Помогите прибить подменщика explorera

**Wolant87** · 20.07.2010, 18:08

Здравствуйте, появился в аппликейшн дата файл ogix.exe -
симантек и доктор вэб его не видят. Вроде зловредного ничего не делает активности не проявляет. только перестали присваивать буквы к подключаемым дискам (Диск подключаешь а его как бы и нет - рестартанеш експлорер, тогда все видно) - поэтому и обнаружился ентот файл - так как в реестре создает запись Taskman и прописывает себя в загрузчики разные. Удаление вируса + Чистка и восстановление реестра ничего не дает, после перезагрузки откуда - то загружается опять восстанавливает все записи в реестре и снова ложит свое тельце в аппликейшн дата.
Помогите, пожалуйста!
P/s прикрепил сканы avz + hijack

Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

**Никита Соловьев** · 20.07.2010, 18:09

Сообщение от Wolant87

P/s прикрепил сканы avz + hijack

Куда?

**Wolant87** · 20.07.2010, 18:10

x-files

**Никита Соловьев** · 20.07.2010, 18:13

Где virusinfo_syscure.zip ?

**Wolant87** · 20.07.2010, 18:47

Извините, анй момент!

**polword** · 20.07.2010, 18:52

Протокол антивирусной утилиты AVZ версии 4.27

- это раритет!!!!

- скачайте новую версию AVZ - 4.34
- обновите базы AVZ
- Переделайте логи virusinfo_syscure.zip и virusinfo_syscheck.zip

**Wolant87** · 20.07.2010, 19:05

Есть! нью релиз

**polword** · 20.07.2010, 19:10

1. Профиксите в HijackThis как "профиксить в HiJackThis"

Код:

R3 - URLSearchHook: (no name) - {95289393-33EA-4F8D-B952-483415B9C955} - (no file)
R3 - URLSearchHook: (no name) - {00A6FAF6-072E-44cf-8957-5838F569A31D} - (no file)
R3 - URLSearchHook: (no name) -  - (no file)
R3 - URLSearchHook: (no name) - {855F3B16-6D32-4fe6-8A56-BBB695989046} - (no file)

2. Выполните скрипт в AVZ

Код:

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(True);
 RegKeyStrParamWrite('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon','UserInit', GetEnvironmentVariable ('WinDir')+'\System32\userinit.exe,'); 
 QuarantineFile('C:\WINDOWS\system32\legitcheckcontrol.dll.bak','');
 QuarantineFile('C:\WINDOWS\system32\winlogon.bak','');
 QuarantineFile('C:\WINDOWS\system32\wgatray.exe.bak','');
 QuarantineFile('C:\WINDOWS\system32\wgalogon.dll.bak','');
 QuarantineFile('C:\Documents and Settings\palagina\Application Data\ogix.exe','');
 DeleteFile('C:\Documents and Settings\palagina\Application Data\ogix.exe');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Winlogon','Taskman ');
 BC_ImportAll;
 ExecuteSysClean;
 ExecuteRepair(11);
  ExecuteWizard('TSW', 2, 2, true);
 ExecuteWizard('SCU', 2, 2, true);
 BC_Activate;
 RebootWindows(true);
end.

После перезагрузки:
- выполните такой скрипт

Код:

begin
  CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
 end.

- Файл quarantine.zip из папки AVZ загрузите по ссылке Прислать запрошенный карантин вверху темы
- Сделайте повторные логи по правилам п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip; hijackthis.log)

**Wolant87** · 20.07.2010, 19:58

Сидит на своем месте, гад, и улыбается. Только он раньше был скрытым, а сейчас без атрибутов.

**Wolant87** · 20.07.2010, 20:02

Rfhfynby nj; pfrfxfkcz

"Файл сохранён как 100720_200102_quarantine_4c45c83eb506b.zip"
MD5 eb8597f5ecc7eb9576c9d165b25d277d

**polword** · 20.07.2010, 20:48

- Выполните скрипт в AVZ

Код:

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(True);
 DeleteFileMask(GetAVZDirectory + 'Quarantine', '*.*', true);
 RegKeyStrParamWrite('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon','UserInit', GetEnvironmentVariable ('WinDir')+'\System32\userinit.exe,'); 
 QuarantineFile('\??\c:\windows\system32\winlogon.exe','')
 BC_ImportAll;
 ExecuteSysClean;
 BC_Activate;
 RebootWindows(true);
end.

После перезагрузки:
- выполните такой скрипт

Код:

begin
  CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
 end.

- Файл quarantine.zip из папки AVZ загрузите по ссылке Прислать запрошенный карантин вверху темы
- Сделайте лог MBAM

**Wolant87** · 21.07.2010, 11:12

Карантин готов и МБАМ тоже

**Wolant87** · 21.07.2010, 11:13

Файл сохранён как 100721_111239_quarantine_4c469de700de0.zip

**polword** · 21.07.2010, 11:34

1. удалите в MBAM

Код:

Зараженные ключи в реестре:
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Stats\{00a6faf6-072e-44cf-8957-5838f569a31d} (Adware.MyWebSearch) -> No action taken.
HKEY_USERS\.DEFAULT\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\{494e6cec-7483-a4ee-0938-895519a84bc7} (Backdoor.Bot) -> No action taken.
HKEY_USERS\S-1-5-18\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\{494e6cec-7483-a4ee-0938-895519a84bc7} (Backdoor.Bot) -> No action taken.

Зараженные параметры в реестре:
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Internet Explorer\Toolbar\WebBrowser\{07b18ea9-a523-4961-b6bb-170de4475cca} (Adware.MyWebSearch) -> No action taken.


Зараженные папки:
C:\Documents and Settings\palagina\Application Data\Starware (Adware.Starware) -> No action taken.
C:\Documents and Settings\palagina\Application Data\Starware\BrowserSearch (Adware.Starware) -> No action taken.
C:\Documents and Settings\palagina\Application Data\Starware\ErrorSearch (Adware.Starware) -> No action taken.
C:\Documents and Settings\palagina\Application Data\Starware\Games (Adware.Starware) -> No action taken.
C:\Documents and Settings\palagina\Application Data\Starware\Layouts (Adware.Starware) -> No action taken.
C:\Documents and Settings\palagina\Application Data\Starware\Manager (Adware.Starware) -> No action taken.
C:\Documents and Settings\palagina\Application Data\Starware\Movies (Adware.Starware) -> No action taken.
C:\Documents and Settings\palagina\Application Data\Starware\PopupBlocker (Adware.Starware) -> No action taken.
C:\Documents and Settings\palagina\Application Data\Starware\Reference (Adware.Starware) -> No action taken.
C:\Documents and Settings\palagina\Application Data\Starware\RelatedSearch (Adware.Starware) -> No action taken.
C:\Documents and Settings\palagina\Application Data\Starware\Screensavers (Adware.Starware) -> No action taken.
C:\Documents and Settings\palagina\Application Data\Starware\ScreensaversMarketingSitePager (Adware.Starware) -> No action taken.
C:\Documents and Settings\palagina\Application Data\Starware\SearchAssistPlus (Adware.Starware) -> No action taken.
C:\Documents and Settings\palagina\Application Data\Starware\SearchMatch (Adware.Starware) -> No action taken.
C:\Documents and Settings\palagina\Application Data\Starware\Toolbar (Adware.Starware) -> No action taken.
C:\Documents and Settings\palagina\Application Data\Starware\ToolbarLogo (Adware.Starware) -> No action taken.
C:\Documents and Settings\palagina\Application Data\Starware\ToolbarSearch (Adware.Starware) -> No action taken.
C:\Documents and Settings\palagina\Application Data\Starware\TravelSearch (Adware.Starware) -> No action taken.

Зараженные файлы:
C:\Documents and Settings\palagina\Application Data\Starware\BrowserSearch\BrowserSearch.xml (Adware.Starware) -> No action taken.
C:\Documents and Settings\palagina\Application Data\Starware\BrowserSearch\BrowserSearch.xml.backup (Adware.Starware) -> No action taken.
C:\Documents and Settings\palagina\Application Data\Starware\ErrorSearch\ErrorSearchOptions.xml (Adware.Starware) -> No action taken.
C:\Documents and Settings\palagina\Application Data\Starware\ErrorSearch\ErrorSearchOptions.xml.backup (Adware.Starware) -> No action taken.
C:\Documents and Settings\palagina\Application Data\Starware\Games\GamesOptions.xml (Adware.Starware) -> No action taken.
C:\Documents and Settings\palagina\Application Data\Starware\Games\GamesOptions.xml.backup (Adware.Starware) -> No action taken.
C:\Documents and Settings\palagina\Application Data\Starware\Layouts\PreferencesLayout.xml (Adware.Starware) -> No action taken.
C:\Documents and Settings\palagina\Application Data\Starware\Layouts\PreferencesLayout.xml.backup (Adware.Starware) -> No action taken.
C:\Documents and Settings\palagina\Application Data\Starware\Layouts\ToolbarLayout.xml (Adware.Starware) -> No action taken.
C:\Documents and Settings\palagina\Application Data\Starware\Layouts\ToolbarLayout.xml.backup (Adware.Starware) -> No action taken.
C:\Documents and Settings\palagina\Application Data\Starware\Manager\ManagerOptions.xml (Adware.Starware) -> No action taken.
C:\Documents and Settings\palagina\Application Data\Starware\Manager\ManagerOptions.xml.backup (Adware.Starware) -> No action taken.
C:\Documents and Settings\palagina\Application Data\Starware\Movies\MoviesOptions.xml (Adware.Starware) -> No action taken.
C:\Documents and Settings\palagina\Application Data\Starware\Movies\MoviesOptions.xml.backup (Adware.Starware) -> No action taken.
C:\Documents and Settings\palagina\Application Data\Starware\PopupBlocker\PopupBlockerOptions.xml (Adware.Starware) -> No action taken.
C:\Documents and Settings\palagina\Application Data\Starware\PopupBlocker\PopupBlockerOptions.xml.backup (Adware.Starware) -> No action taken.
C:\Documents and Settings\palagina\Application Data\Starware\Reference\ReferenceOptions.xml (Adware.Starware) -> No action taken.
C:\Documents and Settings\palagina\Application Data\Starware\Reference\ReferenceOptions.xml.backup (Adware.Starware) -> No action taken.
C:\Documents and Settings\palagina\Application Data\Starware\RelatedSearch\RelatedSearchOptions.xml (Adware.Starware) -> No action taken.
C:\Documents and Settings\palagina\Application Data\Starware\RelatedSearch\RelatedSearchOptions.xml.backup (Adware.Starware) -> No action taken.
C:\Documents and Settings\palagina\Application Data\Starware\Screensavers\ScreensaversOptions.xml (Adware.Starware) -> No action taken.
C:\Documents and Settings\palagina\Application Data\Starware\Screensavers\ScreensaversOptions.xml.backup (Adware.Starware) -> No action taken.
C:\Documents and Settings\palagina\Application Data\Starware\ScreensaversMarketingSitePager\ScreensaversMarketingSitePagerOptions.xml (Adware.Starware) -> No action taken.
C:\Documents and Settings\palagina\Application Data\Starware\ScreensaversMarketingSitePager\ScreensaversMarketingSitePagerOptions.xml.backup (Adware.Starware) -> No action taken.
C:\Documents and Settings\palagina\Application Data\Starware\SearchAssistPlus\SearchAssistPlusOptions.xml (Adware.Starware) -> No action taken.
C:\Documents and Settings\palagina\Application Data\Starware\SearchAssistPlus\SearchAssistPlusOptions.xml.backup (Adware.Starware) -> No action taken.
C:\Documents and Settings\palagina\Application Data\Starware\SearchMatch\SearchMatchOptions.xml (Adware.Starware) -> No action taken.
C:\Documents and Settings\palagina\Application Data\Starware\SearchMatch\SearchMatchOptions.xml.backup (Adware.Starware) -> No action taken.
C:\Documents and Settings\palagina\Application Data\Starware\Toolbar\TBProductsOptions.xml (Adware.Starware) -> No action taken.
C:\Documents and Settings\palagina\Application Data\Starware\Toolbar\TBProductsOptions.xml.backup (Adware.Starware) -> No action taken.
C:\Documents and Settings\palagina\Application Data\Starware\ToolbarLogo\ToolbarLogoOptions.xml (Adware.Starware) -> No action taken.
C:\Documents and Settings\palagina\Application Data\Starware\ToolbarLogo\ToolbarLogoOptions.xml.backup (Adware.Starware) -> No action taken.
C:\Documents and Settings\palagina\Application Data\Starware\ToolbarSearch\ToolbarSearchOptions.xml (Adware.Starware) -> No action taken.
C:\Documents and Settings\palagina\Application Data\Starware\ToolbarSearch\ToolbarSearchOptions.xml.backup (Adware.Starware) -> No action taken.
C:\Documents and Settings\palagina\Application Data\Starware\TravelSearch\TravelSearchOptions.xml (Adware.Starware) -> No action taken.
C:\Documents and Settings\palagina\Application Data\Starware\TravelSearch\TravelSearchOptions.xml.backup (Adware.Starware) -> No action taken.

2.Выполните скрипт в AVZ

Код:

begin
  DeleteFileMask(GetAVZDirectory + 'Quarantine', '*.*', true);
  QuarantineFile('C:\WINDOWS\system32\shell31.dll','');
  QuarantineFile('C:\Program Files\Total Commander\Soft\USDownloader\captchaocr\caps_net\test.exe ','');
  CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
 RebootWindows(true);
end.

- Файл quarantine.zip из папки AVZ загрузите по ссылке Прислать запрошенный карантин вверху темы
- Сделайте лог MBAM

**Wolant87** · 22.07.2010, 11:40

Удалил в МБАМ требуемые записи --- закарантинил нечисть!
При сканировании МБАМ - обнаружилась активность Backdoor создание файлов 4.tmp и 6.tmp
они сразу были прибиты местным антивирусником.
После перезагрузки все записи в реестре восстановились, ogix.exe опять сидит в аппликейшн дата.

**Wolant87** · 22.07.2010, 11:50

Карантин сохранён как 100722_114037_quarantine_4c47f5f5e219c.zip

Добавлено через 8 минут

Нашел похожую проблему в теме
[Новая] Taskman ltzqai.exe в Winlogon'e после удаления вновь появляется
--- ее так походу и не решили ... Неужели эту заразу никак не взять руками?

**polword** · 22.07.2010, 13:21

- сделайте лог Combofix

**Wolant87** · 22.07.2010, 18:09

Лог готов!

**polword** · 22.07.2010, 23:20

Скачайте утилиту TDSSKiller
Сохраните текст ниже как run.bat в туже папку где находится TDSSKiller.exe (переименуйте файл именно в это имя)

Код:

TDSSKiller.exe -l C:\log.txt -v

- Все сканирование делайте с правами администратора. Запустите run.bat
- Когда программа отработает, сформируется лог-файл log.txt в корне диска C.
- Прикрепите файл log.txt к сообщению.

- повторите лог Combofix

**Wolant87** · 23.07.2010, 15:06

УРААААААААААААААА!
TDSSKiller показал отсутствие ошибок
Combofix - прищемил большой палец злоподсосу и закинул в карантин.
Спасибо за активную помощь!