Mass Mailer - рассылка спама

[MartinMcConnel]

Доброго времени суток!
Касперский предупреждает о "Потенциально опасном ПО
Mass-mailer software" из c:\windows\system32\services.exe.
Осуществляется рассылка писем - рекламного спама.

Расчитываю на Вашу помощь!
С наилучшими.

[gjf]

- Закройте/выгрузите все программы кроме Internet Explorer.
Отключите
- ПК от интернета/локальной сети.
- Антивирус и Файрвол.
- Пофиксите в HiJackThis:

R3 - URLSearchHook: (no name) -  - (no file)
O2 - BHO: TMAgent IE Adapter - {35A6E2B1-27A9-47D2-913C-559E1EF1D034} - C:\Program Files\Common Files\Target Marketing Agency\TMAgent\tmagent.dll (file missing)
O2 - BHO: WinInet Class - {39fc2065-c9c7-49cd-8942-44cc2dedc844} - (no file)

- Выполните скрипт AVZ:

Function RegKeyResetSecurityEx(ARoot, AName : string) : boolean;
var
i : integer; 
KeyList : TStringList;
KeyName : string;                           
begin
RegKeyResetSecurity(ARoot, AName);
KeyList := TStringList.Create;
RegKeyEnumKey(ARoot, AName, KeyList);
for i := 0 to KeyList.Count-1 do
 begin
 KeyName := AName+'\'+KeyList[i];
 RegKeyResetSecurity(ARoot, KeyName);
 RegKeyResetSecurityEx(ARoot, KeyName);
 end;
KeyList.Free;
end;
Function BC_ServiceKill(AServiceName : string; AIsSvcHosted : boolean = true) : byte;
var
 i : integer;
 KeyList : TStringList;
 KeyName : string;                           
begin
 Result := 0;
 if StopService(AServiceName) then Result := Result or 1;
 if DeleteService(AServiceName,  not(AIsSvcHosted)) then Result := Result or 2;
 KeyList := TStringList.Create;
 RegKeyEnumKey('HKLM','SYSTEM', KeyList);
 for i := 0 to KeyList.Count-1 do
  if pos('controlset', LowerCase(KeyList[i])) > 0 then begin
   KeyName := 'SYSTEM\'+KeyList[i]+'\Services\'+AServiceName;                                     
   if RegKeyExistsEx('HKLM', KeyName) then begin
    Result := Result or 4;                  
    RegKeyResetSecurityEx('HKLM', KeyName);
    RegKeyDel('HKLM', KeyName);
    if RegKeyExistsEx('HKLM', KeyName) then               
     Result := Result or 8;                  
   end;
  end;                 
 if AIsSvcHosted then
  BC_DeleteSvcReg(AServiceName)
 else
  BC_DeleteSvc(AServiceName);
 KeyList.Free;
end;

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 DeleteFileMask(GetAVZDirectory+'Quarantine', '*.*', true); {ClearQuarantine;}
 QuarantineFile('C:\WINDOWS\system32\00THotkey.exe','');
 QuarantineFile('C:\Documents and Settings\User\Главное меню\Программы\Автозагрузка\siszyd32.exe','');
 QuarantineFile('C:\WINDOWS\system32\Drivers\meukyu.sys','');
 DeleteFile('C:\WINDOWS\system32\Drivers\meukyu.sys');
 DeleteFile('C:\Documents and Settings\User\Главное меню\Программы\Автозагрузка\siszyd32.exe');
 AddToLog('Удаление скрытого сервиса '+'meukyu'+' - Результат:'+inttostr(BC_ServiceKill('meukyu')) );
 BC_ImportAll;
ExecuteSysClean;
 SaveLog(GetAVZDirectory+'avz_log.txt');
 SetAVZPMStatus(true);
 BC_Activate;
 RebootWindows(true);
end.

Система перезагрузится.
После перезагрузки:
- Очистите темп-папки, кэш проводников и корзину.
- Закройте все программы, включая Антивирус и Файрвол, оставьте запущенным только Internet Explorer. Если он не запущен - запустите!!!
- Сделайте повторные логи согласно Правил (Диагностика)
virusinfo_syscure.zip
virusinfo_syscheck.zip
hijackthis.log
- Включите Антивирус и Файрволл
- Подключите ПК к интернету/локальной сети
- Загрузите карантин согласно Правил (Приложение 3).
- Прикрепите новые логи, а также файл avz_log.txt из папки AVZ к новому сообщению в этой ветке.

[MartinMcConnel]

Все процедуры выполнены. Логи прикреплены. Карантин не загрузил потому что он пустой - загружать нечего

ЗЫ Правда, в диспетчере устройств появилось какое-то неизвестное устройство, но фиг с ним вобщем

[gjf]

Сделайте лог с помощью GMER.
gmer.log

[MartinMcConnel]

При попытке сохранить этот самый лог ХРюша свалилась в жёсткий висяк с последующим крашем, хрюкнув напоследок: "Taskmgr.exe - сбой инициализации DLL".

Рассылка спама вроде бы прекратилась и Касперский пока не ругается. Спасибо за помощь. Понаблюдаю ещё. Если вдруг что - сообщу

С наилучшими.

[gjf]

Всё-таки лог попробуйте сделать и выложить. Мы ведь так ничего и не отловили ещё, инфекция активна.

[MartinMcConnel]

Да, действительно, рассылка спама продолжается.
Лог GMER-а сделал. Кстати, прога предупредила об изменениях в системе вызванных деятельностью руткитов.

[thyrex]

Загрузитесь с LiveCD и удалите C:\WINDOWS\system32\Drivers\meukyu.sys

[gjf]

А ещё лучше - переместите его в архив с паролем virus и пришлите к нам в Карантин.

[MartinMcConnel]

А ещё лучше - переместите его в архив с паролем virus и пришлите к нам в Карантин.

А можно, для чайника в танке, по пунктам объяснить как осуществить эту операцию (как переместить в архив с паролем).

ЗЫ кстати, на данный момент, "больному" стало хуже - система загружается через раз, через синий/черный экран, через ж..у короче
Пока качаю Drweb_LiveCd. Но сначала попробую выслать этот файл Вам Карантином, когда пойму как

[gjf]

1. Загрузитесь с LiveCD.
2. Найдите C:\WINDOWS\system32\Drivers\meukyu.sys.
3. Переместите этот файл в любую другую папку, сожмите там в zip-архив с паролем virus.
4. Загрузитесь в обычном режиме.
5. Пришлите созданный архив в Карантин по красной ссылке вверху этой страницы.

[MartinMcConnel]

Спасибо! Пойду разбираться...

[MartinMcConnel]

3. Переместите этот файл в любую другую папку, сожмите там в zip-архив с паролем virus.

Загрузился с DrWeb Live CD, с помощью Commander'a нашёл этот файл и скопировал в другую папку. Но как заархивировать этот файл, находясь в этом коммандере, не понимаю.
Объясните пожалуйста!

[gjf]

Загрузитесь в обычной системе - думаю, в ней у Вас архиваторов предостаточно для этих целей. Только не забудьте сразу отключить антивирус, а то он убьёт файл до того, как Вы его заархивируете. Включите его после создания архива с паролем.

[MartinMcConnel]

Данный файл, в обычном режиме работы ОС, архивировать невозможно - вылетает следующее окошко (WinRar):
"Диагностические сообщения
Невозможно открыть "такой-то файл"
Присоединенное к системе устройство не работает"

[gjf]

Вы антивирус отключили, как Вам было сказано?

[MartinMcConnel]

Вы антивирус отключили, как Вам было сказано?

Да, пробовал архивировать при отключенном антивирусе (Касперский).

[gjf]

Выложите файл, как есть, на любом ресурсе в сети и скиньте ссылку мне в личном сообщении.

[MartinMcConnel]

И это тоже не получается - вылетает сообщение "файл не найден".
Вот ещё что, если вызвать окно свойств этого файла, в этом окне отсутствуют вкладки "версия" и "сводка".
Кроме этого, в корне лог. диска "D" (папка Windows на "С") появились файлы размером 500 МБ каждый, с названиями .fuse_hidden0000000200000001, .fuse_hidden0000000200000002, и т.д. Семь штук уже

[gjf]

Хорошо, беру таймаут на совещание.

Добавлено через 36 минут

1. Загрузитесь ещё раз с LiveCD.
2. Найдите C:\WINDOWS\system32\Drivers\meukyu.sys
3. Переместите (не скопируйте!) файл в другую папку.
4. Переименуйте файл в drv.111
5. Загрузитесь как обычно, отключите антивирус и заархивируйте файл drv.111 в zip-архив с паролем virus.
6. Пришлите архив в карантин.
7. Файл drv.111 и архив удалите.

Так получилось?