Отключается брандмауэр

[kamikadzer]

Проблема такая, похоже поймал вирус.
Виндовс оповестила о том что Брандмауэр отключен, я его включил захожу на диск с а там появились файлы:cGBCt.bat,Ss2Xr8eT.bat,Ss2Xr8eT2.bat,PQoAn.e xe,PQoAn2.exe и два txt файла VHq.txt содержанием
read
123456
bin
get calc.exe c:\PQoAn.exe
bye

И второй:VHq2.txt
read
123456
bin
get 449.exe c:\PQoAn2.exe
bye

Проверил их нодом не реагирует, ну я их вручную удалил и все.
Минут через 10 опять выскакивает сообщение о том что брандмауэр выключен и опять появляются файлы такогоже типа только с другими именами и так каждый раз. Если их не удалять набирается целая куча.

Сделал как у вас написано проверил все каспером , затем cure it в безопастном режиме вирусы нашел в обоих случаях но видимо не тот который нужно.
Заметил что каждый раз когда появляются файлы в диспетчере задач появляется процесс cmd.exe потом еще один и так по мере накопления файлов(я их позакрывал) А когда собирал логи AVZ , когда выключил каспера Internet securiti 2009 заметил там еще странные процессы типа Ftp.exe и еще один который сильно грузил систему я его вручную закрыл а название не запомнил.
Вообще хоть как то реагирует только касперский , с ним не отключается брандмауэр, и он предлагает запретить доступ вновь появляющимся exe файлам.
Прошу помогите !

[V_Bond]

выполните скрипт

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('c:\weWcZs.exe','');
 QuarantineFile('c:\fz7PA6.exe','');
 QuarantineFile('C:\WINDOWS\system32\sysmgr.exe','');
 DeleteService('ati3qvxx');
 DeleteFile('C:\WINDOWS\System32\Drivers\ati3qvxx.sys');
 DeleteFile('C:\WINDOWS\system32\sysmgr.exe');
 DeleteFile('c:\fz7PA6.exe');
 DeleteFile('c:\weWcZs.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

пришлите карантин согласно приложения 3 правил
повторите логи

[kamikadzer]

Скрипт выполнил, в карантине пусто вроде все делал как написано.
Логи повторять?

[V_Bond]

естественно

[kamikadzer]

Возник маленький вопросик: в правилах сказано что после AVZ нужно перезагрузить комп, просто хочу уточнить нужно ли перезагружать комп после выполнения первого скрипта при сборе логов и между вторым, и между вторым и hijackthis или это нужно сделать после сбора всех логов?

[Гриша]

Это нужно делать после 3 стандартного скрипта...

[kamikadzer]

Вот новые логи

[Гриша]

Карантин где?

[kamikadzer]

Карантин где?

Скрипт выполнил, в карантине пусто вроде все делал как написано. Логи повторять?

В карантине и сейчас пусто, или нужно еще раз выполнить предъидущий скрипт?

[Гриша]

Пофиксить

O4 - HKUS\S-1-5-18\..\Policies\Explorer\Run: [Msn] c:\RFYCs.exe (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Policies\Explorer\Run: [Msn] c:\RFYCs.exe (User 'Default user')

AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".

begin
SetAVZGuardStatus(True);
 DeleteFile('c:\Z8Q.exe');
 DeleteFile('c:\RFYCs.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Повторите логи...

[kamikadzer]

HijackThis больше не находит данные строки.

Вирус постоянно меняется , у меня в корне диска c уже собралось около 100 подозрительных файлов (.bat .exe .txt) так как я перестал их удалять и постоянно генерируются новые и видимо они становятся активными.
Пока собирал логи и после выполнения первого скрипта на диске c появились новые файлы папка svc а в ней три файла(svc.bat,svc.cfg,svc.exe) и еще файлы proxy.log.2009.02.24 и proxy.log.2009.02.25 .Каспер в последний час был выключен , открыл диспетчер задач там три процесса X2E1.EXE и что-то качается из интернета.
Включил каспер , выделил все эти файлы несколько он определил как вирусы.Удалять я не стал - заблокировал.
Что мне делать если щас собирать логи опять придется отключить каспер , и можно удалить всю эту гадость с диска C прежде чем собирать логи, а то все прибавляется и прибавляется?
Второй скрипт пока не выполнял так как не нашел то что надо пофиксить.

[Гриша]

Пришлите пару exe файлов из корня в архиве с паролем "virus" по красной ссылке вверху темы...

[kamikadzer]

Результат загрузки
Файл сохранён как 090225_010911_virus_49a47007dc844.zip
Размер файла 300258
MD5 97c84a9f399e37cfa918f85d1a22c206

Файл закачан, спасибо!

Вроде отправил пароль virus без кавычек , я опять специально отключил каспер, и опять один exe появился в диспетчере задачь , он уже не удаляется просто так и весит чуть больше чем остальные, перед тем как заблокировать его каспером заархивировал его . Каспером он определяется как троян только в активном состоянии(когда виден в диспетчере задачь) а в архиве нет, после того когда его заблокировал каспер он исчез, но в архиве остался .
Это все было уже после того как я залил файл, может стоит перезалить

[kamikadzer]

архив пришел?

[Гриша]

L6xKZD6S2.exe_, OYB2.exe_ - Backdoor.Win32.Agent.aedc

Детектирование файлов будет добавлено в следующее обновление.

[kamikadzer]

Я не совсем понял мои дальнейшие действия?
Все эти файлы собрал в корзину , и вновь поступающие отправляю туда же ,но не удаляю. Если понадобится могу восстановить.
Есть ли шанс победить этого супенр зловреда или придется форматировать диск C ?

[V_Bond]

сделайте проверку свежим avptool

[kamikadzer]

Скачанная по сылке в правилах avptool будет считаться свежей?

[Гриша]

Должна

[kamikadzer]

Так посмотрим что мы имеем процес проверки диска c закончится минут через 50, но уже есть кое что интересненькое.
Достал перед проверкой из корзинки несколько exe шников, он определил как трояны только exe файлы которые весят столько же сколько те которые я отослал вчера. А вот седня появился допустим который весит 187 кбайт и 0 , и вчерашний весом 16 кбайт на них он никак не отреагировал.
Когда проверка закончится попробую еще на том вчерашнем который я заархивировал, и подожду новую порцию файлов и попробую на них, тогда отпишу точнее.
Кстати что-то давно они не появлялись может потому что я в avptools выбрал ручное лечение и ради любопытства нажал сбор информации в системе В конце он что то по закрывал что -то удалил (короче не знаю что он там делал) но потом написал скрипт выполнен успешно.
Кстати лог остался если надо могу залить.