Обнаружен Nukesploit P4ck Activity

[kotzilla]

Здравствуйте!
SEP выдает это сообщение 2-3 раза в минуту.
CureIT`ом проверял - безрезультатно.

Спасайте, парни! ))

[thyrex]

Выполните скрипт в AVZ

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\Documents and Settings\user\Главное меню\Программы\Автозагрузка\updyrb32.exe','');
 QuarantineFile('C:\Documents and Settings\user\Application Data\Dypuv\ewzul.exe','');
 SetServiceStart('mkdrv', 4);
 DeleteService('mkdrv');
 QuarantineFile('C:\WINDOWS\mkdrv.sys','');
 DeleteFile('C:\WINDOWS\mkdrv.sys');
 DeleteFile('C:\Documents and Settings\user\Application Data\Dypuv\ewzul.exe');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','{D72CD2AA-8E4E-D780-A083-FB45879E118F}');
 DeleteFile('C:\Documents and Settings\user\Главное меню\Программы\Автозагрузка\updyrb32.exe');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.

Пришлите карантин согласно Приложения 3 правил по красной ссылке Прислать запрошенный карантин вверху темы

Сделайте новые логи

[kotzilla]

проблема пока не решена (((

[polword]

1.Профиксите в HijackThis

O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Restrictions present
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel present

2. Выполните скрипт в AVZ в безопасном режиме

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(True);
 DeleteFileMask(GetAVZDirectory + 'Quarantine', '*.*', true);
  QuarantineFile('C:\Documents and Settings\user\Главное меню\Программы\Автозагрузка\updyrb32.exe','');
 DeleteFile('C:\Documents and Settings\user\Главное меню\Программы\Автозагрузка\updyrb32.exe');
 BC_ImportAll;
 ExecuteSysClean;
 ExecuteWizard('TSW', 2, 2, true);
 ExecuteWizard('SCU', 2, 2, true);
 RegKeyIntParamWrite('HKLM','SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer','NoDriveTypeAutoRun',221);
 BC_Activate;
 RebootWindows(true);
end.

После перезагрузки:
- выполните такой скрипт

begin
  CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
 end.

- Файл quarantine.zip из папки AVZ загрузите по ссылке Прислать запрошенный карантин вверху темы
- Сделайте повторный лог virusinfo_syscheck.zip;
- Сделайте лог MBAM

[kotzilla]

Результат загрузкиФайл сохранён как 101028_154417_quarantine_4cc96211efa1b.zip
Размер файла 20935
MD5 8797f08c8b7e452a6ec11746540c3e69

вроде SEP перестал ругаться...

[polword]

- удалите в MBAM

Зараженные параметры в реестре:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\option_1 (Rootkit.Agent) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\option_2 (Rootkit.Agent) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\option_3 (Rootkit.Agent) -> No action taken.

Зараженные папки:
C:\Program Files\Common Files\wm\keys (Trojan.KeyLog) -> No action taken.

Зараженные файлы:
C:\Documents and Settings\user\Local Settings\Temp\56.tmp (Spyware.Passwords.XGen) -> No action taken.
C:\Documents and Settings\user\Application Data\avdrn.dat (Malware.Trace) -> No action taken.
C:\Program Files\Common Files\keylog.txt (Malware.Trace) -> No action taken.

[kotzilla]

удалил все что попросили.

[polword]

что с проблемой?

[kotzilla]

да вроде пока нормально. во всяком случае SEP не жалуется.
может какие-нибудь рекомендации будут?

[polword]

- Откройте файл ScanVuln.txt. Выполните из этого файла скрипт в AVZ. В результате работы скрипта будет создан файл - avz_log.txt.
Пройдитесь по ссылкам из файла avz_log.txt и установите все рекомендуемые обновления(если таковые будут).
Перезагрузите компьютер.
Снова выполните этот скрипт и убедитесь, что уязвимости устранены.

[kotzilla]

Большое спасибо!
Можно закрывать ))

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 3
• Обработано файлов: 14
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\documents and settings\\user\\application data\\dypuv\\ewzul.exe - Trojan-Spy.Win32.SpyEyes.cuo ( DrWEB: Trojan.Packed.20771, BitDefender: Gen:Variant.Kazy.351, AVAST4: Win32:MalOb-IJ [Cryp] )
  2. c:\\documents and settings\\user\\главное меню\\программы\\автозагрузка\\updyrb32.exe - Trojan.Win32.Jorik.Bredolab.dk ( DrWEB: Trojan.Botnetlog.126, BitDefender: Rootkit.41015, NOD32: Win32/Agent.RSB trojan, AVAST4: Win32:MalOb-EK [Cryp] )
  3. c:\\windows\\mkdrv.sys - Rootkit.Win32.Qhost.m ( DrWEB: Trojan.NtRootKit.9769, BitDefender: Trojan.Generic.5008328, AVAST4: Win32:Malware-gen )

Рекомендации:

1. Обнаружены троянские программы класса Trojan-PSW/Trojan-Spy - настоятельно рекомендуется поменять все пароли !