Backdoor.Win32.IRCBot

[Johnick]

Доброго времени суток.
Каждый день каспер находит этот вирус Backdoor.Win32.IRCBot.aak
Файл: C:\WINDOWS\system32\dload.exe и благополучно его удаляет, но потом он откуда то опять появляется...
и еще подскажите пожалйста по поводу вложенных фоток из-за чего это может быть?

[Макcим]

Выполните скрипт в AVZ

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\web\related.htm','');
 QuarantineFile('C:\WINDOWS\system32\srvany.exe','');
 QuarantineFile('C:\WINDOWS\System32\Voice.dll','');
 DeleteFile('C:\WINDOWS\system32\dload.exe');
 BC_ImportDeletedList;
 ExecuteSysClean; 
 BC_LogFile(GetAVZDirectory + 'boot_clr.log');
 BC_Activate;
 RebootWindows(true);
end.

После перезагрузки пришлите файлы карантина по правилам раздела "Помогите".
Прикрепите к следующему сообщению файл bclr.log из папки AVZ.

Отключить службу сообщений. Для этого необходимо зайти в консоль управления службами (кнопка "Пуск", "Панель управления", там зайти в группу "Администрирование" и открыть "Службы". Далее в списке служб найти службу сообщений (он так и называется - "Служба сообщений" в русскоязычной XP и "Messanger" в англоязычной) и открыть ее свойства (двойным кликом или через меню "Действие/Свойства". В окне свойств следует нажать кнопку "Стоп" для остановки службы, затем выбрать типа запуска "Отключено" и нажать "ОК".

Адреса в файле HOST Вы сами прописывали? У Вас есть расшареные папки? Ваш компьютер подключен к локальной сети? У Вас файрвол есть?

[Bratez]

Наверно повторю слова кого-то из старожилов форума, но...
IMHO, "фиксить" надо вот это:

Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Т.е., рекомендуется установить SP2 и более поздние обновления.
Скорее всего, Ваша система чистая, а вирус проникает извне через одну из многочисленных уязвимостей.

[PavelA]

Т.е., рекомендуется установить SP2 и более поздние обновления.
Скорее всего, Ваша система чистая, а вирус проникает извне через одну из многочисленных уязвимостей.

К сожалению, винда нелицензионная. Если это проделать, то будет потеря активизации.

[Johnick]

Адреса в файле HOST Вы сами прописывали? У Вас есть расшареные папки? Ваш компьютер подключен к локальной сети? У Вас файрвол есть?

Адреса не я прописывал, папки есть сам расшаривал, локалки нет, файрвола нет.

каспером сейчас еще просканил стало еще веселее

обнаружено: троянская программа Backdoor.Win32.IRCBot.wt Файл: C:\WINDOWS\System32\algose32.exe//PE_Patch//NTKrnl
обнаружено: троянская программа Backdoor.Win32.PoeBot.c Файл: C:\WINDOWS\System32\iexplore.exe//Expressor//UPX
обнаружено: троянская программа Trojan-Proxy.Win32.Agent.mf Файл: C:\WINDOWS\System32\eckflda.exe//Expressor//Polyene
обнаружено: троянская программа Backdoor.Win32.IRCBot.wt Файл: C:\WINDOWS\System32\a.exe//PE_Patch//NTKrnl

[AndreyKa]

По поводу приложенных картинок:
http://z-oleg.com/secur/advice/adv1106.php

Для начала надо дыры в системе залатать. Только после этого лечить.

[Макcим]

Выполните скрипт в AVZ

begin
ClearHostsFile;
end.

папки есть сам расшаривал

С какой целью? Очень может быть, что вирус после лечения проникает в систему повторно через эти самые папки. Нужно это дело не медленно прикрыть.

файрвола нет

Нужно поставить и тоже не медленно. Без него лечение бесполезно. Кроме установки нужно ещё внимательно создать правила, а то толку от него будет мало.
Вирусы, которые нашел Касперской удалили?

[Johnick]

По поводу приложенных картинок:
http://z-oleg.com/secur/advice/adv1106.php

Для начала надо дыры в системе залатать. Только после этого лечить.

ну раньше же такого не было! сколько лет на этой операционке сижу
ет я недели две назад ее переустановил и понеслась...

[drongo]

ну раньше же такого не было! сколько лет на этой операционке сижу
ет я недели две назад ее переустановил и понеслась...

Значит время пришло, до кого то медленно доходит

[Johnick]

Выполните скрипт в AVZ

begin
ClearHostsFile;
end.

С какой целью? Очень может быть, что вирус после лечения проникает в систему повторно через эти самые папки. Нужно это дело не медленно прикрыть.
Нужно поставить и тоже не медленно. Без него лечение бесполезно. Кроме установки нужно ещё внимательно создать правила, а то толку от него будет мало.
Вирусы, которые нашел Касперской удалили?

ок прикрою... файрвол поставил, я его вроде настроил, а есть инструкция для более дитальной настройки?... вирусы удалил

[Макcим]

Повторите логи. Где-то видел в сети такое руководство. Введите в поисковик "Руководство создания безопасной конфигурации в Outpost". Примеры рассмотрены на этом файрволе, но все изложенное применимо к всем файрволом. Просто кнопочки, менюшки будут по другому называться.

[Johnick]

...

[Макcим]

Выполните скрипт в AVZ

begin
 BC_QrFile('C:\WINDOWS\web\related.htm');
 BC_QrFile('C:\WINDOWS\system32\srvany.exe');
 BC_LogFile(GetAVZDirectory + 'boot_clr.log');
 BC_Activate;
RebootWindows(true);
end.

После перезагрузки пришлите файлы карантина по правилам раздела "Помогите".
Прикрепите файл bclr.log из папки AVZ к своему следующему сообщению.

[Johnick]

закачал...

[Макcим]

Файлы чистые Проблема исчезла?

[Johnick]

Да. Спасибо за помощь!

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 2
• Обработано файлов: 3
• В ходе лечения вредоносные программы в карантинах не обнаружены