Показано с 1 по 17 из 17.

Kryptik.ZS мешает работе (заявка № 54784)

  1. #1
    Junior Member Репутация
    Регистрация
    03.02.2008
    Сообщений
    23
    Вес репутации
    59

    Thumbs up Kryptik.ZS мешает работе

    Откуда-то взялась такая вот гадость - при входе в систему НОД 4.0 ругается и не хочет удалять.AVZ на машине стартует только с пустой папкой Base, с косяками в интерфейсе. Стандартные скрипты, понятно, что не выполняет. Полиморфный AVZ логи собрал - прилагаю. Gmer стартует, находит руткит, показывает название сервиса, несколько файлов, все с "kbiwkm" в начале имени. Приложу лог Gmer, если будет надо. По логу Gmer пробовала удалять обнаруженное (интересно же самой попробовать разобраться), аналогично решению подобных проблем здесь, но не помогло. После перезагрузки сервис появляется вновь, а файлы появляются с новыми именами :-(
    Проблема осложняется еще и тем, что компьютер удаленный и на месте там нет никого вменяемого, чтобы из безопасного режима поработать... Доступ в интернет заблокирован там.

    ЗЫ. То, что расположено в c:\SP и C:\SV3 - наш софт
    Вложения Вложения

  2. Будь в курсе!
    Реклама на VirusInfo

    Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

    Anti-Malware Telegram
     

  3. #2
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для AndreyKa
    Регистрация
    08.01.2005
    Адрес
    Россия
    Сообщений
    13,632
    Вес репутации
    1315
    Закройте все программы. Запустите AVZ.
    Выполните скрипт через меню Файл:
    Код:
    begin
    SetAVZGuardStatus(True);
    SetAVZPMStatus(True);
     QuarantineFile('C:\RECYCLER\S-1-5-21-2768809370-2301974590-273998007-6208\hdav.exe','');
     QuarantineFile('C:\DOCUME~1\9335~1\LOCALS~1\Temp\nxkagakj.sys','');
     QuarantineFile('\\?\globalroot\systemroot\system32\kbiwkmuvamdbxv.dll','');
     DeleteFile('\\?\globalroot\systemroot\system32\kbiwkmuvamdbxv.dll');
     DeleteFile('C:\RECYCLER\S-1-5-21-2768809370-2301974590-273998007-6208\hdav.exe');
    BC_ImportDeletedList;
    ExecuteSysClean;
    BC_Activate;
    RebootWindows(true);
    end.
    Компьютер перезагрузится.
    Пришлите карантин через ссылку Прислать запрошенный карантин вверху темы, как написано в приложении 3 Правил.
    Сделайте новый лог по пункту 2 Диагностики и приложите к этой теме.

  4. #3
    Junior Member Репутация
    Регистрация
    03.02.2008
    Сообщений
    23
    Вес репутации
    59
    Карантин выслан, лог по п.2 прикрепляю
    Вложения Вложения

  5. #4
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для AndreyKa
    Регистрация
    08.01.2005
    Адрес
    Россия
    Сообщений
    13,632
    Вес репутации
    1315
    Закройте все программы. Запустите AVZ.
    Выполните скрипт через меню Файл:
    Код:
    begin
    SetAVZGuardStatus(True);
    ClearQuarantine;
     QuarantineFile('\systemroot\system32\drivers\kbiwkmviqkospi.sys','');
     DeleteFile('\systemroot\system32\drivers\kbiwkmviqkospi.sys');
     DeleteFile('\\?\globalroot\systemroot\system32\kbiwkmuvamdbxv.dll');
    BC_DeleteSvc('kbiwkm');
     DeleteFile('C:\RECYCLER\S-1-5-21-2768809370-2301974590-273998007-6208\hdav.exe');
    BC_ImportDeletedList;
    ExecuteSysClean;
    BC_Activate;
    RebootWindows(true);
    end.
    Компьютер перезагрузится.
    Пришлите карантин через ссылку Прислать запрошенный карантин вверху темы, как написано в приложении 3 Правил.
    Обновите базы AVZ.
    Сделайте новые логи в обычном AVZ и приложите к этой теме.

  6. #5
    Junior Member Репутация
    Регистрация
    03.02.2008
    Сообщений
    23
    Вес репутации
    59
    Карантин закачен. Обычный AVZ все также не запускается правильно.

  7. #6
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для AndreyKa
    Регистрация
    08.01.2005
    Адрес
    Россия
    Сообщений
    13,632
    Вес репутации
    1315
    Сделайте новый лог по пункту 2 Диагностики в полиморфном AVZ и приложите к этой теме.

  8. #7
    Junior Member Репутация
    Регистрация
    03.02.2008
    Сообщений
    23
    Вес репутации
    59
    Готово
    Вложения Вложения

  9. #8
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для AndreyKa
    Регистрация
    08.01.2005
    Адрес
    Россия
    Сообщений
    13,632
    Вес репутации
    1315
    Цитата Сообщение от Veryovka Посмотреть сообщение
    Обычный AVZ все также не запускается правильно.
    Вы из архива avz все файлы распаковали?
    Проведите процедуру, описанную в первом сообщении тут: http://virusinfo.info/showthread.php?t=3519

  10. #9
    Junior Member Репутация
    Регистрация
    03.02.2008
    Сообщений
    23
    Вес репутации
    59
    Вот то-то и оно, что с обычным AVZ проблема. Тот, что был там, не удаляется - ругается на "недостаточно квот для выполения операции" при попытке удаления любого файла из папки Base. Был залит новый. При его распаковке в другую папку, когда распаковывается Base - тоже самое, "недостаточно квот...". Если его распаковать неполностью, без Base, он стартует, но без текстов в интерфейсе, и с пустым списком стандартных скриптов. Если же пускать старый, он тоже стартует, но выдает полсотни Access violation и падает в итоге...

    Гмер все равно продолжает говорить, что руткит, и показывает тот самый процесс, что мы пробовали уже удалять...

  11. #10
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для AndreyKa
    Регистрация
    08.01.2005
    Адрес
    Россия
    Сообщений
    13,632
    Вес репутации
    1315
    Запустите AVZ. Выполните скрипт через меню Файл:
    Код:
    begin
    ClearQuarantine;
     QuarantineFile('C:\WINDOWS\system32\rgadta.sys','');
     DeleteService('rk_remover');
     QuarantineFile('C:\WINDOWS\system32\Drivers\SSPORT.sys','');
    end.
    Пришлите карантин через ссылку Прислать запрошенный карантин вверху темы.

  12. #11
    Junior Member Репутация
    Регистрация
    03.02.2008
    Сообщений
    23
    Вес репутации
    59
    прикрепила

  13. #12
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для AndreyKa
    Регистрация
    08.01.2005
    Адрес
    Россия
    Сообщений
    13,632
    Вес репутации
    1315
    Проглядел еще одного трояна, хорошо он замаскировался.
    Закройте все программы. Запустите AVZ.
    Выполните скрипт через меню Файл:
    Код:
    begin
    SetAVZGuardStatus(True);
     DeleteService('rgadta');
     DeleteService('SSPORT');
     BC_DeleteSvc('rgadta');
     BC_DeleteSvc('SSPORT');
     DeleteFile('C:\WINDOWS\system32\Drivers\SSPORT.sys');
     DeleteFile('C:\WINDOWS\system32\rgadta.sys');
    BC_ImportDeletedList;
    ExecuteSysClean;
    BC_Activate;
    RebootWindows(true);
    end.
    Компьютер перезагрузится.
    Попробуйте сделать новые логи (оба) в обычном AVZ, если не получится, то скрипт №2 в полиморфном.

  14. #13
    Junior Member Репутация
    Регистрация
    03.02.2008
    Сообщений
    23
    Вес репутации
    59
    Воооть. Заработал обычный AVZ.

    После перезагрузки машина пытается ставить какое-то устройство, предлагая найти на него драйвер.
    Вложения Вложения

  15. #14
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для AndreyKa
    Регистрация
    08.01.2005
    Адрес
    Россия
    Сообщений
    13,632
    Вес репутации
    1315
    Закройте все программы. Запустите AVZ.
    Выполните скрипт через меню Файл:
    Код:
    begin
    SetAVZGuardStatus(True);
    RegKeyResetSecurity('HKLM', 'SYSTEM\CurrentControlSet\Services\kbiwkmegixgwrr');
     DeleteService('kbiwkmegixgwrr');
    BC_DeleteSvc('kbiwkmegixgwrr');
    BC_Activate;
    RebootWindows(true);
    end.
    Компьютер перезагрузится.
    Сделайте новый лог по пункту 2 Диагностики и приложите к этой теме.

    Проведите через обычный AVZ процедуру, описанную в первом сообщении тут: http://virusinfo.info/showthread.php?t=3519

  16. #15
    Junior Member Репутация
    Регистрация
    03.02.2008
    Сообщений
    23
    Вес репутации
    59
    Прикладываю. Насколько мне хватает знаний, все почистилось.

    Скрипт сбора тоже сделала. Туда, правда, кое-что из нашего рабочего софта попало, что закрыть локальным пользователем нельзя.
    Вложения Вложения

  17. #16
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для AndreyKa
    Регистрация
    08.01.2005
    Адрес
    Россия
    Сообщений
    13,632
    Вес репутации
    1315
    Чисто.

  18. #17
    Cybernetic Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    29.12.2008
    Сообщений
    48,233
    Вес репутации
    977

    Итог лечения

    Статистика проведенного лечения:
    • Получено карантинов: 3
    • Обработано файлов: 5
    • В ходе лечения обнаружены вредоносные программы:
      1. c:\windows\system32\drivers\kbiwkmviqkospi.sys - Trojan.Win32.TDSS.angk ( AVAST4: Win32:Alureon-CM [Rtk] )
      2. c:\windows\system32\drivers\ssport.sys - Rootkit.Win32.Agent.pnr ( DrWEB: Trojan.PWS.GoldSpy.2793, BitDefender: Rootkit.25030, AVAST4: Win32:Haxdoor-KI [Rtk] )
      3. c:\windows\system32\rgadta.sys - Rootkit.Win32.Agent.pnr ( DrWEB: Trojan.PWS.GoldSpy.2793, BitDefender: Rootkit.25030, AVAST4: Win32:Haxdoor-KI [Rtk] )
      4. \\?\globalroot\systemroot\system32\kbiwkmuvamdbxv. dll - Packed.Win32.TDSS.z ( DrWEB: BackDoor.Tdss.based.1, BitDefender: Trojan.Generic.2438994, NOD32: Win32/Olmarik.MF trojan, AVAST4: Win32:Alureon-DA [Rtk] )


  • Уважаемый(ая) Veryovka, наши специалисты оказали Вам всю возможную помощь по вашему обращению.

    В целях поддержания безопасности вашего компьютера настоятельно рекомендуем:

     

     

    Чтобы всегда быть в курсе актуальных угроз в области информационной безопасности и сохранять свой компьютер защищенным, рекомендуем следить за последними новостями ИТ-сферы портала Anti-Malware.ru:

     

     

    Anti-Malware VK

     

    Anti-Malware Telegram

     

     

    Надеемся больше никогда не увидеть ваш компьютер зараженным!

     

    Если Вас не затруднит, пополните пожалуйста нашу базу безопасных файлов.

  • Похожие темы

    1. Вирус мешает работе браузеров
      От More916 в разделе Помогите!
      Ответов: 20
      Последнее сообщение: 09.12.2011, 08:30
    2. Что то мешает работе компьютера!!!
      От AlexV74 в разделе Помогите!
      Ответов: 37
      Последнее сообщение: 16.09.2011, 10:39
    3. xdx.exe мешает работе internet explorer'a
      От EugenCorsh в разделе Помогите!
      Ответов: 9
      Последнее сообщение: 28.02.2011, 12:52
    4. Порнобаннер мешает работе! помогите
      От EGOISTEurban в разделе Помогите!
      Ответов: 6
      Последнее сообщение: 17.01.2010, 13:45
    5. Все тот же даунлоадер (мешает работе)
      От HeaD в разделе Помогите!
      Ответов: 1
      Последнее сообщение: 12.12.2009, 21:01

    Метки для этой темы

    Свернуть/Развернуть Ваши права в разделе

    • Вы не можете создавать новые темы
    • Вы не можете отвечать в темах
    • Вы не можете прикреплять вложения
    • Вы не можете редактировать свои сообщения
    •  
    Page generated in 0.00163 seconds with 20 queries