 QuarantineFile('c:\WINDOWS\system32\LgNotify.dll','');
 QuarantineFile('C:\WINDOWS\system32\vamsoft.exe','');
 QuarantineFile('C:\DOCUME~1\Boss\LOCALS~1\Temp\UIUCU.EXE','');
 QuarantineFile('C:\WINDOWS\system32\ciuytr0.dll','');
 QuarantineFile('C:\WINDOWS\system32\afmain1.dll','');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Прислать согласно приложению 3 правил, вот ссылка:
http://virusinfo.info/upload_virus.php?tid=37304

[reshetylo]

virus.zip отослал

Добавлено через 41 минуту

извините, повторно выслал более полный virus.zip, поскольку не вложил один из запрошенных файлов ранее

[V_Bond]

выполните скрипт

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 DeleteFile('C:\WINDOWS\system32\afmain1.dll');
 DeleteFile('C:\WINDOWS\system32\vamsoft.exe');
 DeleteFile('C:\WINDOWS\system32\ciuytr0.dll');
 DeleteFile('C:\autorun.inf');
 DeleteFile('C:\bd3q0qix.exe');
 DeleteFile('D:\autorun.inf');
 DeleteFile('D:\bd3q0qix.exe');
 ExecuteRepair(6);
 ExecuteRepair(8);
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

повторите логи

[reshetylo]

выполнил скрипт, обновил логи - с syscheck та же история, что и вчера - 22 Мб
Кроме этого, автоматическое обнаружение Hacktool выдает еще и имя файла - klif.sys в C:\WINDOWS\system32\drivers

[drongo]

симантек отключали перед исполнением скрипта? потому что половина зверей осталось.

не на то симантек ругается klif.sys от утилиты касперского, можно удалить.
странно, а в логах его нет наверно симантек его блокирует.

begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('D:\iq.bat','');
 DeleteFile('C:\WINDOWS\system32\afmain0.dll');
 DeleteFile('C:\WINDOWS\system32\nmdfgds0.dll');
 DeleteFile('C:\autorun.inf');
 DeleteFile('C:\iq.bat');
 DeleteFile('D:\autorun.inf');
 DeleteFile('D:\iq.bat');
 ExecuteRepair(6);
 ExecuteRepair(8);
 ExecuteRepair(9);
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Добавлено через 5 минут

в карантине должен будет быть D:\iq.bat- его и прислать.
если не поможет, надо будет ледяной меч качать или загружаться с лайв-сд и удалять :
C:\WINDOWS\system32\afmain0.dll
C:\WINDOWS\system32\nmdfgds0.dll

сделайте новые логи.
P.S.
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
нужно обновлять систему, иначе бесполезно лечиться.

Добавлено через 8 минут

По касперскому- (трояны,специализируются на краже паролей от он-лайн игр)
C:\WINDOWS\system32\vamsoft.exe
bd3q0qix.exe_, - Trojan-GameThief.Win32.Magania.asju
C:\WINDOWS\system32\afmain1.dll- Trojan-GameThief.Win32.Magania.aslh
ciuytr0.dll - Trojan-GameThief.Win32.Magania.asjo

[reshetylo]

D:\iq.bat отослал
логи обновил

[V_Bond]

симантека видимо и не отключали ... все зловреды на местах ....

[reshetylo]

а разве выгрузить - это не отключить?

Добавлено через 4 минуты

выгружал постоянно

[V_Bond]

драйвер жив ...

[reshetylo]

как мне быть дальше, извините

Добавлено через 1 минуту

что делать? на Вас одна надежда...

[drongo]

есть разные опции:
1)в безопасном режиме удалить
2)лайф сд использовать
3)можно попытаться с ледяным мечом- но это вряд-ли, когда драйвер симантека активем.
4) как вариант, снести симантек и выполнить скрипт
5)ещё вариант, скачать полиморфную версию avz- у меня в подписи- может поборет драйвер симантека, не пробовал

[reshetylo]

спасибо за опции, но все же...
попробовать для начала 1) а потом 4) если понадобится?

[drongo]

можно и так, как в одной песне: "всё в твоих руках "

[reshetylo]

после очередного удаления вирусов в безопасном режиме автоматическое уведомление о находке вируса при загрузке исчезло но установка неизвестного драйвера осталась. можна ли побороть и это? или все таки снести симантек и повторить всю процедуру сначала?

[drongo]

то, что уведомление антивируса исчезло- это не значит что заражения нет
логи сделать, посмотрим

[reshetylo]

логи сделал, высылаю

[Гриша]

В логах чисто, установите SP3+all updates...

[reshetylo]

ясно, спасибо...

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 3
• Обработано файлов: 18
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\bd3q0qix.exe - Trojan-GameThief.Win32.Magania.asju (DrWEB: Trojan.PWS.Wsgame.4983)
  2. c:\\windows\\system32\\afmain1.dll - Trojan-GameThief.Win32.Magania.aslh
  3. c:\\windows\\system32\\ciuytr0.dll - Trojan-GameThief.Win32.Magania.asjo (DrWEB: Trojan.PWS.Wsgame.10094)
  4. c:\\windows\\system32\\vamsoft.exe - Trojan-GameThief.Win32.Magania.asju (DrWEB: Trojan.PWS.Wsgame.4983)
  5. d:\\bd3q0qix.exe - Trojan-GameThief.Win32.Magania.asju (DrWEB: Trojan.PWS.Wsgame.4983)
  6. d:\\iq.bat - Trojan-GameThief.Win32.Magania.asnx (DrWEB: Trojan.PWS.Wsgame.4983)