Показано с 1 по 14 из 14.

Trojan.Downloader2 (заявка № 99034)

  1. #1
    Junior Member Репутация
    Регистрация
    24.10.2007
    Сообщений
    17
    Вес репутации
    34

    Exclamation Trojan.Downloader2

    Здравствуйте. Компьютер долгое время использовался без антивируса, теперь постоянно слетает система, решается только восстановлением ОС полностью. При проверке CureIt в безопасном режиме в папке system 32 находит файлы зараженные Trojan.Downloader2. При перемещении их в карантин комп уходит в ребут и система снова отказывает грузиться.
    Вложения Вложения
    Тсс... Слышишь?.. Это мегабайты идут по проводам...

  2. Реклама
     

  3. #2
    Visiting Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    27.05.2009
    Сообщений
    2,655
    Вес репутации
    224
    Здравствуйте.
    Отключите:
    -ПК от интернета
    -Все защитные приложения
    -Восстановление системы
    Выполните скрипт в AVZ:
    Код:
    Function RegKeyResetSecurityEx(ARoot, AName : string) : boolean;
    var
    i : integer; 
    KeyList : TStringList;
    KeyName : string;                           
    begin
    RegKeyResetSecurity(ARoot, AName);
    KeyList := TStringList.Create;
    RegKeyEnumKey(ARoot, AName, KeyList);
    for i := 0 to KeyList.Count-1 do
     begin
     KeyName := AName+'\'+KeyList[i];
     RegKeyResetSecurity(ARoot, KeyName);
     RegKeyResetSecurityEx(ARoot, KeyName);
     end;
    KeyList.Free;
    end;
    Function BC_ServiceKill(AServiceName : string; AIsSvcHosted : boolean = true) : byte;
    var
     i : integer;
     KeyList : TStringList;
     KeyName : string;                           
    begin
     Result := 0;
     if StopService(AServiceName) then Result := Result or 1;
     if DeleteService(AServiceName,  not(AIsSvcHosted)) then Result := Result or 2;
     KeyList := TStringList.Create;
     RegKeyEnumKey('HKLM','SYSTEM', KeyList);
     for i := 0 to KeyList.Count-1 do
      if pos('controlset', LowerCase(KeyList[i])) > 0 then begin
       KeyName := 'SYSTEM\'+KeyList[i]+'\Services\'+AServiceName;                                     
       if RegKeyExistsEx('HKLM', KeyName) then begin
        Result := Result or 4;                  
        RegKeyResetSecurityEx('HKLM', KeyName);
        RegKeyDel('HKLM', KeyName);
        if RegKeyExistsEx('HKLM', KeyName) then               
         Result := Result or 8;                  
       end;
      end;                 
     if AIsSvcHosted then
      BC_DeleteSvcReg(AServiceName)
     else
      BC_DeleteSvc(AServiceName);
     KeyList.Free;
    end;
    
    begin
    SearchRootkit(true, true);
    SetAVZGuardStatus(true);
    TerminateProcessByName('c:\docume~1\user\locals~1\temp\yh835f526d.tmp');
    TerminateProcessByName('c:\documents and settings\localservice.nt authority\application data\microsoft\tazummel.exe');
    TerminateProcessByName('c:\docume~1\user\locals~1\temp\m7bdab34a.tmp');
    TerminateProcessByName('c:\windows\temp\m7bdab34a.tmp');
    TerminateProcessByName('c:\windows\system32\koovafeto.exe');
    TerminateProcessByName('c:\docume~1\user\locals~1\temp\gxrxaoqb81b1f456.tmp');
    TerminateProcessByName('c:\windows\temp\bstmabdy79341571.tmp');
    TerminateProcessByName('c:\docume~1\user\locals~1\temp\bstmabdy79341571.tmp');
    TerminateProcessByName('c:\windows\system32\goquakib.exe');
    QuarantineFile('c:\windows\system32\goquakib.exe','');
    QuarantineFile('C:\RECYCLER\S-1-5-21-8665470365-1610415379-448131766-2538\djwi2kcew.exe','');
    QuarantineFile('C:\Documents and Settings\User\fxmdk.exe','');
    QuarantineFile('C:\Documents and Settings\LocalService.NT AUTHORITY\Application Data\Microsoft\koovafeto.exe','');
    QuarantineFile('C:\Documents and Settings\LocalService.NT AUTHORITY\Application Data\Microsoft\cobyd.exe','');
    QuarantineFile('C:\WINDOWS\system32\zelenys.exe','');
    QuarantineFile('C:\WINDOWS\system32\quinel.exe','');
    QuarantineFile('C:\WINDOWS\system32\Drivers\yaukz.sys','');
    QuarantineFile('c:\docume~1\user\locals~1\temp\yh835f526d.tmp','');
    QuarantineFile('c:\documents and settings\localservice.nt authority\application data\microsoft\tazummel.exe','');
    QuarantineFile('c:\docume~1\user\locals~1\temp\m7bdab34a.tmp','');
    QuarantineFile('c:\windows\temp\m7bdab34a.tmp','');
    QuarantineFile('c:\windows\system32\koovafeto.exe','');
    QuarantineFile('c:\windows\temp\bstmabdy79341571.tmp','');
    QuarantineFile('c:\docume~1\user\locals~1\temp\bstmabdy79341571.tmp','');
    DeleteFile('c:\docume~1\user\locals~1\temp\bstmabdy79341571.tmp');
    DeleteFile('c:\windows\temp\bstmabdy79341571.tmp');
    DeleteFile('c:\docume~1\user\locals~1\temp\gxrxaoqb81b1f456.tmp');
    DeleteFile('c:\windows\system32\koovafeto.exe');
    DeleteFile('c:\windows\temp\m7bdab34a.tmp');
    DeleteFile('c:\docume~1\user\locals~1\temp\m7bdab34a.tmp');
    DeleteFile('c:\documents and settings\localservice.nt authority\application data\microsoft\tazummel.exe');
    DeleteFile('c:\docume~1\user\locals~1\temp\yh835f526d.tmp');
    DeleteFile('C:\WINDOWS\system32\Drivers\yaukz.sys');
    DeleteFile('C:\WINDOWS\system32\byzouhazys.exe');
    DeleteFile('C:\WINDOWS\system32\quinel.exe');
    DeleteFile('C:\WINDOWS\system32\zelenys.exe');
    DeleteFile('C:\Documents and Settings\LocalService.NT AUTHORITY\Application Data\Microsoft\cobyd.exe');
    DeleteFile('C:\Documents and Settings\LocalService.NT AUTHORITY\Application Data\Microsoft\koovafeto.exe');
    DeleteFile('C:\Documents and Settings\User\fxmdk.exe');
    DeleteFile('c:\windows\system32\goquakib.exe');
    DeleteFile('C:\RECYCLER\S-1-5-21-8665470365-1610415379-448131766-2538\djwi2kcew.exe');
    RegKeyParamDel('HKEY_USERS','S-1-5-18\Software\Microsoft\Windows\CurrentVersion\Run','logoutoo');
    RegKeyParamDel('HKEY_USERS','.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run','logoutoo');
    RegKeyParamDel('HKEY_USERS','S-1-5-18\Software\Microsoft\Windows\CurrentVersion\Run','ciheriz');
    RegKeyParamDel('HKEY_USERS','.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run','ciheriz');
    RegKeyParamDel('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows NT\CurrentVersion\Winlogon', 'Taskman');
    BC_ImportAll;
    ExecuteSysClean;
    BC_ServiceKill('yaukz');
    BC_DeleteSvc('iesmz9lo0o');
    BC_DeleteSvc('ifryw2exnq5');
    BC_DeleteSvc('pa0auvfa1ouxa4');
    ExecuteRepair(16);
    ExecuteWizard('TSW',2,3,true);
    BC_Activate;
    RebootWindows(true);
    end.
    Компьютер перезагрузится.
    Затем выполните ещё один скрипт:
    Код:
    begin
    CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
    end.
    И пришлите quarantine.zip из папки AVZ согласно правилам (через красную ссылку "Прислать запрошенный карантин" наверху темы).
    Сделайте повторные логи.
    Сделайте лог MBAM.

  4. #3
    Junior Member Репутация
    Регистрация
    24.10.2007
    Сообщений
    17
    Вес репутации
    34
    скрипты выполнены. Повторяю логи.
    Вложения Вложения
    Последний раз редактировалось Bratez; 08.03.2011 в 16:09.
    Тсс... Слышишь?.. Это мегабайты идут по проводам...

  5. #4
    Visiting Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    27.05.2009
    Сообщений
    2,655
    Вес репутации
    224
    Отключите:
    -ПК от интернета
    -Все защитные приложения
    Подключите:
    -диск E:\
    Выполните скрипт в AVZ:
    Код:
    begin
    SearchRootkit(true, true);
    SetAVZGuardStatus(true);
    TerminateProcessByName('c:\windows\system32\tazummel.exe');
    BC_DeleteFile('C:\WINDOWS\system32\zelenys.exe');
    BC_DeleteFile('c:\windows\system32\tazummel.exe');
    BC_DeleteFile('C:\WINDOWS\system32\Drivers\yaukz.sys');
    BC_DeleteFile('C:\WINDOWS\system32\koovafeto.exe');
    DeleteFile('E:\autorun.inf');
    RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','logoutoo');
    ExecuteSysClean;
    BC_DeleteSvc('yaukz');
    BC_DeleteSvc('pa0auvfa1ouxa4');
    ExecuteRepair(3);
    ExecuteRepair(4);
    ExecuteWizard('TSW',2,3,true);
    BC_Activate;
    RebootWindows(true);
    end.
    Компьютер перезагрузится.
    Сделайте повторные логи + не забудьте сделать лог MBAM.
    Последний раз редактировалось Acidorum; 08.03.2011 в 18:35. Причина: thnx Olejah

  6. #5
    Странствующий хэлпер Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для thyrex
    Регистрация
    07.03.2009
    Адрес
    Soligorsk, Belarus
    Сообщений
    90,456
    Вес репутации
    2914
    А также

    Сделайте лог http://support.kaspersky.ru/faq/?qid=208639606
    Microsoft MVP 2012, 2013, 2014, 2015, 2016 Consumer Security

  7. #6
    Junior Member Репутация
    Регистрация
    24.10.2007
    Сообщений
    17
    Вес репутации
    34
    Скрипты сделаны. Повторяю логи.
    P.S.Скачал MBAM,при его обновлении перестал включаться интернет и восстановился через длительное время.
    Вложения Вложения
    Последний раз редактировалось Bratez; 09.03.2011 в 14:19.
    Тсс... Слышишь?.. Это мегабайты идут по проводам...

  8. #7
    Global Moderator Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    26.12.2006
    Адрес
    Vladivostok
    Сообщений
    23,300
    Вес репутации
    1551
    virusinfo_cure.zip - это не лог, не прикрепляйте его в тему!
    I am not young enough to know everything...

  9. #8
    Visiting Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    27.05.2009
    Сообщений
    2,655
    Вес репутации
    224
    Отключите:
    -ПК от интернета
    -Все защитные приложения
    Выполните скрипт в AVZ:
    Код:
    begin
    SearchRootkit(true, true);
    SetAVZGuardStatus(true);
    QuarantineFile('C:\Documents and Settings\LocalService.NT AUTHORITY\Application Data\Microsoft\koovafeto.exe','');
    QuarantineFile('C:\Documents and Settings\LocalService.NT AUTHORITY\Application Data\Microsoft\cobyd.exe','');
    QuarantineFile('C:\WINDOWS\system32\byzouhazys.exe','');
    BC_DeleteFile('C:\WINDOWS\system32\byzouhazys.exe');
    BC_DeleteFile('C:\Documents and Settings\LocalService.NT AUTHORITY\Application Data\Microsoft\cobyd.exe');
    BC_DeleteFile('C:\Documents and Settings\LocalService.NT AUTHORITY\Application Data\Microsoft\koovafeto.exe');
    RegKeyParamDel('HKEY_USERS','.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run','ciheriz');
    RegKeyParamDel('HKEY_USERS','S-1-5-18\Software\Microsoft\Windows\CurrentVersion\Run','ciheriz');
    RegKeyParamDel('HKEY_USERS','.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run','logoutoo');
    RegKeyParamDel('HKEY_USERS','S-1-5-18\Software\Microsoft\Windows\CurrentVersion\Run','logoutoo');
    BC_ImportQuarantineList;
    ExecuteSysClean;
    BC_DeleteSvc('iesmz9lo0o');
    ExecuteWizard('TSW',2,3,true);
    BC_Activate;
    RebootWindows(true);
    end.
    Компьютер перезагрузится.
    Затем выполните ещё один скрипт:
    Код:
    begin
    CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
    end.
    И пришлите quarantine.zip из папки AVZ согласно правилам (через красную ссылку "Прислать запрошенный карантин" наверху темы).
    Теперь запустите TDSSKiller, просканируйтесь, к записи:
    Код:
    Заблокированный сервис(yaukz)
    примените действие "Удалить".
    Сделайте повторные логи.

  10. #9
    Junior Member Репутация
    Регистрация
    24.10.2007
    Сообщений
    17
    Вес репутации
    34
    Скрипты выполнены.Повторяю логи.
    Вложения Вложения
    Тсс... Слышишь?.. Это мегабайты идут по проводам...

  11. #10
    Visiting Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    27.05.2009
    Сообщений
    2,655
    Вес репутации
    224
    Отключите:
    -ПК от интернета
    -Все защитные приложения
    Выполните скрипт в AVZ:
    Код:
    begin
    SearchRootkit(true, true);
    SetAVZGuardStatus(true);
    QuarantineFile('C:\Documents and Settings\User\Application Data\tmrlc.exe','');
    DeleteFile('C:\Documents and Settings\User\Application Data\tmrlc.exe');
    RegKeyParamDel('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows NT\CurrentVersion\Winlogon', 'Taskman');
    BC_ImportAll;
    ExecuteSysClean;
    ExecuteWizard('TSW',2,3,true);
    BC_Activate;
    RebootWindows(true);
    end.
    Компьютер перезагрузится.
    Затем выполните ещё один скрипт:
    Код:
    begin
    CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
    end.
    И пришлите quarantine.zip из папки AVZ согласно правилам (через красную ссылку "Прислать запрошенный карантин" наверху темы).
    Сделайте повторные логи.

  12. #11
    Странствующий хэлпер Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для thyrex
    Регистрация
    07.03.2009
    Адрес
    Soligorsk, Belarus
    Сообщений
    90,456
    Вес репутации
    2914
    Новый лог TDSSkiller тоже сделайте
    Microsoft MVP 2012, 2013, 2014, 2015, 2016 Consumer Security

  13. #12
    Junior Member Репутация
    Регистрация
    24.10.2007
    Сообщений
    17
    Вес репутации
    34
    Скрипты выполнены.Повторяю логи.
    Вложения Вложения
    Тсс... Слышишь?.. Это мегабайты идут по проводам...

  14. #13
    Странствующий хэлпер Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для thyrex
    Регистрация
    07.03.2009
    Адрес
    Soligorsk, Belarus
    Сообщений
    90,456
    Вес репутации
    2914
    Microsoft MVP 2012, 2013, 2014, 2015, 2016 Consumer Security

  15. #14
    Cybernetic Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    29.12.2008
    Сообщений
    47,514
    Вес репутации
    940

    Итог лечения

    Статистика проведенного лечения:
    • Получено карантинов: 3
    • Обработано файлов: 53
    • В ходе лечения обнаружены вредоносные программы:
      1. c:\\documents and settings\\localservice.nt authority\\application data\\microsoft\\cobyd.exe - Trojan.Win32.VBKrypt.bmdt ( DrWEB: Trojan.DownLoader2.7109, BitDefender: Trojan.Generic.6015852, AVAST4: Win32:Malware-gen )
      2. c:\\documents and settings\\localservice.nt authority\\application data\\microsoft\\koovafeto.exe - Trojan-Dropper.Win32.Agent.elga ( DrWEB: Trojan.DownLoader2.15961, BitDefender: Trojan.Generic.6011173, AVAST4: Win32:Trojan-gen )
      3. c:\\documents and settings\\localservice.nt authority\\application data\\microsoft\\tazummel.exe - Trojan-Dropper.Win32.Agent.elga ( DrWEB: Trojan.DownLoader2.15961, BitDefender: Trojan.Generic.6011173, AVAST4: Win32:Trojan-gen )
      4. c:\\documents and settings\\user\\application data\\tmrlc.exe - P2P-Worm.Win32.Palevo.bqso ( DrWEB: Trojan.Inject.14539, BitDefender: Gen:Trojan.Heur.ZGY.5, AVAST4: Win32:Malware-gen )
      5. c:\\documents and settings\\user\\fxmdk.exe - P2P-Worm.Win32.Palevo.brcb ( DrWEB: Win32.HLLW.Autoruner.44048, BitDefender: Trojan.Generic.KDV.140814, AVAST4: Win32:Malware-gen )
      6. c:\\docume~1\\user\\locals~1\\temp\\bstmabdy793415 71.tmp - Trojan-Downloader.Win32.Agent.fvld ( DrWEB: Trojan.Spambot.9829, BitDefender: MemScan:Trojan.Generic.5505241, NOD32: Win32/Agent.OKP trojan, AVAST4: Win32:Malware-gen )
      7. c:\\docume~1\\user\\locals~1\\temp\\yh835f526d.tmp - Trojan-Downloader.Win32.Agent.fvld ( DrWEB: Trojan.Spambot.9829, BitDefender: MemScan:Trojan.Generic.5505241, NOD32: Win32/Agent.OKP trojan, AVAST4: Win32:Malware-gen )
      8. c:\\recycler\\s-1-5-21-8665470365-1610415379-448131766-2538\\djwi2kcew.exe - Trojan.Win32.Refroso.dbob ( DrWEB: Trojan.DownLoader1.37726, BitDefender: Trojan.Generic.5896684, AVAST4: Win32:Inject-AFM [Trj] )
      9. c:\\windows\\system32\\goquakib.exe - Trojan-Dropper.Win32.VB.awau ( DrWEB: Trojan.MulDrop1.57199, BitDefender: Trojan.Generic.6073264, AVAST4: Win32:VB-RTZ [Trj] )
      10. c:\\windows\\system32\\koovafeto.exe - Trojan-Dropper.Win32.Agent.elga ( DrWEB: Trojan.DownLoader2.15961, BitDefender: Trojan.Generic.6011173, AVAST4: Win32:Trojan-gen )
      11. c:\\windows\\system32\\quinel.exe - Trojan-Dropper.Win32.VB.awau ( DrWEB: Trojan.MulDrop1.57199, BitDefender: Trojan.Generic.6073264, AVAST4: Win32:VB-RTZ [Trj] )
      12. c:\\windows\\system32\\zelenys.exe - Trojan-Dropper.Win32.VB.awau ( DrWEB: Trojan.MulDrop1.57199, BitDefender: Trojan.Generic.6073264, AVAST4: Win32:VB-RTZ [Trj] )
      13. c:\\windows\\temp\\bstmabdy79341571.tmp - Trojan-Downloader.Win32.Agent.fvld ( DrWEB: Trojan.Spambot.9829, BitDefender: MemScan:Trojan.Generic.5505241, NOD32: Win32/Agent.OKP trojan, AVAST4: Win32:Malware-gen )


  • Уважаемый(ая) Shagardinov, наши специалисты оказали Вам всю возможную помощь по вашему обращению.

    В целях поддержания безопасности вашего компьютера настоятельно рекомендуем:


    Надеемся больше никогда не увидеть ваш компьютер зараженным!

    Если Вас не затруднит, пополните пожалуйста нашу базу безопасных файлов.
  • Присоединяйтесь к нам в соцсетях!

    Мы делаем все возможное, чтобы помогать людям в защите и лечении компьютеров.

    Похожие темы

    1. Заражение Trojan.Downloader2 и Java Antiloader
      От Alexey_D в разделе Помогите!
      Ответов: 4
      Последнее сообщение: 16.05.2011, 15:06
    2. Trojan.Downloader2.2012 detected (заявка №52989)
      От CyberHelper в разделе Отчеты сервиса лечения VirusInfo
      Ответов: 2
      Последнее сообщение: 08.02.2011, 11:59
    3. Ответов: 1
      Последнее сообщение: 14.11.2010, 18:32
    4. Ищу описание Trojan.Win32.Scar.Btuw, Trojan.MulDrop, Trojan.Siggen1, Trojan.PWS.Ibank
      От v119 в разделе Описания вредоносных программ
      Ответов: 1
      Последнее сообщение: 15.03.2010, 13:56
    5. Ответов: 11
      Последнее сообщение: 22.02.2009, 03:25

    Свернуть/Развернуть Ваши права в разделе

    • Вы не можете создавать новые темы
    • Вы не можете отвечать в темах
    • Вы не можете прикреплять вложения
    • Вы не можете редактировать свои сообщения
    •  
    Page generated in 0.01069 seconds with 23 queries