Подцепил Win32/Agent.DRK, Win32/Genetik

[Ka3yc]

подобная проблема была вот здесь:
http://virusinfo.info/showthread.php?t=40616

H:\Windows.1\system32\KsupslD.dll возможно модифицированный Win32/Agent.DRK

Ещё создаются файлы абракодабра.exe и *001.exe возможно модифицированный Win32/Genetik

В целом, при канале 100МБит в промышленных масштабах отсылается куча хз чего на ANY IP:ANY PORT (~6Mb/sec)

Теперь ещё стал беспокоить scanner.dll в Temporary.I.F. модифицированный Win32/Packed.Themida

Логи прилагаются.

[light59]

ОТКЛЮЧИТЕ ВОССТАНОВЛЕНИЕ СИСТЕМЫ!


В AVZ -> файл-> Выполнить скрипт

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('H:\WINDOWS.1\Fonts\9C1DFB8E.DLL','');
 QuarantineFile('H:\WINDOWS.1\Fonts\155A9B6E.EXE','');
 QuarantineFile('H:\WINDOWS.1\system32\drivers\tcpz-x86d.sys','');
 QuarantineFile('H:\WINDOWS.1\system32\OYURPW7A0A\I001.exe','');
 QuarantineFile('H:\WINDOWS.1\system32\i\J001.exe','');
 QuarantineFile('H:\WINDOWS.1\system32\i\E001.exe','');
 QuarantineFile('H:\WINDOWS.1\system32\TZ9XGE7R25\J002.exe','');
 QuarantineFile('H:\WINDOWS.1\system32\MVSE3FVW3U\J001.exe','');
 QuarantineFile('H:\WINDOWS.1\system32\i\I001.exe','');
 QuarantineFile('H:\WINDOWS.1\System32\LIBMYSQL.dll','');
 QuarantineFile('H:\WINDOWS.1\System32\capisrv.dll','');
 QuarantineFile('h:\windows.1\system32\cmptes.dll','');
 TerminateProcessByName('h:\windows.1\vtdfhgbfv.exe');
 QuarantineFile('h:\windows.1\vtdfhgbfv.exe','');
 TerminateProcessByName('h:\windows.1\vfhyjh.exe');
 QuarantineFile('h:\windows.1\vfhyjh.exe','');
 TerminateProcessByName('h:\windows.1\kfhg.exe');
 TerminateProcessByName('h:\windows.1\clfile.exe');
 QuarantineFile('h:\windows.1\clfile.exe','');
 TerminateProcessByName('h:\windows.1\clfdle.exe');
 QuarantineFile('h:\windows.1\clfdle.exe','');
 DeleteFile('h:\windows.1\clfdle.exe');
 DeleteFile('h:\windows.1\clfile.exe');
 DeleteFile('h:\windows.1\kfhg.exe');
 DeleteFile('h:\windows.1\vfhyjh.exe');
 DeleteFile('h:\windows.1\vtdfhgbfv.exe');
 DeleteFile('h:\windows.1\system32\cmptes.dll');
 DeleteFile('H:\WINDOWS.1\System32\capisrv.dll');
 DeleteFile('H:\WINDOWS.1\system32\i\I001.exe');
 DeleteFile('H:\WINDOWS.1\system32\MVSE3FVW3U\J001.exe');
 DeleteFile('H:\WINDOWS.1\system32\TZ9XGE7R25\J002.exe');
 DeleteFile('H:\WINDOWS.1\system32\i\E001.exe');
 DeleteFile('H:\WINDOWS.1\system32\i\J001.exe');
 DeleteFile('H:\WINDOWS.1\system32\OYURPW7A0A\I001.exe');
 DeleteFile('H:\WINDOWS.1\Fonts\155A9B6E.EXE');
 DeleteFile('H:\WINDOWS.1\Fonts\9C1DFB8E.DLL');
 DeleteService('efrt');
 DeleteService('vrgv');
 DeleteService('WinHelp32');
 DeleteService('yhyh');
 DeleteService('vfg');
 DeleteService('rtgt');
 DeleteService('rg');
 DeleteService('server this');
 DeleteService('tdgfv');
 DeleteService('gjunj');
 DeleteService('fdos');
 DeleteService('cldos');
BC_Importall;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.
Пришлите карантин согласно правил по ссылке http://virusinfo.info/upload_virus.php?tid=51466
Повторите логи.

[Ka3yc]

отключение восстановления системы (описанном в правилах, WinXP pro sp2) у меня нет вкладки Восстановление системы. На вкладке "дополнительно", есть окошко "Загрузка и восстановление" но там нет галочки отключить, там только настройка загрузки операционки. Как быть?

[light59]

Как быть?

выполняйте скрипт, повторяйте логи.

[Ka3yc]

понял, спс.

Пришлите карантин согласно правил по ссылке http://virusinfo.info/upload_virus.php?tid=51466

Отправил карантин.

KsupslD.dll не удаляется никак, когда захожу под досом, его вообще нету, он в бут-секторе винды видимо.

К 3 файлам лога, добавляю ещё txt с последним логом Nod32.

но в целом, уже получше стало. Теперь тоже отсылает, но не так и процессор не грузит особо.

[light59]

Скрипт

begin 
CLearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 BC_DeleteSvc('55528047');
 BC_DeleteSvc('vfg');
 QuarantineFile('h:\windows.1\system32\ksupsld.dll','');
 DeleteFile('h:\windows.1\system32\ksupsld.dll');
 DeleteFile('H:\WINDOWS.1\Fonts\155A9B6E.EXE');
 DeleteFile('H:\WINDOWS.1\ghy.exe');
BC_Importall;
 ExecuteRepair(6); 
 ExecuteRepair(8); 
RegKeyIntParamWrite( 'HKLM', 'SOFTWARE\Microsoft\Windows\CurrentVersion\policies\NonEnum', '{BDEADF00-C265-11D0-BCED-00A0C90AB50F}', 1);
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Шлём карантин.
Проверяем восстановление системы.

Делаем пункт 2 диагностики.

[Ka3yc]

карантин и лог добавил.

[Rene-gad]

Закройте/выгрузите все программы кроме AVZ и Internet Explorer.
Отключите
- ПК от интернета/локалки
- Антивирус и Файрвол.
- Системное восстановление.

- Выполните скрипт

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 StopService('WinHelp32');
 StopService('WcsSrv');
 QuarantineFile('H:\WINDOWS.1\system32\WinHelp32.exe','');
 QuarantineFile('H:\Program Files\Common Files\Svc.exe','');
 QuarantineFile('h:\windows.1\system32\mstcpweb.dll','');
 QuarantineFile('H:\WINDOWS.1\System32\mswebsrv.dll','');
 DeleteFile('H:\WINDOWS.1\System32\mswebsrv.dll');
 DeleteFile('h:\windows.1\system32\mstcpweb.dll');
 DeleteFile('H:\Program Files\Common Files\Svc.exe');
 DeleteFile('H:\WINDOWS.1\system32\WinHelp32.exe');
BC_ImportAll;
ExecuteSysClean;
BC_DeleteSvc('WinHelp32');
BC_DeleteSvc('WcsSrv');
BC_Activate;
RebootWindows(true);
end.

После перезагрузки:

- Очистите темп-папки, кэш проводников и корзину.
- Закройте все программы, включая Антивирус и Файрвол, Оставьте запущенным только Internet Explorer. Если он не запущен - запустите!!!
- Повторите действия, описанные в п. 1 - 3 Диагностики и новые логи прикрепите к новому сообщению.
- Включите Антвирус и Файрволл
- Подключите ПК к интернету/локалке
- Закачайте карантин по ссылке Прислать запрошенный карантин вверху темы (Приложение 3 правил).

[Ka3yc]

...

[Rene-gad]

- Выполните скрипт

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 TerminateProcessByName('h:\windows.1\clfile.exe');
 TerminateProcessByName('h:\windows.1\clfdle.exe');
 TerminateProcessByName('h:\windows.1\vfhyjh.exe');
 TerminateProcessByName('h:\windows.1\vtdfhgbfv.exe');
 TerminateProcessByName('h:\windows.1\kfhg.exe');
 QuarantineFile('H:\WINDOWS.1\kfhg.exe','');
 QuarantineFile('H:\WINDOWS.1\clfile.exe','');
 QuarantineFile('H:\WINDOWS.1\clfdle.exe','');
 QuarantineFile('H:\WINDOWS.1\vtdfhgbfv.exe','');
 QuarantineFile('H:\WINDOWS.1\vfhyjh.exe','');
 DeleteFile('H:\WINDOWS.1\vtdfhgbfv.exe');
 DeleteFile('H:\WINDOWS.1\vfhyjh.exe');
 DeleteFile('H:\WINDOWS.1\clfile.exe');
 DeleteFile('H:\WINDOWS.1\clfdle.exe');
 DeleteFile('H:\WINDOWS.1\kfhg.exe');
 DeleteFileMask('H:\WINDOWS.1\Fonts','*.EXE',false);
 DeleteFileMask('H:\WINDOWS.1\Fonts','*.DLL',false);
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

После перезагрузки:

- Повторите действия, описанные в п. 1 - 3 Диагностики и новые логи прикрепите к новому сообщению.
- Закачайте карантин по ссылке Прислать запрошенный карантин вверху темы (Приложение 3 правил).

[Ka3yc]

Всё! Спасибо огромное!

[Rene-gad]

Повторите действия, описанные в п. 1 - 3 Диагностики и новые логи прикрепите к новому сообщению.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 3
• Обработано файлов: 51
• В ходе лечения обнаружены вредоносные программы:
  
  1. h:\program files\common files\svc.exe - Backdoor.Win32.Agent.ajcb ( DrWEB: BackDoor.RemoteABC.9 )
  2. h:\windows.1\clfdle.exe - Trojan-Downloader.Win32.Small.kbo ( BitDefender: Trojan.Downloader.JMFI )
  3. h:\windows.1\clfile.exe - Trojan-Downloader.Win32.Small.kbo ( DrWEB: Trojan.DownLoad.42481, BitDefender: Trojan.Downloader.JMFI )
  4. h:\windows.1\fonts\155a9b6e.exe - Trojan-Dropper.Win32.Agent.azht ( DrWEB: Trojan.Siggen.3272, BitDefender: Win32.Worm.Winko.I )
  5. h:\windows.1\fonts\155a9b6e.exe - Trojan-Dropper.Win32.Agent.azga ( DrWEB: Trojan.DownLoad.43135, BitDefender: Win32.Worm.Winko.I )
  6. h:\windows.1\fonts\9c1dfb8e.dll - Trojan.Win32.Agent.ctfm ( DrWEB: Trojan.DownLoad.43135, BitDefender: Win32.Worm.Winko.I )
  7. h:\windows.1\system32\capisrv.dll - Trojan.Win32.Agent.ctiy ( DrWEB: Trojan.Packed.650, BitDefender: Trojan.Packed.Libix.Gen.1 )
  8. h:\windows.1\system32\cmptes.dll - Trojan-Downloader.Win32.Agent.ckvw ( DrWEB: Trojan.DownLoad.42029, BitDefender: Worm.Hosete.A )
  9. h:\windows.1\system32\libmysql.dll - Exploit.Win32.SqlShell.i ( DrWEB: Exploit.MySql.3 )
  10. h:\windows.1\system32\mstcpweb.dll - Trojan.Win32.Agent.ctfa ( DrWEB: Trojan.Packed.650, BitDefender: Trojan.Packed.Libix.Gen.1 )
  11. h:\windows.1\system32\mswebsrv.dll - Trojan.Win32.Agent.ctiy ( DrWEB: Trojan.Packed.650, BitDefender: Trojan.Packed.Libix.Gen.1 )
  12. h:\windows.1\vfhyjh.exe - Trojan-Downloader.Win32.Ogran.c ( DrWEB: Trojan.DownLoad.42397 )
  13. h:\windows.1\vtdfhgbfv.exe - Backdoor.Win32.Small.ifw ( DrWEB: Trojan.DownLoad.42480, BitDefender: Gen:Trojan.Heur.PT.aeW@bCo7Y9m )