Показано с 1 по 20 из 20.

Непойманные вирусы (заявка № 92845)

  1. #1
    Junior Member Репутация
    Регистрация
    02.12.2010
    Сообщений
    13
    Вес репутации
    23

    Question Непойманные вирусы

    Суть такова:
    Серфя инет начали внезапно закачиваться и открываться некие a.exe и netprotocol.exe Касперский (который стоит на жесткой проверке) их пропустил и автоматом добавил в доверенные. Мои глаза при этим стали вот такими O____O

    Последствия:
    1) Перестал загружатся ОгнеЛис, в других браузерах не может воспроизводить звуки
    2) процесс csrss.exe Начал сильно нагружать проц
    3) Войдя в почту, увидел что на нее заходили с чужого.. Китайского IP

    Пока пишу это сообщения на месте курсора внезапно появилось штук 20 слов "test"

    Чую уже удаленное администрирование идет.

    Проверки CureIT и касперским ничего не дали...
    Вложения Вложения

  2. Реклама
     

  3. #2
    Administrator Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для olejah
    Регистрация
    08.03.2010
    Адрес
    Россия, Краснодар
    Сообщений
    11,044
    Вес репутации
    1254
    Закройте все программы
    Отключите
    - ПК от интернета/локалки.
    - Антивирус и Файрвол
    - Системное восстановление

    Пофиксите в hijackthis -

    Код:
    R3 - URLSearchHook: (no name) -  - (no file)
    Выполните скрипт в АВЗ -

    Код:
    begin
     SearchRootkit(true, true);
     SetAVZGuardStatus(true);
     DeleteFileMask(GetAVZDirectory + 'Quarantine', '*.*', true);
     DeleteService('axaraqj');
     QuarantineFile('C:\WINDOWS\system32\02.tmp','');
     QuarantineFile('C:\Program Files\Internet Explorer\setupapi.dll','');
     QuarantineFile('C:\RECYCLER\S-1-5-21-1482476501-1644491937-682003330-1033\netsrv.exe','');
     QuarantineFile('c:\windows\system32\dewulale.dll','');
     QuarantineFile('c:\windows\system32\gadapobo.dll','');
     QuarantineFile('c:\windows\system32\lepefihi.dll','');
     QuarantineFile('z:\steam_cr\steam.exe','');
     QuarantineFile('C:\WINDOWS\system32\lejorude.dll','');
     DeleteFile('C:\RECYCLER\S-1-5-21-1482476501-1644491937-682003330-1033\netsrv.exe');
     RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Internet Firewall Protection');
     DeleteFile('C:\Program Files\Internet Explorer\setupapi.dll');
     RegKeyParamDel('HKEY_LOCAL_MACHINE','System\CurrentControlSet\Control\Session Manager\AppCertDlls','DefaultVerifier');
     DeleteFile('C:\WINDOWS\system32\02.tmp');
     BC_DeleteSvc('axaraqj');
     BC_ImportAll;
     ExecuteSysClean;
     BC_Activate;
     RebootWindows(true);
    end.
    После выполнения скрипта компьютер перезагрузится.

    После перезагрузки:
    - выполните такой скрипт

    Код:
    begin
      CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
     end.
    Пришлите файл quarantine.zip из папки AVZ по ссылке Прислать запрошенный карантин над первым сообщением этой темы.

    - Сделайте лог Гмер

    - Какие браузеры, кроме Ие, установлены?

  4. #3
    Junior Member Репутация
    Регистрация
    02.12.2010
    Сообщений
    13
    Вес репутации
    23
    Карантин отослан.

    Браузеры:
    ФФ - Основной. в 99% случаев пользуюсь им.
    Опера, Хром

    В данный момент производится скан Гмер. Уж очень долгий.. но уже вижу что есть изменения в svchost

    После полного скана- приложу.

  5. #4
    Junior Member Репутация
    Регистрация
    02.12.2010
    Сообщений
    13
    Вес репутации
    23
    Найдена руткит Активность. Лог Гмера:
    Вложения Вложения
    • Тип файла: log gmer.log (107.7 Кб, 7 просмотров)

  6. #5
    Administrator Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для olejah
    Регистрация
    08.03.2010
    Адрес
    Россия, Краснодар
    Сообщений
    11,044
    Вес репутации
    1254
    - Сохраните текст ниже как 1.bat в ту же папку, где находится g0hnkcg6.exe(GMER) и запустите этот батник(1.bat):

    Код:
    g0hnkcg6.exe -del service usaxa
    g0hnkcg6.exe -del file "C:\WINDOWS\system32\vxzgldoq.dll"
    g0hnkcg6.exe -del file "C:\Program Files\Mozilla Firefox\setupapi.dll"
    g0hnkcg6.exe -del file "C:\Program Files\Opera\setupapi.dll"
    g0hnkcg6.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\usaxa"
    g0hnkcg6.exe -del reg "HKLM\SYSTEM\ControlSet002\Services\usaxa"
    g0hnkcg6.exe -reboot
    Компьютер перезагрузится.

    После перезагрузки:
    - Сделайте повторные логи АВЗ
    - Сделайте новый лог Gmer

  7. #6
    Junior Member Репутация
    Регистрация
    02.12.2010
    Сообщений
    13
    Вес репутации
    23
    Логи АВЗ повторил. Приложил. Во время скана была открыта опера.

    Сейчас сканится Гмер... очень долго. Но по первому опыту он находит все за 5 минут, а остальной час он ничего не находит. И тупо перебирает все файлы.

    ФФ так и падает при открытии. Остальные браузеры работают нормально, но чую, что что-то есть.
    Вложения Вложения
    Последний раз редактировалось Xmstr; 02.12.2010 в 23:05.

  8. #7
    Junior Member Репутация
    Регистрация
    02.12.2010
    Сообщений
    13
    Вес репутации
    23
    Наконец... вот и он! Мистер Гмер
    Вложения Вложения
    • Тип файла: log gmer2.log (101.0 Кб, 5 просмотров)

  9. #8
    Administrator Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для olejah
    Регистрация
    08.03.2010
    Адрес
    Россия, Краснодар
    Сообщений
    11,044
    Вес репутации
    1254

  10. #9
    Junior Member Репутация
    Регистрация
    02.12.2010
    Сообщений
    13
    Вес репутации
    23
    Полное МБАМ. Полсотни инфицировано.
    Вложения Вложения

  11. #10
    Visiting Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    28.05.2009
    Сообщений
    3,677
    Вес репутации
    195
    Удалите в mbam
    Код:
    Заражённые ключи в реестре:
    HKEY_CLASSES_ROOT\CLSID\{6D794CB4-C7CD-4c6f-BFDC-9B77AFBDC02C} (Trojan.Vundo) -> No action taken.
    HKEY_CLASSES_ROOT\CLSID\{EC43E3FD-5C60-46a6-97D7-E0B85DBDD6C4} (Trojan.BHO) -> No action taken.
    HKEY_CLASSES_ROOT\idid (Trojan.Sasfix) -> No action taken.
    HKEY_CURRENT_USER\SOFTWARE\Microsoft\cs41275 (Malware.Trace) -> No action taken.
    HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\contim (Trojan.Vundo) -> No action taken.
    HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\dslcnnct (Trojan.Vundo) -> No action taken.
    HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\rdfa (Trojan.Vundo) -> No action taken.
    
    Заражённые параметры в реестре:
    HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks\{6D794CB4-C7CD-4C6F-BFDC-9B77AFBDC02C} (Trojan.Vundo) -> Value: {6D794CB4-C7CD-4C6F-BFDC-9B77AFBDC02C} -> No action taken.
    HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\SharedTaskScheduler\{EC43E3FD-5C60-46A6-97D7-E0B85DBDD6C4} (Trojan.BHO) -> Value: {EC43E3FD-5C60-46A6-97D7-E0B85DBDD6C4} -> No action taken.
    HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\SharedTaskScheduler\{EC43E3FD-5C60-46a6-97D7-E0B85DBDD6C4} (Trojan.BHO) -> Value: {EC43E3FD-5C60-46a6-97D7-E0B85DBDD6C4} -> No action taken.
    HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks\{6D794CB4-C7CD-4c6f-BFDC-9B77AFBDC02C} (Trojan.Vundo) -> Value: {6D794CB4-C7CD-4c6f-BFDC-9B77AFBDC02C} -> No action taken.
    HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\option_1 (Rootkit.Agent) -> Value: option_1 -> No action taken.
    HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\option_2 (Rootkit.Agent) -> Value: option_2 -> No action taken.
    HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\option_3 (Rootkit.Agent) -> Value: option_3 -> No action taken.
    HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad\SSODL (Trojan.Agent) -> Value: SSODL -> No action taken.
    
    Заражённые папки:
    c:\documents and settings\X-MaStER\application data\gadcom (Trojan.Agent) -> No action taken.
    
    Заражённые файлы:
    c:\documents and settings\X-MaStER\application data\gpupdate.dat (Malware.Trace) -> No action taken.
    c:\documents and settings\X-MaStER\application data\usernt.dat (Malware.Trace) -> No action taken.
    c:\documents and settings\X-MaStER\application data\wiaserva.log (Malware.Trace) -> No action taken.
    c:\program files\common files\keylog.txt (Malware.Trace) -> No action taken.
    c:\WINDOWS\system32\_id.dat (Malware.Trace) -> No action taken.
    c:\WINDOWS\system32\bukatake.dll (Trojan.Vundo) -> No action taken.
    c:\WINDOWS\system32\diyohobe.dll (Trojan.Vundo) -> No action taken.
    c:\WINDOWS\system32\doriyubi.dll (Trojan.Vundo) -> No action taken.
    c:\WINDOWS\system32\fevihife.dll (Trojan.Vundo) -> No action taken.
    c:\WINDOWS\system32\figohele.dll (Trojan.Vundo) -> No action taken.
    c:\WINDOWS\system32\gukehere.dll (Trojan.Vundo) -> No action taken.
    c:\WINDOWS\system32\hagebuzi.dll (Trojan.Vundo) -> No action taken.
    c:\WINDOWS\system32\hohokaza.dll (Trojan.Vundo) -> No action taken.
    c:\WINDOWS\system32\horijavu.dll (Trojan.Vundo) -> No action taken.
    c:\WINDOWS\system32\jifetahi.dll (Trojan.Vundo.N) -> No action taken.
    c:\WINDOWS\system32\jiwusomo.dll (Trojan.Vundo) -> No action taken.
    c:\WINDOWS\system32\jovijora.dll (Trojan.Vundo) -> No action taken.
    c:\WINDOWS\system32\jozoyona.dll (Trojan.Vundo) -> No action taken.
    c:\WINDOWS\system32\judopuje.dll (Trojan.Vundo) -> No action taken.
    c:\WINDOWS\system32\kedohugu.dll (Trojan.Vundo) -> No action taken.
    c:\WINDOWS\system32\ketahope.dll (Trojan.Vundo) -> No action taken.
    c:\WINDOWS\system32\kuyajome.dll (Trojan.Vundo) -> No action taken.
    c:\WINDOWS\system32\nugevozi.dll (Trojan.Vundo) -> No action taken.
    c:\WINDOWS\system32\puzominu.dll (Trojan.Vundo.N) -> No action taken.
    c:\WINDOWS\system32\rojisabo.dll (Trojan.Vundo) -> No action taken.
    c:\WINDOWS\system32\sfcfiles.dll (Trojan.Patched) -> No action taken.
    c:\WINDOWS\system32\silohuru.dll (Trojan.Vundo) -> No action taken.
    c:\WINDOWS\system32\tipukuvu.dll (Trojan.Vundo) -> No action taken.
    c:\WINDOWS\system32\topapope.dll (Trojan.Vundo) -> No action taken.
    c:\WINDOWS\system32\torajigu.dll (Trojan.Vundo) -> No action taken.
    c:\WINDOWS\system32\vozafiwu.dll (Trojan.Vundo) -> No action taken.
    c:\WINDOWS\system32\welolazu.dll (Trojan.Vundo) -> No action taken.
    c:\WINDOWS\system32\yuwowijo.dll (Trojan.Vundo) -> No action taken.
    c:\WINDOWS\system32\zotokohu.dll (Trojan.Vundo) -> No action taken.
    Сделайте новый лог mbam

  12. #11
    Junior Member Репутация
    Регистрация
    02.12.2010
    Сообщений
    13
    Вес репутации
    23
    Не сказали что можно сразу удалять... теперь опять 9 часов сканирования... эххххх

  13. #12
    Junior Member Репутация
    Регистрация
    02.12.2010
    Сообщений
    13
    Вес репутации
    23
    После сканирования и удаления вирусов в mbam. Система вошла в бесконечный цикл ребутов с БСОДами. Пришлось воостановить систему с диска.

    После восстановления. ФФ начал таки запускаться, но что-то еще сидит:
    1) Через 30-40 минут наступает TCP/IP лимит.. халф опен и сайты не открываются
    2) так же csrss.exe может выжрать почти весь проц.

    ПОлная проверка mbam может зависнуть на любом моменте. Быстрая проверка говорит что все чисто.

    Что советуете? Может повторить логи АВЗ ?
    Последний раз редактировалось Xmstr; 05.12.2010 в 12:18.

  14. #13
    Administrator Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для olejah
    Регистрация
    08.03.2010
    Адрес
    Россия, Краснодар
    Сообщений
    11,044
    Вес репутации
    1254
    Файл c:\WINDOWS\system32\sfcfiles.dll восстановите с дистрибутива.

    - Сделайте новые логи АВЗ

  15. #14
    Junior Member Репутация
    Регистрация
    02.12.2010
    Сообщений
    13
    Вес репутации
    23
    Сделано.

    Так же частенько базы Касперыча оказываются повреждены. Прямо как при проблемах харда. Но чекдиск говорит что все ОК.

    Производительность 3D приложений упала. Но все это вероятно из-за нагрузки проца от csrss.exe
    Вложения Вложения

  16. #15
    Global Moderator Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    26.12.2006
    Адрес
    Vladivostok
    Сообщений
    23,300
    Вес репутации
    1551
    Выполните скрипт в AVZ:
    Код:
    begin
    SetAVZGuardStatus(True);
     DelBHO('{e9bf7ac2-e757-4dfa-a725-0030bf631f43}');
     DeleteFile('C:\WINDOWS\system32\drivers\dwprot.sys');
     DeleteFile('C:\WINDOWS\system32\dewulale.dll');
     DeleteFile('C:\WINDOWS\system32\gadapobo.dll');
     DeleteFile('C:\WINDOWS\system32\jijeruwa.dll');
     DeleteFile('c:\windows\system32\dewulale.dll');
     DeleteFile('c:\windows\system32\gadapobo.dll');
     DeleteFile('c:\windows\system32\lepefihi.dll');
     DeleteFile('C:\WINDOWS\system32\lejorude.dll');
    ExecuteSysClean;
    RegKeyStrParamWrite( 'HKLM', 'SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows', 'AppInit_DLLs', 'C:\WINDOWS\system32\vksaver.dll,C:\PROGRA~1\KASPER~1\KASPER~3\mzvkbd3.dll');
    RebootWindows(true);
    end.
    Компьютер перезагрузится.
    Сделайте новые логи (только п.2 и 3 раздела Диагностика).
    I am not young enough to know everything...

  17. #16
    Junior Member Репутация
    Регистрация
    02.12.2010
    Сообщений
    13
    Вес репутации
    23
    Сделано.

    csrss все так же грузит. TCP/IP лимит все так же заполняется. Может даже за 5 минут... Спасает только ребут.
    Вложения Вложения

  18. #17
    Administrator Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для olejah
    Регистрация
    08.03.2010
    Адрес
    Россия, Краснодар
    Сообщений
    11,044
    Вес репутации
    1254
    Откройте секрет, у Вас какой Сервис Пак, второй или третий? В логах то второй, то третий. Прокомментируйте.

  19. #18
    Junior Member Репутация
    Регистрация
    02.12.2010
    Сообщений
    13
    Вес репутации
    23
    На деле второй. В логах был третий - приходилось изменять ключ в реестре для запуска пресловутой GTA4 ^__^

    Так что второй. (Тем более после восстановления с дистрибутива).

    Вы сейчас посоветуете установить СП3 и Обновления на ИЕ8 ^_____^

  20. #19
    Administrator Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для olejah
    Регистрация
    08.03.2010
    Адрес
    Россия, Краснодар
    Сообщений
    11,044
    Вес репутации
    1254
    Выполните процедуру, описанную в первом сообщении этой темы - http://virusinfo.info/showthread.php?t=3519

    Ссылку на результат приложите сюда.

  21. #20
    Cybernetic Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    29.12.2008
    Сообщений
    47,562
    Вес репутации
    942

    Итог лечения

    Статистика проведенного лечения:
    • Получено карантинов: 1
    • Обработано файлов: 16
    • В ходе лечения вредоносные программы в карантинах не обнаружены


  • Уважаемый(ая) Xmstr, наши специалисты оказали Вам всю возможную помощь по вашему обращению.

    В целях поддержания безопасности вашего компьютера настоятельно рекомендуем:


    Надеемся больше никогда не увидеть ваш компьютер зараженным!

    Если Вас не затруднит, пополните пожалуйста нашу базу безопасных файлов.
  • Присоединяйтесь к нам в соцсетях!

    Мы делаем все возможное, чтобы помогать людям в защите и лечении компьютеров.

    Похожие темы

    1. Вирусы-картинки и вирусы-музыка?
      От catmen08 в разделе Общая сетевая безопасность
      Ответов: 16
      Последнее сообщение: 04.05.2010, 17:01
    2. Ответов: 1
      Последнее сообщение: 09.04.2010, 18:00
    3. Подозрение на вирусы вирусы
      От Magvai в разделе Помогите!
      Ответов: 7
      Последнее сообщение: 18.09.2009, 16:32
    4. Ответов: 9
      Последнее сообщение: 22.02.2009, 09:44
    5. Вирусы полечил, вирусы остались
      От Yurii в разделе Помогите!
      Ответов: 4
      Последнее сообщение: 17.07.2008, 07:57

    Свернуть/Развернуть Ваши права в разделе

    • Вы не можете создавать новые темы
    • Вы не можете отвечать в темах
    • Вы не можете прикреплять вложения
    • Вы не можете редактировать свои сообщения
    •  
    Page generated in 0.00992 seconds with 23 queries