Показано с 1 по 16 из 16.

Backdoor.Win32.Poison.aovi и Worm.Win32.AInfBot.o (заявка № 53930)

  1. #1
    Junior Member Репутация
    Регистрация
    04.09.2009
    Сообщений
    14
    Вес репутации
    27

    Thumbs up Backdoor.Win32.Poison.aovi и Worm.Win32.AInfBot.o

    Доброго времени суток!
    Подцепил 2 вируса: Backdoor.Win32.Poison.aovi и Worm.Win32.AInfBot.o.
    Первый располагается по адресу: %SYSTEMDRIVE%\b4v9m7s9p9i3.exe;
    А второй: System32\Drivers\explorer.exe и System32\Drivers\LBTWiz.exe.

    Что касается первого вируса, то после удаления он появляется непонятно откуда, но при этом запущенным не был замечен.

    Второй при запуске закрывает менеджер задач, будь то стандартный tskmngr, или ProcessExplorer. Однако, при запущенном вирусе менеджер задач запускается и нормально работает.
    Также, товарищ Worm.Win32.AInfBot.o постоянно скачивает в директорию System32 файлы, содержащие тело такого же вируса (как показал AVPTool), но при это активность этих файлов не была замечена.

    Также, была замечена сетевая активность explorer.exe (который от M$, а не вирус), которая заключалась в отправке каких-то данных по 25 порту, а также по 80 порту.

    Произведенные меры:
    Сканировал диски AVPTool и CureIT!. Первый находил и удалял вредоносные файлы, но после перезагрузки они появлялись вновь. Что касается CureIt!, то он и вовсе не находил их.

    Пожалуйста, помогите...
    Вложения Вложения

  2. Реклама
     

  3. #2
    Global Moderator Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    26.12.2006
    Адрес
    Vladivostok
    Сообщений
    23,300
    Вес репутации
    1551
    Отключив интернет и антивирус, выполните скрипт в AVZ:
    Код:
    begin
    SearchRootkit(true, true);
    SetAVZGuardStatus(True);
     QuarantineFile('C:\WINDOWS\system32\drivers\LBTWiz.exe','');
     QuarantineFile('C:\WINDOWS\system32\drivers\htqIh.sys','');
     DeleteFile('C:\WINDOWS\system32\drivers\htqIh.sys');
     DeleteFile('C:\WINDOWS\system32\drivers\LBTWiz.exe');
    BC_ImportALL;
    ExecuteSysClean;
    BC_Activate;
    RebootWindows(true);
    end.
    Компьютер перезагрузится.
    Пришлите карантин согласно приложению 3 правил
    (загружать тут: http://virusinfo.info/upload_virus.php?tid=53930).
    Сделайте новые логи (только п.2 и 3 раздела Диагностика).
    I am not young enough to know everything...

  4. #3
    Junior Member Репутация
    Регистрация
    04.09.2009
    Сообщений
    14
    Вес репутации
    27
    Карантин прислал.
    Вложения Вложения

  5. #4
    Global Moderator Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    26.12.2006
    Адрес
    Vladivostok
    Сообщений
    23,300
    Вес репутации
    1551
    Выполните скрипт в AVZ:
    Код:
    begin
    ClearQuarantine;
    QuarantineFile('C:\WINDOWS\system32\E0460141.exe','');
    BC_ImportALL;
    BC_Activate;
    RebootWindows(true);
    end.
    Компьютер перезагрузится.
    Пришлите новый карантин согласно приложению 3 правил, если будет не пуст.
    I am not young enough to know everything...

  6. #5
    Junior Member Репутация
    Регистрация
    04.09.2009
    Сообщений
    14
    Вес репутации
    27
    У меня нет такого файла... После выполнения скрипта карантин пуст...
    Но вирусы снова появились...
    Вложения Вложения
    Последний раз редактировалось GhOsT_MZ; 04.09.2009 в 13:49.

  7. #6
    Global Moderator Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    26.12.2006
    Адрес
    Vladivostok
    Сообщений
    23,300
    Вес репутации
    1551
    Выполните скрипт в AVZ:
    Код:
    begin
    SearchRootkit(true, true);
    SetAVZGuardStatus(True);
    ClearQuarantine;
     QuarantineFile('C:\WINDOWS\system32\umdmgr.exe','');
     QuarantineFile('C:\WINDOWS\avdrive32.exe','');
     QuarantineFile('C:\RECYCLER\S-1-5-21-0603778889-5907231832-424456546-7236\csvcs.exe','');
     QuarantineFile('C:\RECYCLER\S-1-5-21-0243936033-3052116371-381863308-1811\vsbntlo.exe','');
     QuarantineFile('C:\RECYCLER\S-1-5-21-0243336031-4052116379-881863308-0851\vse432.exe','');
     DeleteFile('C:\RECYCLER\S-1-5-21-0243336031-4052116379-881863308-0851\vse432.exe');
     DeleteFile('C:\RECYCLER\S-1-5-21-0243936033-3052116371-381863308-1811\vsbntlo.exe');
     DeleteFile('C:\RECYCLER\S-1-5-21-0603778889-5907231832-424456546-7236\csvcs.exe');
     DeleteFile('C:\WINDOWS\avdrive32.exe');
     DeleteFile('C:\WINDOWS\system32\umdmgr.exe');
    BC_ImportALL;
    ExecuteSysClean;
    BC_DeleteSvc('E0460141');
    BC_Activate;
    RebootWindows(true);
    end.
    Компьютер перезагрузится.
    Пришлите карантин согласно приложению 3 правил
    (загружать тут: http://virusinfo.info/upload_virus.php?tid=53930).
    Сделайте новые логи (только п.2 и 3 раздела Диагностика).
    I am not young enough to know everything...

  8. #7
    Junior Member Репутация
    Регистрация
    04.09.2009
    Сообщений
    14
    Вес репутации
    27
    Некоторых файлов в карантине нету, так как пришлось удалить руками, так как из-за них не удавалось зайти сюда (они меняли содержимое файла hosts).
    Вложения Вложения

  9. #8
    Global Moderator Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    26.12.2006
    Адрес
    Vladivostok
    Сообщений
    23,300
    Вес репутации
    1551
    В логах чисто.
    Ставьте SP3 + последующие обновления, чем скорее - тем лучше.
    Надеюсь, базы антивируса у вас обновляются?
    I am not young enough to know everything...

  10. #9
    Junior Member Репутация
    Регистрация
    04.09.2009
    Сообщений
    14
    Вес репутации
    27
    Базы обновляются. СП3 поставлю. Но тему пожалуйста не закрывайте, так как оно может еще появиться (на днях пол ночи лечил, а после ребута появляется вновь, причем может сразу появиться, а может и через несколько часов).

  11. #10
    Junior Member Репутация
    Регистрация
    04.09.2009
    Сообщений
    14
    Вес репутации
    27
    Вот, появился вновь.... До его появления была запущена Malwarebytes' Anti-Malware, которая проверяла систему и uTorrent. При запуске, вирус выключил Malwarebytes' Anti-Malware.
    Вложения Вложения

  12. #11
    Global Moderator Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    26.12.2006
    Адрес
    Vladivostok
    Сообщений
    23,300
    Вес репутации
    1551
    Так и будут лезть до бесконечности, пока дыры не закроете.
    Выполните скрипт:
    Код:
    begin
    SearchRootkit(true, true);
    SetAVZGuardStatus(True);
    DeleteFile('C:\WINDOWS\system32\drivers\LBTWiz.exe');
    BC_ImportALL;
    ExecuteSysClean;
    BC_Activate;
    RebootWindows(true);
    end.
    и срочно обновляйте систему!
    I am not young enough to know everything...

  13. #12
    Junior Member Репутация
    Регистрация
    04.09.2009
    Сообщений
    14
    Вес репутации
    27
    Поставил SP3, обновил систему (хотя, критических обновлений почему-то не было, что весьма странно, учитывая дату выхода SP3), но не смотря на это, эти вирусы продолжают попытки прорваться. Периодически касперский выдает сообщение о попытке скачать файл hххp://94.76.194.116/h.exe.
    Процесс, который пытается скачать файл - это svchost.exe (оригинальный, ProcessExplorer пишет, что проверка на подлинность прошла).
    Ниже приведу скрины окна ProcessExplorer для этого процесса, список служб этого процесса, а также список потоков (или как правильно Thread именуется). + к этому, список автозагрузки из Autoruns. Может что из этого и поможет...
    Также, в списке активных процессов не найдено ничего подозрительного...
    Изображения Изображения
    • Тип файла: png img1.png (24.3 Кб, 5 просмотров)
    • Тип файла: png serv.png (22.5 Кб, 3 просмотров)
    • Тип файла: png th.png (50.2 Кб, 1 просмотров)
    • Тип файла: jpg autoruns.jpg (243.4 Кб, 3 просмотров)

  14. #13
    Junior Member Репутация
    Регистрация
    04.09.2009
    Сообщений
    14
    Вес репутации
    27
    Up!
    Подскажите пожалуйста что делать...

  15. #14
    Global Moderator Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    26.12.2006
    Адрес
    Vladivostok
    Сообщений
    23,300
    Вес репутации
    1551
    обновил систему (хотя, критических обновлений почему-то не было, что весьма странно, учитывая дату выхода SP3)
    Рекомендую это:
    http://poleznosti.ru/soft/file_catal...20080528205228.
    I am not young enough to know everything...

  16. #15
    Junior Member Репутация
    Регистрация
    04.09.2009
    Сообщений
    14
    Вес репутации
    27
    Вроде после этих обновлений все нормально стало. Спасибо большое за помощь!

  17. #16
    Cybernetic Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    29.12.2008
    Сообщений
    47,517
    Вес репутации
    940

    Итог лечения

    Статистика проведенного лечения:
    • Получено карантинов: 3
    • Обработано файлов: 34
    • В ходе лечения обнаружены вредоносные программы:
      1. c:\recycler\s-1-5-21-0243336031-4052116379-881863308-0851\vse432.exe - Trojan.Win32.Buzus.bxsy ( DrWEB: Win32.HLLW.Recycler.6, BitDefender: Trojan.Generic.2378664, AVAST4: Win32:Trojan-gen {Other} )
      2. c:\recycler\s-1-5-21-0243936033-3052116371-381863308-1811\vsbntlo.exe - Trojan.Win32.Buzus.bxsx ( DrWEB: Win32.HLLW.Recycler.6, BitDefender: Trojan.Generic.2386405, NOD32: Win32/Agent.HXW trojan, AVAST4: Win32:Trojan-gen {Other} )
      3. c:\recycler\s-1-5-21-0603778889-5907231832-424456546-7236\csvcs.exe - P2P-Worm.Win32.Palevo.ann ( DrWEB: Win32.HLLW.Lime.18, BitDefender: Worm.P2P.Palevo.B, AVAST4: Win32:Rimecud-B [Wrm] )
      4. c:\windows\avdrive32.exe - Net-Worm.Win32.Kolab.dvg ( DrWEB: Win32.HLLW.Lime.18, BitDefender: Worm.Generic.83261, AVAST4: Win32:Trojan-gen {Other} )
      5. c:\windows\system32\drivers\lbtwiz.exe - Worm.Win32.AInfBot.o ( DrWEB: BackDoor.IRC.Bot.132, NOD32: Win32/AutoRun.IRCBot.CD worm, AVAST4: Win32:Trojan-gen {Other} )
      6. c:\windows\system32\umdmgr.exe - Trojan-Downloader.Win32.Pher.uk ( DrWEB: Trojan.Packed.162, BitDefender: Trojan.Downloader.JJRI, AVAST4: Win32:Trojan-gen {Other} )


  • Уважаемый(ая) GhOsT_MZ, наши специалисты оказали Вам всю возможную помощь по вашему обращению.

    В целях поддержания безопасности вашего компьютера настоятельно рекомендуем:


    Надеемся больше никогда не увидеть ваш компьютер зараженным!

    Если Вас не затруднит, пополните пожалуйста нашу базу безопасных файлов.
  • Присоединяйтесь к нам в соцсетях!

    Мы делаем все возможное, чтобы помогать людям в защите и лечении компьютеров.

    Похожие темы

    1. Backdoor.Win32.Agent.ajcb, Net-Worm.Win32.Kido.jq и чтото еще
      От C0NSUL в разделе Помогите!
      Ответов: 21
      Последнее сообщение: 24.08.2009, 10:43
    2. Backdoor.Win32.Poison.amqv
      От park0ur в разделе Помогите!
      Ответов: 1
      Последнее сообщение: 10.08.2009, 19:25
    3. ZerX.exe и Backdoor.Win32.Poison.zlm
      От Jeweller787 в разделе Помогите!
      Ответов: 9
      Последнее сообщение: 05.05.2009, 11:16
    4. hot to remove trojan program backdoor.win32.poison.yre
      От diego666 в разделе Malware Removal Service
      Ответов: 1
      Последнее сообщение: 28.04.2009, 12:00
    5. Backdoor.Win32.Poison.b
      От zasadez в разделе Помогите!
      Ответов: 13
      Последнее сообщение: 22.02.2009, 02:15

    Метки для этой темы

    Свернуть/Развернуть Ваши права в разделе

    • Вы не можете создавать новые темы
    • Вы не можете отвечать в темах
    • Вы не можете прикреплять вложения
    • Вы не можете редактировать свои сообщения
    •  
    Page generated in 0.00381 seconds with 21 queries