Trojan.Win32.Small.aarn

[umklaidet]

7-й KAV обнаруживает Trojan.Win32.Small.aarn в файле C:\WINDOWS\dlfpt.rdv
Пытается удалить при помощи "специальной процедуры лечения", но после перезагрузки вирус появляется снова. CureIT под "безопасным режимом" ничего не находит. Как можно избавиться от этой гадости?

[Bratez]

Сделайте логи по правилам, тогда мы сможем вам помочь.

[umklaidet]

Сделайте логи по правилам, тогда мы сможем вам помочь.

Я бы с радостью, но вирус запретил мне доступ на запись к дискам, я банально файл отчета сохранить не могу. Попробую что-то сделать, но не уверен, что получится.

Готово

Как я понимаю KAV не сможет справиться с вирусом?

[Numb]

Пока так: на время выполнения скрипта, отключитесь от сети и отключите антивирусный монитор.
Программа AVZ - файл - выполнить скрипт - выполните скрипт:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 quarantinefile('C:\Documents and Settings\uZer\Start Menu\Programs\Startup\r155_15.bat','');
 QuarantineFile('digeste.dll','');
 QuarantineFile('C:\WINDOWS\system32\WinCtrl322.dll','');
 QuarantineFile('C:\WINDOWS\system32\hidec','');
 QuarantineFile('C:\WINDOWS\system32\drivers\vm\VMSD.sys','');
 QuarantineFile('C:\WINDOWS\system32\drivers\cmigameport.sys','');
 QuarantineFile('C:\WINDOWS\system32\drivers\oreans32.sys','');
 QuarantineFile('c:\windows\system32\winlogon.exe','');
 DeleteFile('C:\WINDOWS\system32\hidec');
 BC_DeleteFile('C:\WINDOWS\system32\hidec');
 DeleteFile('digeste.dll');
 BC_DeleteFile('digeste.dll');
 DeleteFile('c:\windows\system32\digeste.dll');
 BC_DeleteFile('c:\windows\system32\digeste.dll');
BC_Importall;
BC_Activate;
ExecuteSysClean;
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Control\Terminal Server','fAllowToGetHelp', 0);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1001', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
SetAVZPMStatus(True);
RebootWindows(true);
end.

После перезагрузки, карантин AVZ загрузите по ссылке http://virusinfo.info/upload_virus.php?tid=44841 , как написано в прил.3 правил, очистите временные папки и кэш браузера и повторите логи.

[umklaidet]

Сделал.
К сожалению не удается убить временные файлы в юзере uZer, почему-то запрещен доступ к папке (хотя права админские).

[Rene-gad]

-Пофиксите

F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe

- Очистите темп-папки, кэш проводников и корзину.
- Сделайте повторные логи

virusinfo_syscheck.zip
hijackthis.log

[umklaidet]

Сделал. Не помогает.
Симптомы (вдруг поможет в диагностике): при попытке запустить cmd и при попытке запустить reg-файл убивается процесс explorer, сайты иногда открываются не с 1 раза, перестает работать звук, периодически падает Мозилла, пару раз был bsod при запуске приложений.

[Rene-gad]

- Выполните скрипт

begin
executerepair(1);
executerepair(6);
executerepair(8);
executerepair(9);
executerepair(11);
executerepair(16);
executerepair(17);
RebootWindows(true);
end.

После перезагрузки повторите 3 лога по правилам.

[umklaidet]

Сделал. Пока не помогает. Буду дальше биться завтра.

[Geser]

Очистите карантин и выполните скрипт ниже. После перегрузки закачайте новый карантин как в прошлый раз

begin
 QuarantineFile('C:\WINDOWS\system32\WinCtrl322.dll','');
 QuarantineFile('C:\Program Files\WebSite-Watcher\wswatch_add.exe','');
 QuarantineFile('C:\Program Files\Video Strip Poker Supreme\main.exe','');
 QuarantineFile('C:\WINDOWS\system32\drivers\splj.sys','');
QuarantineFile('C:\WINDOWS\system32\splj.sys','');
 QuarantineFile('C:\WINDOWS\system32\hidec','');
 DeleteFile('C:\WINDOWS\system32\hidec');
 DeleteFile('C:\Program Files\Video Strip Poker Supreme\main.exe');
 DeleteFile('C:\Program Files\WebSite-Watcher\wswatch_add.exe');
 DeleteFile('C:\WINDOWS\system32\WinCtrl322.dll');
BC_ImportALL;
BC_Activate;
RebootWindows(true);
end.

C:\Documents and Settings\uZer - Это реально существиющий акаунт?

[umklaidet]

Сделал. При выполнении скрипты были какие-то ошибки. Какие - не знаю, т.к. комп перезагрузился сразу.

C:\Documents and Settings\uZer - Это реально существиющий акаунт?

Он был когда-то, потом после нескольких восстановлений винды доступ к нему пропал. При попытке зайти в C:\Documents and Settings\uZer пишется "отказано в доступе".

[Rene-gad]

Повторите логи по правилам.

[umklaidet]

Сделал.
AVZ как не видел, так и не видит вируса в C:\WINDOWS\dlfpt.rdv =(
А мне удалось добраться до C:\Documents and Settings\uZer, поудалял оттуда всякий мусор и права нормальные установил.

[Rene-gad]

Отключите Касперского и выполните скрипт

begin
QuarantineFile('C:\WINDOWS\dlfpt.rdv','');
end.

Карантин - если что-то попадет - закачайте по правилам.

Добавлено через 1 минуту

Сделал.
AVZ как не видел, так и не видит вируса в C:\WINDOWS\dlfpt.rdv =(

Вы имя файла точно скопировали? Если можно, копи-пейст строчку из протокола КИС с именем файла.

[umklaidet]

29.04.2009 23:59:16	Файл c:\windows\dlfpt.rdv, обнаружено: троянская программа 'Trojan.Win32.Small.aarn'.

Не попадает файл в карантин.

Вот здесь: http://forum.kaspersky.com/index.php?showtopic=114921 избавились как минимум от файла удалением из реестра, у меня так не получилось, наверное потому что у меня в HKLM\SYSTEM\ControlSET00X\Control\Session Manage вируса не было.

[Rene-gad]

А найти его по приложению 2 правил Вы можете? Если да- пришлите по правилам (приложение 3).

[umklaidet]

Оказывается не получалось поместить в карантин из-за очередного запрещения на запись, после перезагрузки сделал, смотрите.

[Rene-gad]

- Выполните скрипт

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\WINDOWS\dlfpt.rdv');
BC_ImportAll;
ExecuteSysClean;
executerepair(6);
executerepair(8);
executerepair(9);
executerepair(11);
executerepair(16);
executerepair(17);
SetAVZPMStatus(True);
BC_Activate;
RebootWindows(true);
end.

После перезагрузки обновите базы Вашего антивируса, сделайте полную проверку системы и повторите логи.

[umklaidet]

Помогло. Спасибо огромное. Надеюсь, что благодарность в вечнозеленом эквиваленте поможет вашему замечательному ресурсу.
Ну и логи на всякий случай.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 3
• Обработано файлов: 21
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\windows\dlfpt.rdv - Trojan.Win32.Small.aarn
  2. c:\windows\system32\winctrl322.dll - Trojan-Downloader.Win32.Mutant.cnb ( DrWEB: BackDoor.Bulknet.225, BitDefender: Trojan.Dropper.Kobcka.Gen.1 )