Висну по-страшному или неистребимые Net-Worm.Win32.kido.ih и Worm.Win32.AutoRun.fla

**Irene** · 07.04.2009, 17:06

Утро понедельника. Загружаю основной рабочий компьютер - Каспер ругается на Net-Worm.Win32.kido.ih, типа нашел, удалил. Работаю дальше, точнее пытаюсь работать - комп страшно тормозил, неоткрывал подолгу файлы. Ругался на все подряд. То одно, то другое. Плюнула и пошла пить кофе, оставив Каспера выполнять полную проверку. Когда вернулась, комп перезагрузился с сообщением типа "Система восстановлена после серьозной ошибки".
Ладно думаю, пофиг. Пытаюсь работать дальше. Каспер опять руганулся на Net-Worm.Win32.kido.ih , а через какое-то время и на Worm.Win32.AutoRun.fla . После чего сообщил о специальной процедуре лечения, перезагрузился и опять двадцать пять и так раз пятнадцать, пока с него пытались достать данные другие сотрудники. Выпив еще поллитра чая попробовали полечить хотя бы kido с помощью KidoKiller 3.4.
Пошуршал, полечил... при перезагрузке та же фигня в том же количестве.

Помогите, пожалуйста.

Утро вторника.
В процессе быстрой проверки Dr.Web'ом нашелся и удалился BackDoor.IRC.Sdbot.4752
А при полной такие звери как BackDoor.IRC.Sdbot.4752 (в 12-ти файлах), Adware.Hotbar (в 2-х файлах), Win32.HLLW.Autoruner.5555 (в 5-ти файлах), Win32.HLLW.Shadow (в 1-ом файле).

После выполнения "Скрипт лечения/карантина и сбора информации для раздела "Помогите!" virusinfo.info" и перезагрузки, компьютер выдал сообщение:
"Оборудование этого компьютера было значительно изменено с момента первой активации Windows. Из-за этих изменений необходимо повторно активировать Windows в течение 3 дней.
Выполнить повторную активацию сейчас?"
И два варианта ответа: да, нет.
Нажала соответственно "Да", ибо товарищ из айти предупреждал когда-то, что если выбрать "Нет" - комп заблокирует и уже уж точно никак не активируешь.
Активации через интернет не произошло. Ладно, пофиг, есть еще 3 дня.
Запускаю "Скрипт сбора информации для раздела "Помогите!" virusinfo.info", тут AVZ зависает напрочь. Вис, вис, вис... (Диспетчер задач кстати не отзывался). Невыдержала - перезагрузила, заодно активировав Windows.
Вновь запустила "Скрипт сбора информации для раздела "Помогите!" virusinfo.info". Проверялось, проверялось, выскочила ошибка "Generic Host Process for Win32 Services", а по завершении проверки еще и Ошибка приложения svchost.exe (типа Инструкция по адресу *** обратилась по адресу ***. Память не может быть "read").
Пока копировала важные файлы с флешки Каспер ругнулся на kido уже на другом компьютере.

Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

**Rene-gad** · 07.04.2009, 18:12

Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

И с такой системой Вы работаете в сети? Так у Вас там уже змеи завелись, не только вирусы!!!

И пожалуйста, не надо растекаться мыслью по древу и описывать историю города Москвы от Юрия Долгорукого. Логи и короткое - в 2-х строчках описание проблемы, nothing more.

Закройте/выгрузите все программы кроме AVZ и Internet Explorer.
Отключите
- ПК от интернета/локалки
- Антивирус и Файрвол.
- Системное восстановление.
-Если не Ваши IP пофиксите

Код:

O17 - HKLM\System\CCS\Services\Tcpip\..\{00529F63-1EE9-4A5B-B360-4A36B8EB6B66}: NameServer = 10.242.100.5,10.242.100.4
O17 - HKLM\System\CS1\Services\Tcpip\..\{00529F63-1EE9-4A5B-B360-4A36B8EB6B66}: NameServer = 10.242.100.5,10.242.100.4
O17 - HKLM\System\CS2\Services\Tcpip\..\{00529F63-1EE9-4A5B-B360-4A36B8EB6B66}: NameServer = 10.242.100.5,10.242.100.4
O17 - HKLM\System\CS3\Services\Tcpip\..\{00529F63-1EE9-4A5B-B360-4A36B8EB6B66}: NameServer = 10.242.100.5,10.242.100.4

- Выполните скрипт

Код:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\System32\blastclnnn.exe','');
 QuarantineFile('C:\WINDOWS\System32\twext.dll','');
 QuarantineFile('c:\windows\system32\sys32time.dll','');
 QuarantineFile('C:\DOCUME~1\Admin\LOCALS~1\Temp\winlogon.exe','');
 QuarantineFile('C:\WINDOWS\System32\drivers\ip6fw.sys','');
 DeleteFile('C:\DOCUME~1\Admin\LOCALS~1\Temp\winlogon.exe');
 DeleteFile('c:\windows\system32\sys32time.dll');
 DeleteFile('C:\WINDOWS\System32\twext.dll');
 DeleteFile('C:\WINDOWS\System32\blastclnnn.exe');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

После перезагрузки:
- Удалите Bonjour
- Очистите темп-папки, кэш проводников и корзину.
- Закройте все программы, включая Антивирус и Файрвол, Оставьте запущенным только Internet Explorer. Если он не запущен - запустите!!!
- Сделайте повторные логи
virusinfo_syscure.zip
virusinfo_syscheck.zip
hijackthis.log
- Включите Антвирус и Файрволл
- Подключите ПК к интернету/локалке
- Закачайте карантин по ссылке Прислать запрошенный карантин вверху темы (Приложение 3 правил).
- Прикрепите логи к новому сообщению.

**Irene** · 08.04.2009, 18:14

Все проделала. Карантин отправила.
Логи ниже.

PS 1) Каспер по 5-10-15 раз на дню блокирует атаки с разных IP-адресов, принадлежащих той же компании, что и указанные Вами выше.
2) Зверя Bonjour у меня вроде не было, или был?
3) Систему обновить лучше сейчас или когда закончим?
4) Worm.Win32.AutoRun.fla еще жив...

**Rene-gad** · 08.04.2009, 18:31

Сообщение от Irene

Карантин отправила.

Туда ничего не попало.

Сообщение от Irene

PS 1) Каспер по 5-10-15 раз на дню блокирует атаки с разных IP-адресов, принадлежащих той же компании, что и указанные Вами выше.

Т.е. это не Вы прописывали? Ну они ИМО больше в логе не появились.

Сообщение от Irene

3) Систему обновить лучше сейчас или когда закончим?

Обновите, если удастся ее спасти.

Сообщение от Irene

4) Worm.Win32.AutoRun.fla еще жив...

АВЗ/Сервис/Диспетчер планировщика задач/- удалите все задачи.

- Выполните скрипт

Код:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\System32\blastclnnn.exe','');
 QuarantineFile('0','');
 QuarantineFile('C:\WINDOWS\System32\drivers\ip6fw.sys','');
 DeleteFile('0');
 DeleteFile('C:\WINDOWS\System32\blastclnnn.exe');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

После перезагрузки:
- Карантин загрузите, если там будут *.dta - файлы
- Сделайте повторные логи
virusinfo_syscure.zip
virusinfo_syscheck.zip
hijackthis.log

**Irene** · 08.04.2009, 19:25

dta-файлов вроде не было.
Логи ниже.

Т.е. это не Вы прописывали? Ну они ИМО больше в логе не появились.

Что не прописывала? Куда не прописывала?

PS А отчего при проверке вылезают ошибки "Generic Host Process for Win32 Services" и "Инструкция по адресу *** обратилась по адресу ***. Память не может быть "read""?

**Гриша** · 08.04.2009, 22:10

AVZ => Файл => Мастер поиска и устранения проблем. Категория проблемы - поставьте "Системные проблемы", степень опасности - "Все проблемы". Нажмите "Пуск". Всё найденное следует пометить и пофиксить. Данную операцию повторить для категории "Настройки и твики браузера".

А отчего при проверке вылезают ошибки "Generic Host Process for Win32 Services" и "Инструкция по адресу *** обратилась по адресу ***. Память не может быть "read""?

От того, что у вас не Windows, а корыто

В логах чисто, установите SP3+all updates...

**Irene** · 09.04.2009, 12:40

Устанавливалось обновление Windows, потом курс вырубился, перезагрузился, рукгулся, что обновление не до конца установилось и попросил удалить его. Удалили, перезагрузился и вот теперь ни в каком режиме (ни в безопасном, ни в прочих) грузится не желает.
Что делать?

**Гриша** · 09.04.2009, 13:04

Устанавливали SP3?

**Irene** · 09.04.2009, 13:12

Устанавливали то, что качнул Windows Update. SP2

**Гриша** · 09.04.2009, 13:26

Диск с SP1 есть?

**Irene** · 09.04.2009, 14:08

Нет

**Rene-gad** · 09.04.2009, 15:09

Сообщение от Irene

Нет

А какой-нибудь легальный Виндовс есть?

**Irene** · 09.04.2009, 15:18

На дисках нет ни легального, ни нелегального.

**Rene-gad** · 09.04.2009, 15:30

Сообщение от Irene

На дисках нет

А на чем есть?

**Irene** · 09.04.2009, 15:32

Смешно. В данный момент ни на чем.

**Rene-gad** · 09.04.2009, 15:33

Сообщение от Irene

В данный момент ни на чем.

Тогда я предлагаю закрыть тему из-за невозможности Вам помочь. Согласны?

**Irene** · 09.04.2009, 15:50

Отлично, пойду вешаться.

А имея не легальный диск с winxp sp3, можно восстановить систему winxp sp1, не потеряв сохраненные данные?

О, тут какой-то Windows Zver еще валяется!

**Rene-gad** · 09.04.2009, 18:13

Сообщение от Irene

Отлично, пойду вешаться.

Хорошая веревка с мылом стоят дороже, чем лицензия Виндовс

А имея не легальный диск с winxp sp3, можно восстановить систему winxp sp1, не потеряв сохраненные данные?

http://virusinfo.info/misc.php?do=showrules Пункт 10

Сообщение от Irene

О, тут какой-то Winows Zver еще валяется!

Я не знаю такого, Вам нужен консультант из России

**Irene** · 09.04.2009, 19:09

Сообщение от Rene-gad

http://virusinfo.info/misc.php?do=showrules Пункт 10

10. Запрещены ссылки на "варез" (нелицензионные или взломанные программы, серийные номера, кряки, кейгены), а также вопросы по поиску вышеперечисленного.

Что пукт 10?) Я не оставляла ссылок на перечисленное и точно не спрашивала где это найти)