Показано с 1 по 10 из 10.

Помогите пожалуйста убить трояны. (заявка № 84258)

  1. #1
    Junior Member Репутация
    Регистрация
    01.06.2010
    Сообщений
    32
    Вес репутации
    24

    Thumbs up Помогите пожалуйста убить трояны.

    Добрый день. Никак не могу убить трояны, т.к. они постоянно восстанавливаются. Cureit находит Trojan.Packed.20385 Trojan.MultiDrop1.17819 И Tool.SMSSend.9
    Логи прилагаю. Спасибо заранее.
    Последний раз редактировалось Sergant07; 15.10.2010 в 12:41.

  2. Реклама
     

  3. #2
    Global Moderator Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для Никита Соловьев
    Регистрация
    15.02.2009
    Сообщений
    12,425
    Вес репутации
    904
    Пофиксите в hijackthis:
    Код:
    F2 - REG:system.ini: UserInit=C:\WINDOWS\System32\userinit.exe,C:\WINDOWS\system32\d69c0346.exe,\\?\globalroot\systemroot\system32\oxgvzBa.exe,\\?\globalroot\systemroot\system32\4852Jt9.exe,\\?\globalroot\systemroot\system32\PszBFMa.exe,\\?\globalroot\systemroot\system32\t3WmJQd.exe,\\?\globalroot\systemroot\system32\kwoSufs.exe,\\?\globalroot\systemroot\system32\4Hyis7i.exe,\\?\globalroot\systemroot\system32\TnbwEBh.exe,\\?\globalroot\systemroot\system32\j5rpSet.exe,\\?\globalroot\systemroot\system32\GV6kkF5.exe,\\?\globalroot\systemroot\system32\SItFv5x.exe,\\?\globalroot\systemroot\system32\lifNIiL.exe,\\?\globalroot\systemroot\system32\pzxbk2A.exe,\\?\globalroot\systemroot\system32\kvg8esO.exe,\\?\globalroot\systemroot\system32\s8p3JLS.exe,\\?\globalroot\systemroot\system32\rIiO0kx.exe,\\?\globalroot\systemroot\system32\jaFQ6nA.exe,\\?\globalroot\systemroot\system32\QL9lgBc.exe,\\?\globalroot\systemroot\system32\BlriUas.exe,\\?\globalroot\systemroot\system32\7ZN523M.exe,\\?\globalroot\systemroot\system32\
    Выполните скрипт в AVZ:
    Код:
    begin
     ClearQuarantine;
     SearchRootkit(true, true);
     SetAVZGuardStatus(true);
     QuarantineFile('C:\WINDOWS\system32\focusmouses.dll','');
     QuarantineFile('C:\WINDOWS\system32\t3WmJQd.exe','');
     QuarantineFile('C:\WINDOWS\system32\s8p3JLS.exe','');
     QuarantineFile('C:\WINDOWS\system32\rIiO0kx.exe','');
     QuarantineFile('C:\WINDOWS\system32\pzxbk2A.exe','');
     QuarantineFile('C:\WINDOWS\system32\oxgvzBa.exe','');
     QuarantineFile('C:\WINDOWS\system32\lifNIiL.exe','');
     QuarantineFile('C:\WINDOWS\system32\kwoSufs.exe','');
     QuarantineFile('C:\WINDOWS\system32\kvg8esO.exe','');
     QuarantineFile('C:\WINDOWS\system32\jaFQ6nA.exe','');
     QuarantineFile('C:\WINDOWS\system32\j5rpSet.exe','');
     QuarantineFile('C:\WINDOWS\system32\hp6ns0n.exe','');
     QuarantineFile('C:\WINDOWS\system32\TnbwEBh.exe','');
     QuarantineFile('C:\WINDOWS\system32\SItFv5x.exe','');
     QuarantineFile('C:\WINDOWS\system32\PszBFMa.exe','');
     QuarantineFile('C:\WINDOWS\system32\QL9lgBc.exe','');
     QuarantineFile('C:\WINDOWS\system32\GV6kkF5.exe','');
     QuarantineFile('C:\WINDOWS\system32\BlriUas.exe','');
     QuarantineFile('C:\WINDOWS\system32\7ZN523M.exe','');
     QuarantineFile('C:\WINDOWS\system32\4Hyis7i.exe','');
     QuarantineFile('C:\WINDOWS\system32\4852Jt9.exe','');
     QuarantineFile('C:\WINDOWS\system32\12ss1pz.exe','');
     QuarantineFile('C:\WINDOWS\system32\d69c0346.exe','');
     DeleteFile('C:\WINDOWS\system32\d69c0346.exe');
     DeleteFile('C:\WINDOWS\system32\12ss1pz.exe');
     DeleteFile('C:\WINDOWS\system32\4852Jt9.exe');
     DeleteFile('C:\WINDOWS\system32\4Hyis7i.exe');
     DeleteFile('C:\WINDOWS\system32\7ZN523M.exe');
     DeleteFile('C:\WINDOWS\system32\BlriUas.exe');
     DeleteFile('C:\WINDOWS\system32\GV6kkF5.exe');
     DeleteFile('C:\WINDOWS\system32\QL9lgBc.exe');
     DeleteFile('C:\WINDOWS\system32\PszBFMa.exe');
     DeleteFile('C:\WINDOWS\system32\SItFv5x.exe');
     DeleteFile('C:\WINDOWS\system32\TnbwEBh.exe');
     DeleteFile('C:\WINDOWS\system32\hp6ns0n.exe');
     DeleteFile('C:\WINDOWS\system32\j5rpSet.exe');
     DeleteFile('C:\WINDOWS\system32\jaFQ6nA.exe');
     DeleteFile('C:\WINDOWS\system32\kvg8esO.exe');
     DeleteFile('C:\WINDOWS\system32\kwoSufs.exe');
     DeleteFile('C:\WINDOWS\system32\lifNIiL.exe');
     DeleteFile('C:\WINDOWS\system32\oxgvzBa.exe');
     DeleteFile('C:\WINDOWS\system32\pzxbk2A.exe');
     DeleteFile('C:\WINDOWS\system32\rIiO0kx.exe');
     DeleteFile('C:\WINDOWS\system32\s8p3JLS.exe');
     DeleteFile('C:\WINDOWS\system32\t3WmJQd.exe');
     DeleteFile('C:\System Volume Information\_restore{2B5854BD-1D01-4A45-BC76-2C8FB9F658FB}\RP13\A0002523.exe');
     BC_ImportALL;
     ExecuteSysClean;
     ExecuteWizard('TSW',2 ,2 ,true);
     BC_Activate;
     RebootWindows(true);
    end.
    После выполнения скрипта компьютер перезагрузится.

    После перезагрузки пришлите попавшие в карантин файлы согласно правилам (для отправки файлов следует воспользоваться ссылкой "Прислать запрошенный карантин" над первым сообщением темы)

    Скачайте RSIT. Запустите, выберите проверку файлов за последние три месяца и нажмите продолжить. Должны открыться два отчета log.txt и info.txt. Прикрепите их к следующему сообщению. Если вы их закрыли, то логи по умолчанию сохраняются в одноименной папке (RSIT) в корне системного диска.

    + Сделайте новые логи

  4. #3
    Junior Member Репутация
    Регистрация
    01.06.2010
    Сообщений
    32
    Вес репутации
    24
    Скрипт выполнил.Логи прилагаю.
    Последний раз редактировалось Sergant07; 15.10.2010 в 12:41.

  5. #4
    Visiting Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    23.06.2009
    Адрес
    Пермь
    Сообщений
    11,186
    Вес репутации
    524
    - Выполните скрипт в AVZ
    Код:
    begin
     SearchRootkit(true, true);
     SetAVZGuardStatus(True);
     DeleteFileMask(GetAVZDirectory + 'Quarantine', '*.*', true);
     QuarantineFile('C:\WINDOWS\system32\aTNHE3H.exe','');
     QuarantineFile('C:\WINDOWS\system32\Va5ZAPm.exe','');
     QuarantineFile('C:\WINDOWS\system32\FLic6H3.exe','');
     QuarantineFile('C:\WINDOWS\system32\KQaHSDo.exe','');
     DeleteFile('C:\WINDOWS\system32\aTNHE3H.exe');
     DeleteFile('C:\WINDOWS\system32\Va5ZAPm.exe');
     DeleteFile('C:\WINDOWS\system32\FLic6H3.exe');
     DeleteFile('C:\WINDOWS\system32\KQaHSDo.exe');
     QuarantineFile('C:\WINDOWS\system32\9bWMKDR.exe','');
     QuarantineFile('C:\WINDOWS\system32\kFNUoND.exe','');
     QuarantineFile('C:\WINDOWS\system32\WTLQSgo.exe','');
     QuarantineFile('C:\WINDOWS\system32\TCuyRkC.exe','');
     DeleteFile('C:\WINDOWS\system32\9bWMKDR.exe');
     DeleteFile('C:\WINDOWS\system32\kFNUoND.exe');
     DeleteFile('C:\WINDOWS\system32\WTLQSgo.exe');
     DeleteFile('C:\WINDOWS\system32\TCuyRkC.exe');
     QuarantineFile('C:\WINDOWS\system32\QU3I0ON.exe','');
     QuarantineFile('C:\WINDOWS\system32\wzF1eDD.exe','');
     QuarantineFile('C:\WINDOWS\system32\d3Wjff7.exe','');
     QuarantineFile('C:\WINDOWS\system32\Cq3FJ3m.exe','');
     DeleteFile('C:\WINDOWS\system32\QU3I0ON.exe');
     DeleteFile('C:\WINDOWS\system32\wzF1eDD.exe');
     DeleteFile('C:\WINDOWS\system32\d3Wjff7.exe');
     DeleteFile('C:\WINDOWS\system32\Cq3FJ3m.exe');
     QuarantineFile('C:\WINDOWS\system32\XojuiL5.exe','');
     QuarantineFile('C:\WINDOWS\system32\Q3fjbFH.exe','');
     QuarantineFile('C:\WINDOWS\system32\0riK3L7.exe','');
     QuarantineFile('C:\WINDOWS\system32\fjhdyfhsn.bat','');
     DeleteFile('C:\WINDOWS\system32\XojuiL5.exe');
     DeleteFile('C:\WINDOWS\system32\Q3fjbFH.exe');
     DeleteFile('C:\WINDOWS\system32\0riK3L7.exe');
     DeleteFile('C:\WINDOWS\system32\fjhdyfhsn.bat');
     QuarantineFile('C:\WINDOWS\system32\focusmouses.dll','');
     BC_ImportAll;
     ExecuteSysClean;
     ExecuteWizard('SCU', 2, 2, true);
     BC_Activate;
     RebootWindows(true);
    end.
    После перезагрузки:
    - выполните такой скрипт
    Код:
    begin
      CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
     end.
    - Файл quarantine.zip из папки AVZ загрузите по ссылке Прислать запрошенный карантин вверху темы
    - Сделайте повторный лог RSIT

  6. #5
    Junior Member Репутация
    Регистрация
    01.06.2010
    Сообщений
    32
    Вес репутации
    24
    Выполнил.Повторный лог RSIT прилагаю.
    Последний раз редактировалось Sergant07; 15.10.2010 в 12:41.

  7. #6
    Visiting Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    23.06.2009
    Адрес
    Пермь
    Сообщений
    11,186
    Вес репутации
    524
    - Выполните скрипт в AVZ
    Код:
    begin
     SearchRootkit(true, true);
     SetAVZGuardStatus(True);
     DeleteFileMask(GetAVZDirectory + 'Quarantine', '*.*', true);
     DelBHO('{24783612-0199-4A37-B205-847853E151C6}');
     DelBHO('{7E853D72-626A-48EC-A868-BA8D5E23E045}');
     DeleteFile('C:\WINDOWS\system32\focusmouses.dll');
     BC_ImportAll;
     ExecuteSysClean;
     BC_Activate;
     RebootWindows(true);
    end.
    После перезагрузки:
    - Сделайте повторный лог virusinfo_syscheck.zip;

  8. #7
    Junior Member Репутация
    Регистрация
    01.06.2010
    Сообщений
    32
    Вес репутации
    24
    Выполнил.Компьютер начал работать быстрее.Лог прилагаю.
    Последний раз редактировалось Sergant07; 15.10.2010 в 12:41.

  9. #8
    Visiting Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    23.06.2009
    Адрес
    Пермь
    Сообщений
    11,186
    Вес репутации
    524
    Профиксите в HijackThis как "профиксить в HiJackThis"
    Код:
    O2 - BHO: VixD Net edt. Class - {24783612-0199-4A37-B205-847853E151C6} - C:\WINDOWS\system32\focusmouses.dll (file missing)
    O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)
    O20 - Winlogon Notify: ddsntdll - ddsntdll.d (file missing)
    больше подозрительного нет.

    Обновите систему
    - SP2 обновите до Service Pack 3(может потребоваться активация)
    * Перед установкой Сервис Пака необходимо выгрузить антивирус, файрвол, а так же резидентные приложения типа TeaTimer (Spybot Search and Destroy) и др.)
    * Microsoft остановил поддержку и выпуск обновлений безопасности для ОС Windows XP без установленного SP3
    - Установите Internet-Explorer 8.(даже если Вы его не используете)
    - Поставте все последние обновления системы Windows - тут
    - поставте Adobe Reader 9.3 или удалите старый.

    После обновления:
    - Откройте файл ScanVuln.txt. Выполните из этого файла скрипт в AVZ. В результате работы скрипта будет создан файл - avz_log.txt.
    Пройдитесь по ссылкам из файла avz_log.txt и установите все рекомендуемые обновления(если таковые будут).
    Перезагрузите компьютер.
    Снова выполните этот скрипт и убедитесь, что уязвимости устранены.

  10. #9
    Junior Member Репутация
    Регистрация
    01.06.2010
    Сообщений
    32
    Вес репутации
    24
    Большое спасибо за помощь

  11. #10
    Cybernetic Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    29.12.2008
    Сообщений
    47,506
    Вес репутации
    940

    Итог лечения

    Статистика проведенного лечения:
    • Получено карантинов: 2
    • Обработано файлов: 51
    • В ходе лечения обнаружены вредоносные программы:
      1. c:\system volume information\_restore{2b5854bd-1d01-4a45-bc76-2c8fb9f658fb}\rp13\a0002523.exe - Packed.Win32.Krap.ao ( DrWEB: Trojan.Botnetlog.126, BitDefender: Gen:Variant.Ursnif.8, AVAST4: Win32:Crypt-GIR [Drp] )
      2. c:\windows\system32\atnhe3h.exe - Packed.Win32.Krap.hr ( DrWEB: Trojan.Packed.20771, BitDefender: Gen:Variant.Zbot.15, AVAST4: Win32:MalOb-BW [Cryp] )
      3. c:\windows\system32\cq3fj3m.exe - Backdoor.Win32.Shiz.gen ( DrWEB: Trojan.PWS.Ibank.60, AVAST4: Win32:Malware-gen )
      4. c:\windows\system32\d3wjff7.exe - Backdoor.Win32.Shiz.mz ( DrWEB: Trojan.Packed.20771, BitDefender: Gen:Variant.Zbot.15, NOD32: Win32/Spy.Shiz.NAL trojan, AVAST4: Win32:MalOb-BW [Cryp] )
      5. c:\windows\system32\flic6h3.exe - Backdoor.Win32.Shiz.gen ( DrWEB: Trojan.Packed.20771, BitDefender: Gen:Trojan.Heur.FU.gq0@aGPIaygi, AVAST4: Win32:MalOb-BW [Cryp] )
      6. c:\windows\system32\kfnuond.exe - Backdoor.Win32.Shiz.gen ( DrWEB: Trojan.Packed.20771, BitDefender: Gen:Variant.Zbot.15, AVAST4: Win32:MalOb-BW [Cryp] )
      7. c:\windows\system32\kqahsdo.exe - Backdoor.Win32.Shiz.gen ( DrWEB: Trojan.Packed.20771, BitDefender: Gen:Trojan.Heur.FU.gq0@aWhAPshi, AVAST4: Win32:MalOb-BW [Cryp] )
      8. c:\windows\system32\qu3i0on.exe - Backdoor.Win32.Shiz.gen ( DrWEB: Trojan.Packed.20771, BitDefender: Gen:Variant.Zbot.15, AVAST4: Win32:MalOb-BW [Cryp] )
      9. c:\windows\system32\q3fjbfh.exe - Trojan.Win32.Jorik.Shiz.bs ( DrWEB: Trojan.Packed.20771, BitDefender: Gen:Variant.Zbot.15, NOD32: Win32/Spy.Shiz.NAL trojan, AVAST4: Win32:MalOb-BW [Cryp] )
      10. c:\windows\system32\tcuyrkc.exe - Backdoor.Win32.Shiz.gen ( DrWEB: Trojan.PWS.Ibank.65, AVAST4: Win32:Malware-gen )
      11. c:\windows\system32\va5zapm.exe - Trojan.Win32.Jorik.Shiz.ci ( DrWEB: Trojan.Packed.20771, BitDefender: Gen:Trojan.Heur.FU.gqW@aCzXN3ai )
      12. c:\windows\system32\wtlqsgo.exe - Backdoor.Win32.Shiz.gen ( DrWEB: Trojan.Packed.20771, BitDefender: Gen:Variant.Zbot.15, AVAST4: Win32:MalOb-BW [Cryp] )
      13. c:\windows\system32\wzf1edd.exe - Backdoor.Win32.Shiz.mz ( DrWEB: Trojan.Packed.20771, BitDefender: Gen:Variant.Zbot.15, NOD32: Win32/Spy.Shiz.NAL trojan, AVAST4: Win32:MalOb-BW [Cryp] )
      14. c:\windows\system32\xojuil5.exe - Backdoor.Win32.Shiz.gen ( DrWEB: Trojan.PWS.Ibank.53, AVAST4: Win32:Malware-gen )
      15. c:\windows\system32\0rik3l7.exe - Backdoor.Win32.Shiz.jk ( DrWEB: Trojan.Packed.20771, BitDefender: Gen:Trojan.Heur.FU.hq0@aGQxcPbi )
      16. c:\windows\system32\9bwmkdr.exe - Backdoor.Win32.Shiz.gen ( AVAST4: Win32:Rootkit-gen [Rtk] )


  • Уважаемый(ая) Sergant07, наши специалисты оказали Вам всю возможную помощь по вашему обращению.

    В целях поддержания безопасности вашего компьютера настоятельно рекомендуем:


    Надеемся больше никогда не увидеть ваш компьютер зараженным!

    Если Вас не затруднит, пополните пожалуйста нашу базу безопасных файлов.
  • Присоединяйтесь к нам в соцсетях!

    Мы делаем все возможное, чтобы помогать людям в защите и лечении компьютеров.

    Похожие темы

    1. Помогите убить Conficker пожалуйста!
      От mic149 в разделе Помогите!
      Ответов: 8
      Последнее сообщение: 07.04.2011, 16:11
    2. Ответов: 5
      Последнее сообщение: 07.08.2010, 17:48
    3. Помогите пожалуйста убить трояны Trojan.Packed
      От Sergant07 в разделе Помогите!
      Ответов: 10
      Последнее сообщение: 05.08.2010, 10:46
    4. Помогите убить z-connect пожалуйста!!!
      От AFI в разделе Помогите!
      Ответов: 4
      Последнее сообщение: 31.03.2010, 23:40
    5. Помогите пожалуйста убить Conficker.AA
      От SenyaGanjubas в разделе Помогите!
      Ответов: 1
      Последнее сообщение: 20.02.2009, 10:46

    Свернуть/Развернуть Ваши права в разделе

    • Вы не можете создавать новые темы
    • Вы не можете отвечать в темах
    • Вы не можете прикреплять вложения
    • Вы не можете редактировать свои сообщения
    •  
    Page generated in 0.00245 seconds with 21 queries