Trojan.BAT.Agent.md + левые процессы в диспетчере задач

**cg78** · 01.02.2009, 16:39

Здравствуйте. Помогите вылечить комп. Мой kis7.0 определяет много троянов Trojan.BAT.Agent.md, Trojan.BAT.Agent.me, Trojan.BAT.Agent.mc Trojan-Downloader.Win32.Delf.rmk. При перезагрузке не всегда запускается антивирус. Зато всегда в диспетчере задач загружены неизвестные процессы. В папках windows и ProgramFiles обнаружены какие-то опасные объекты с расширениями exe и bat. Сам вылечить не могу, ничего не получается, после удаления kis7.0 трояны появляются снова. Помогите, пожалуйста.

Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

**V_Bond** · 01.02.2009, 17:07

выполните скрипт

Код:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('msansspc.dll','');
 DeleteService('vmi386');
 QuarantineFile('C:\WINDOWS\System32\drivers\vmi386.sys','');
 DeleteService('ZRUQKI88');
 DeleteService('ZJRPWCR9R');
 DeleteService('ZI3IY2');
 DeleteService('ZB1TX34OSW5X');
 DeleteService('Z9CD1');
 DeleteService('Z8KSVOIGLA');
 DeleteService('Z721NPH4TP');
 DeleteService('Y0NQ9WWNL');
 DeleteService('Z556LIDY');
 DeleteService('XCGS7');
 DeleteService('WSTF86AWF');
 DeleteService('VSV1XH7B85AM');
 DeleteService('UYQU4IL');
 DeleteService('UVY1I1HQ43');
 DeleteService('UHLTBW1');
 DeleteService('TRY0FZ7JG');
 DeleteService('T0CUIKB');
 DeleteService('REXLJH');
 DeleteService('QVLUFRQ5');
 DeleteService('QPYPJ8W');
 DeleteService('QIWS6H');
 DeleteService('PTUAGBL62FPM');
 DeleteService('PnkBstrA');
 DeleteService('OYJC0');
 DeleteService('ORACFA');
 DeleteService('NLA0D');
 DeleteService('NCCLMMTTEE');
 DeleteService('MSVPJT040FNJ');
 DeleteService('MK7YLK');
 DeleteService('MI59JGA723GE');
 DeleteService('M5FJMB');
 DeleteService('M0W1GPJ2A');
 DeleteService('KL2LA7TC');
 DeleteService('KE9XY66KU9C');
 DeleteService('KCEIVY');
 DeleteService('jtqk');
 DeleteService('jlqk');
 DeleteService('HSRJA');
 DeleteService('HPUMGFX');
 DeleteService('H6QF83');
 DeleteService('H1YH7PJQ');
 DeleteService('H17H5QK');
 DeleteService('GF9EY79FI5SX');
 DeleteService('FY37G48K');
 DeleteService('FL5U28QJ');
 DeleteService('F6XZG');
 DeleteService('EKO2O76I37');
 DeleteService('DX71X90BMD5');
 DeleteService('DALNVF');
 DeleteService('CT7TBYZ');
 DeleteService('BTRUFF');
 DeleteService('B8JD2');
 DeleteService('B5CL9WC2TN');
 DeleteService('B4TA1G');
 DeleteService('B2TKT00VA');
 DeleteService('ADN2I683');
 DeleteService('A3QHTJ');
 DeleteService('A0BX03ZP7');
 DeleteService('9T1N3X2Q61BO');
 DeleteService('9LBPU5AU');
 DeleteService('9G1874F');
 DeleteService('9BTAMB4WACI');
 DeleteService('9961PFMF8ZMJ');
 DeleteService('8W3TBGUDZ');
 DeleteService('830IC');
 DeleteService('6Y9P9N2063');
 DeleteService('66YZDJ');
 DeleteService('66NZGF');
 DeleteService('4Y817PF');
 DeleteService('4VJZO');
 DeleteService('4NX99N9OJRR1');
 DeleteService('4KSRIEWX4Q');
 DeleteService('45YHK3J');
 DeleteService('3HZ4EUP5');
 DeleteService('3BUFF');
 DeleteService('2X0GRQN8D');
 DeleteService('2I3ZH0U2');
 DeleteService('29YMG3');
 DeleteService('1OFI8560BDG');
 DeleteService('1HEPQIB6SV');
 DeleteService('18WI3V');
 DeleteService('0ZL7203BUH');
 DeleteService('0UC2T9RUIS');
 DeleteService('0NTFLVSLF8O');
 DeleteService('01SAC');
 QuarantineFile('C:\WINDOWS\YP4UJQ.exe','');
 QuarantineFile('C:\WINDOWS\NO5MS734.exe','');
 QuarantineFile('C:\Program Files\HDHJ00G0VPWP\HCVHL.EXE','');
 QuarantineFile('C:\Program Files\H5NURRZBZ2B\9IFBNA6647OS.EXE','');
 QuarantineFile('C:\Program Files\HWVFBQ\2PRYK9.EXE','');
 QuarantineFile('C:\WINDOWS\9GJ3I.exe','');
 QuarantineFile('C:\Program Files\4ZH8S8BS\1WVO7E0I.EXE','');
 QuarantineFile('C:\WINDOWS\system32\jtqk.exe','');
 QuarantineFile('C:\WINDOWS\system32\jlqk.exe','');
 QuarantineFile('C:\Program Files\EC6V44FR\9DBQ77KA.EXE','');
 QuarantineFile('C:\WINDOWS\8P9NZ6R87.exe','');
 QuarantineFile('C:\Program Files\EJVVQAVMR\9NS7FEY4JC.EXE','');
 QuarantineFile('C:\WINDOWS\5WU3782C38C.exe','');
 QuarantineFile('C:\WINDOWS\XWK2367F4.exe','');
 QuarantineFile('C:\Program Files\EP7VUTW\9T27COG2.EXE','');
 QuarantineFile('C:\Program Files\BBOP0OKUN89\8FJ1HIOFFETL.EXE','');
 QuarantineFile('C:\Program Files\D3RBFS6S13S\89LN3PSMC56.EXE','');
 QuarantineFile('C:\WINDOWS\6FGT2QU5.exe','');
 QuarantineFile('C:\WINDOWS\6L6VY2T2.exe','');
 QuarantineFile('C:\WINDOWS\41YIR37WB3RK.exe','');
 QuarantineFile('C:\WINDOWS\1RUCC.exe','');
 QuarantineFile('C:\WINDOWS\1OHWN5QW.exe','');
 QuarantineFile('C:\WINDOWS\07Z7MA7FC.exe','');
 QuarantineFile('C:\WINDOWS\WS0MUX4U.exe','');
 QuarantineFile('C:\WINDOWS\TSZ35GD.exe','');
 QuarantineFile('C:\Program Files\I48MH\3MZFD.EXE','');
 QuarantineFile('C:\Program Files\B7X57R\6SONB4.EXE','');
 QuarantineFile('C:\WINDOWS\ZBDGAP4VXT2.exe','');
 QuarantineFile('C:\Program Files\PZ27MZKW9S75\3VUQHKC20W0B.EXE','');
 QuarantineFile('C:\Program Files\RLXVJLCRYX2K\2VG9EDYP2EYZ.EXE','');
 QuarantineFile('C:\WINDOWS\SKJP42.exe','');
 QuarantineFile('C:\Program Files\664PS4337B6\U90JXJC7U8E.EXE','');
 QuarantineFile('C:\Program Files\7WEZ62\VZBPZ6L.EXE','');
 QuarantineFile('C:\WINDOWS\QGQ5GS.exe','');
 QuarantineFile('C:\WINDOWS\PNOPCZIODCE.exe','');
 QuarantineFile('C:\WINDOWS\SDJBYWQ.exe','');
 QuarantineFile('C:\WINDOWS\TDK294RKLK74.exe','');
 QuarantineFile('C:\WINDOWS\NFHVYK4L.exe','');
 QuarantineFile('C:\Program Files\2JBH00WY3\SNTGWG4VV.EXE','');
 QuarantineFile('C:\WINDOWS\OT6176E2T.exe','');
 QuarantineFile('C:\Program Files\2RJTLMMLDE\QVE5IDK2FY.EXE','');
 QuarantineFile('C:\WINDOWS\O99TW2J.exe','');
 QuarantineFile('C:\Program Files\27JRQT4\QD2QPFJA.EXE','');
 QuarantineFile('C:\WINDOWS\NZBM3.exe','');
 QuarantineFile('C:\Program Files\2IKX1D3WHH\QMG9K76V23.EXE','');
 QuarantineFile('C:\WINDOWS\KXIX0U7T0G.exe','');
 QuarantineFile('C:\Program Files\YVF4ZKWN\O1AGHHH0M.EXE','');
 QuarantineFile('C:\Program Files\ZAM4NC7818E3\NEGQ070JCZNC.EXE','');
 QuarantineFile('C:\Program Files\ZOXGQWFGA\NSRSIN8B8.EXE','');
 QuarantineFile('C:\WINDOWS\JF6L6CBGB0G.exe','');
 QuarantineFile('C:\WINDOWS\IY5JUSFRWFOZ.exe','');
 QuarantineFile('C:\WINDOWS\KGTQ44Y2.exe','');
 QuarantineFile('C:\Program Files\XANFK\LG813G.EXE','');
 QuarantineFile('C:\WINDOWS\I3WJUMURBU08.exe','');
 QuarantineFile('C:\WINDOWS\H3D6W.exe','');
 QuarantineFile('C:\Program Files\YEEZT519\MIAZL1PR1.EXE','');
 QuarantineFile('c:\program files\yeezt519\miazl1pr1.exe','');
 DeleteFile('C:\Program Files\YEEZT519\MIAZL1PR1.EXE');
 DeleteFile('C:\WINDOWS\H3D6W.exe');
 DeleteFile('C:\Program Files\Y3P8D7E\MBY0Y44Z.EXE');
 DeleteFile('C:\WINDOWS\I3WJUMURBU08.exe');
 DeleteFile('C:\Program Files\XANFK\LG813G.EXE');
 DeleteFile('C:\WINDOWS\KGTQ44Y2.exe');
 DeleteFile('C:\Program Files\W885R0\M2CVN0X.EXE');
 DeleteFile('C:\WINDOWS\JF6L6CBGB0G.exe');
 DeleteFile('C:\Program Files\ZOXGQWFGA\NSRSIN8B8.EXE');
 DeleteFile('C:\Program Files\022KNYSZ242\O6YWUZKCQ7V6.EXE');
 DeleteFile('C:\Program Files\ZAM4NC7818E3\NEGQ070JCZNC.EXE');
 DeleteFile('C:\Program Files\YVF4ZKWN\O1AGHHH0M.EXE');
 DeleteFile('C:\WINDOWS\KXIX0U7T0G.exe');
 DeleteFile('C:\Program Files\2IKX1D3WHH\QMG9K76V23.EXE');
 DeleteFile('C:\WINDOWS\NZBM3.exe');
 DeleteFile('C:\Program Files\27JRQT4\QD2QPFJA.EXE');
 DeleteFile('C:\WINDOWS\O99TW2J.exe');
 DeleteFile('C:\Program Files\2RJTLMMLDE\QVE5IDK2FY.EXE');
 DeleteFile('C:\WINDOWS\OT6176E2T.exe');
 DeleteFile('C:\Program Files\2JBH00WY3\SNTGWG4VV.EXE');
 DeleteFile('C:\WINDOWS\NFHVYK4L.exe');
 DeleteFile('C:\WINDOWS\TDK294RKLK74.exe');
 DeleteFile('C:\WINDOWS\SDJBYWQ.exe');
 DeleteFile('C:\WINDOWS\PNOPCZIODCE.exe');
 DeleteFile('C:\WINDOWS\QGQ5GS.exe');
 DeleteFile('C:\Program Files\7WEZ62\VZBPZ6L.EXE');
 DeleteFile('C:\WINDOWS\SWL8N8F9Z.exe');
 DeleteFile('C:\Program Files\664PS4337B6\U90JXJC7U8E.EXE');
 DeleteFile('C:\WINDOWS\SKJP42.exe');
 DeleteFile('C:\Program Files\RLXVJLCRYX2K\2VG9EDYP2EYZ.EXE');
 DeleteFile('C:\WINDOWS\YCXK3U1M.exe');
 DeleteFile('C:\Program Files\PZ27MZKW9S75\3VUQHKC20W0B.EXE');
 DeleteFile('C:\WINDOWS\ZBDGAP4VXT2.exe');
 DeleteFile('C:\Program Files\B7X57R\6SONB4.EXE');
 DeleteFile('C:\Program Files\I48MH\3MZFD.EXE');
 DeleteFile('C:\WINDOWS\TSZ35GD.exe');
 DeleteFile('C:\WINDOWS\WS0MUX4U.exe');
 DeleteFile('C:\WINDOWS\07Z7MA7FC.exe');
 DeleteFile('C:\WINDOWS\1OHWN5QW.exe');
 DeleteFile('C:\WINDOWS\1RUCC.exe');
 DeleteFile('C:\WINDOWS\41YIR37WB3RK.exe');
 DeleteFile('C:\WINDOWS\6L6VY2T2.exe');
 DeleteFile('C:\WINDOWS\6FGT2QU5.exe');
 DeleteFile('C:\Program Files\D3RBFS6S13S\89LN3PSMC56.EXE');
 DeleteFile('C:\Program Files\BBOP0OKUN89\8FJ1HIOFFETL.EXE');
 DeleteFile('C:\Program Files\EP7VUTW\9T27COG2.EXE');
 DeleteFile('C:\WINDOWS\XWK2367F4.exe');
 DeleteFile('C:\WINDOWS\5WU3782C38C.exe');
 DeleteFile('C:\Program Files\EJVVQAVMR\9NS7FEY4JC.EXE');
 DeleteFile('C:\WINDOWS\8P9NZ6R87.exe');
 DeleteFile('C:\Program Files\EC6V44FR\9DBQ77KA.EXE');
 DeleteFile('C:\WINDOWS\system32\jlqk.exe');
 DeleteFile('C:\WINDOWS\system32\jtqk.exe');
 DeleteFile('C:\Program Files\4ZH8S8BS\1WVO7E0I.EXE');
 DeleteFile('C:\WINDOWS\9GJ3I.exe');
 DeleteFile('C:\Program Files\HWVFBQ\2PRYK9.EXE');
 DeleteFile('C:\Program Files\H5NURRZBZ2B\9IFBNA6647OS.EXE');
 DeleteFile('C:\Program Files\HDHJ00G0VPWP\HCVHL.EXE');
 DeleteFile('C:\WINDOWS\NO5MS734.exe');
 DeleteFile('C:\WINDOWS\YP4UJQ.exe');
 DeleteFile('C:\WINDOWS\W27MZ2E2.exe');
 DeleteFile('C:\WINDOWS\PBWXRXM542H.exe');
 DeleteFile('C:\Program Files\IW470\0ZFPV.EXE');
 DeleteFile('C:\Program Files\71VKSY9N\0YFBGBSB.EXE');
 DeleteFile('C:\Program Files\KTCWU3YV37\AXBYHNFUA9.EXE');
 DeleteFile('C:\Program Files\JBV6W0CN\FQDDW3FC.EXE');
 DeleteFile('C:\WINDOWS\system32\PnkBstrA.exe');
 DeleteFile('C:\WINDOWS\E2B4V0.exe');
 DeleteFile('C:\WINDOWS\W69Q60QF.exe');
 DeleteFile('C:\WINDOWS\5H9KKLLGOF.exe');
 DeleteFile('C:\WINDOWS\9PRFFIIHLQ.exe');
 DeleteFile('C:\Program Files\PYK3E8F69\D2FFK470M.EXE');
 DeleteFile('C:\Program Files\RD4CS90T2U\FHZO5KN96CY.EXE');
 DeleteFile('C:\WINDOWS\C8IFILN4OPF.exe');
 DeleteFile('C:\WINDOWS\EXPXXCVTF.exe');
 DeleteFile('C:\WINDOWS\C9HX4.exe');
 DeleteFile('C:\WINDOWS\VZUVNSD3F.exe');
 DeleteFile('C:\Program Files\SREDEHY\GWAP2CH.EXE');
 DeleteFile('C:\WINDOWS\E8CBN7RLQ5H.exe');
 DeleteFile('C:\Program Files\R8ZQL0\HF4FJA.EXE');
 DeleteFile('C:\Program Files\UW13NDML\I0VADFXRG.EXE');
 DeleteFile('C:\WINDOWS\FKKHPQR1DR5W.exe');
 DeleteFile('C:\WINDOWS\GFOZ7JWMSG1.exe');
 DeleteFile('C:\WINDOWS\HGMAP1UVHBD4.exe');
 DeleteFile('C:\Program Files\UKOUF\IOI84.EXE');
 DeleteFile('C:\WINDOWS\II5FJ87.exe');
 DeleteFile('C:\Program Files\UTWHIDP\KZQVWE5.EXE');
 DeleteFile('C:\WINDOWS\HN9X31E1.exe');
 DeleteFile('C:\WINDOWS\GZAKADY3STHH.exe');
 DeleteFile('C:\WINDOWS\SBQ3CMNGN3.exe');
 DeleteFile('C:\WINDOWS\System32\drivers\vmi386.sys');
 DeleteFile('msansspc.dll');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

пришлите карантин согласно приложения 3 правил
повторите логи

**cg78** · 01.02.2009, 18:09

Повторяю логи:

**Гриша** · 01.02.2009, 18:33

AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".

Код:

begin
ClearQuarantine;    
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 DeleteService('OOW7YWNC');
 DeleteService('GVBK9');
 DeleteService('8ZABJ');
 DeleteService('1HEPQIB6SV');
 DeleteFile('C:\WINDOWS\IY5JUSFRWFOZ.exe');
 DeleteFile('C:\WINDOWS\R0RMY8E.exe');
 DeleteFile('C:\WINDOWS\42DVJKL2.exe');
 DeleteFile('C:\Program Files\L8JPBG3XXUT\E0ZDPP4LY0V.EXE');
BC_ImportDeletedList;
ExecuteSysClean;
BC_DeleteSvc('OOW7YWNC');
BC_DeleteSvc('GVBK9');
BC_DeleteSvc('8ZABJ');
BC_DeleteSvc('1HEPQIB6SV');    
BC_Activate;
RebootWindows(true);
end.

Повторите пункт 2 диагностики...

**cg78** · 01.02.2009, 19:23

Все выполнил вот лог:

**cg78** · 01.02.2009, 19:25

Только все равно, после перезагрузок, в диспетчере задач присутствуют какие-то процессы.

**V_Bond** · 01.02.2009, 19:26

выполните скрипт

Код:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 DeleteService('SF8B2OC',true);
 QuarantineFile('C:\WINDOWS\system32\drivers\BT848.sys','');
 DeleteFile('C:\Program Files\OTQVO5XXJG\EX42CIQP4B.EXE');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

пришлите карантин согласно приложения 3 правил
повторите логи

**cg78** · 01.02.2009, 20:14

Вот новые логи:

**Гриша** · 01.02.2009, 20:19

Сделайте полную проверку антивирусом в безопасном режиме и повторите логи...

**cg78** · 01.02.2009, 20:25

У меня вопрос: я выхожу в инет с зараженного компа. перед тем как войти , мне приходится в диспетчере задач отключать неизвестный процесс (он как правило один exe + cmd.exe .Если я этого не делаю, то в kis7.0 в мониторинге сети видно, как запускается много соединений и все это похоже на "проходной двор". Еще по правилам , во время диагностики должно быть открыто окно IE, а уменя Opera. Так как мне быть? Может не нужно убивать процесс?

**Гриша** · 01.02.2009, 20:34

Я сейчас сам заразился вашим вирусом, первое что хочу сказать, лучше не выходите в интернет с этого компьютера , отключитесь от сети, очистите временные папки и кеш браузера (обязательно), так множество скриптов кликеров, доунлоадеров, сделайте полную проверку свежими базами и сообщите результат...

**cg78** · 02.02.2009, 01:35

Закончил проверку в безопасном режиме. Удалил, что нашел. Только не помогло. Процесс запустился снова. Тогда тупо все батники и exeшники(это которые зараженные) из папок windows и programfiles удалил. Не знаю, что получилось, наверное, что-то работать не будет. Но в диспетчере задач процессы (левые)вроде не появляются и мониторинг сети в KIS7.0 ничего такого не видит. Только в диспетчере задач, мне кажется, многовато процессов svchost.exe, может какой-нибудь гадкий процесс шифруется. Папки temp почистил. Кэш броузера тоже. Сделал все ccleaner-ом и руками. Реестр чистить не умею.
Вот посмотрите логи:

**cg78** · 02.02.2009, 01:40

Почему-то не работает брандмауэр. Пишет, что "Вследствие неопределенной ошибки не удается отобразить параметры брандмауэра Windows." Только он вроде и раньше не открывался.

**Гриша** · 02.02.2009, 08:35

Ни фига у вас не получилось

Я нормально пролечил тачку с помощью AVPTool и рук конечно...

**cg78** · 02.02.2009, 15:00

Так я же не Helper, если бы умел, то к вам бы не обращался...

**Гриша** · 02.02.2009, 15:11

Подумаю что сделать можно...

**cg78** · 02.02.2009, 19:07

Еще раз сделал диагностику. Вот логи:

**Гриша** · 02.02.2009, 19:43

Отключите восстановление системы! Скачайте свежий AVPTool сделайте полную проверку и сохраните отчет сканирования, прикрепите его потом к теме...

**cg78** · 02.02.2009, 23:27

Проверил avptool-ом. Удалил 88 объектов. Отчет получился очень большой 26Mb. Сюда залить не смог. Высылаю повторный отчет(его сделал после удаления вирусов)