ghdrive32

Printable View

11.05.2011, 18:39
krypper

ghdrive32

Подцепил эту заразу, помогите избавиться. Логи AVZ приложены
11.05.2011, 18:45
krypper

Прошу прощения, не тот архив вложил
11.05.2011, 19:01
Nikkollo

quarantine.zip уберите из вложений.

Обновите базы AVZ.
Если базы не обновляются через меню Файл, скачайте архив баз [url]http://z-oleg.com/secur/avz_up/avzbase.zip[/url]
и распакуйте его в папку Base внутри папки AVZ, заменив имеющиеся файлы и перезапустите AVZ.

Повторите пункт "Диагностика" правил и приложите [B]все[/B] получившиеся логи в теме.
11.05.2011, 21:27
krypper

сделал
11.05.2011, 23:47
thyrex

Пофиксите в Hijack
[CODE]F2 - REG:system.ini: UserInit=\\.\globalroot\systemroot\system32\userinit.exe,[/CODE]

Выполните скрипт в AVZ
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\lgfzaqlo.dll','');
QuarantineFile('C:\Program Files\Internet Explorer\lgfzaqlo.dll','');
DeleteFile('C:\Program Files\Internet Explorer\lgfzaqlo.dll');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SYSTEM\CurrentControlSet\Services\uncunbecf\Parameters','ServiceDll');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SYSTEM\CurrentControlSet\Services\goofpfg\Parameters','ServiceDll');
DeleteFile('C:\WINDOWS\system32\lgfzaqlo.dll');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end. [/code]Компьютер перезагрузится.

Пришлите карантин согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

[color="#FF0000"][b]Внимание![/b][/color] Официальная поддержка (и выпуск обновлений) для Windows XP SP2 [b]прекращена[/b]

Установите [url="http://www.microsoft.com/downloads/details.aspx?FamilyID=5b33b5a8-5e76-401f-be08-1e1555d4f3d4&displaylang=ru"]SP3[/url] (может потребоваться активация) + все [url="http://www.update.microsoft.com/microsoftupdate/v6/default.aspx?ln=ru"]новые обновления[/url] для Windows

Сделайте новые логи
12.05.2011, 00:11
krypper

Hijack не нашел файл [code]F2 - REG:system.ini: UserInit=\\.\globalroot\systemroot\system32\userinit.exe[/code]

Карантин выслал.
По поводу Win SP3. У меня SP3
12.05.2011, 18:50
thyrex

Обновления установили? Если нет, сделайте это после скрипта

Выполните скрипт в AVZ
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\Documents and Settings\admin\Application Data\Uuhuho.exe','');
QuarantineFile('C:\RECYCLER\S-1-5-21-0243936033-3052116371-381863308-1811\vsbntlo.exe','');
QuarantineFile('C:\WINDOWS\ghdrive32.exe','');
QuarantineFile('C:\WINDOWS\system32\57.exe','');
QuarantineFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1413\syitm.exe','');
DeleteFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1413\syitm.exe');
DeleteFile('C:\WINDOWS\system32\57.exe');
DeleteFile('C:\WINDOWS\ghdrive32.exe');
DeleteFile('explorer.exe,C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1413\syitm.exe');
DeleteFile('cscdll.dll');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\cscdll','DLLName');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Microsoft Driver Setup');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run-','Microsoft Driver Setup');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','Microsoft Driver Setup');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run-','Microsoft Driver Setup');
DeleteFile('C:\RECYCLER\S-1-5-21-0243936033-3052116371-381863308-1811\vsbntlo.exe');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run-','12CFG214-K641-12SF-N85P');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run-','Tnaww');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Tnaww');
DeleteFile('C:\Documents and Settings\admin\Application Data\Uuhuho.exe');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Uuhuho');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Winlogon','Taskman');
RebootWindows(true);
end. [/code]Компьютер перезагрузится.

Пришлите карантин согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

Сделайте новые логи

Сделайте лог [url="http://virusinfo.info/showpost.php?p=457118&postcount=1"]полного сканирования МВАМ[/url]
12.05.2011, 20:53
krypper

Логи mbam
12.05.2011, 22:44
thyrex

Еще раз прошу установить обновления. Без этого избавиться от сетевого червя трудно

[url="http://virusinfo.info/showpost.php?p=493584&postcount=2"]Удалите в МВАМ[/url] [b]только указанные строки[/b] [code]Заражённые ключи в реестре:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\SETUP.EXE (Adware.Rabio) -> No action taken.

Заражённые папки:
c:\RECYCLER\s-1-5-21-0243936033-3052116371-381863308-1811 (Trojan.Agent) -> No action taken.
c:\RECYCLER\s-1-5-21-0243556031-888888379-781863308-1413 (Worm.AutoRun) -> No action taken.

Заражённые файлы:
c:\documents and settings\admin\application data\21.tmp (Trojan.Downloader) -> No action taken.
c:\documents and settings\admin\application data\2E.tmp (Trojan.Downloader) -> No action taken.
c:\documents and settings\admin\application data\30.tmp (Trojan.Downloader) -> No action taken.
c:\documents and settings\admin\application data\3C.tmp (Trojan.Downloader) -> No action taken.
c:\documents and settings\admin\application data\3E.tmp (Trojan.Downloader) -> No action taken.
c:\documents and settings\admin\application data\4C4.tmp (Trojan.Agent) -> No action taken.
c:\documents and settings\admin\application data\4E1.tmp (Trojan.Downloader) -> No action taken.
c:\documents and settings\admin\application data\92.tmp (Trojan.Agent) -> No action taken.
c:\documents and settings\admin\application data\9B.tmp (Trojan.Downloader) -> No action taken.
c:\documents and settings\admin\application data\9E.tmp (Trojan.Downloader) -> No action taken.
c:\documents and settings\admin\мои документы\downloads\avz4\quarantine\2011-05-11\avz00001.dta (Trojan.Downloader) -> No action taken.
c:\documents and settings\admin\мои документы\downloads\avz4\quarantine\2011-05-11\avz00002.dta (Trojan.Agent) -> No action taken.
c:\documents and settings\admin\мои документы\downloads\avz4\quarantine\2011-05-11\avz00003.dta (Trojan.Downloader) -> No action taken.
c:\documents and settings\admin\мои документы\downloads\avz4\quarantine\2011-05-12\avz00001.dta (Trojan.Agent) -> No action taken.
c:\documents and settings\admin\мои документы\downloads\avz4\quarantine\2011-05-12\avz00002.dta (Trojan.Downloader) -> No action taken.
c:\documents and settings\admin\мои документы\downloads\avz4\quarantine\2011-05-12\avz00003.dta (Trojan.Agent) -> No action taken.
c:\documents and settings\admin\мои документы\downloads\avz4\quarantine\2011-05-12\avz00004.dta (Trojan.Agent) -> No action taken.
c:\documents and settings\admin\мои документы\downloads\avz4\quarantine\2011-05-12\avz00005.dta (Trojan.Downloader) -> No action taken.
c:\documents and settings\networkservice\local settings\temporary internet files\Content.IE5\CILGLW41\dci[1].exe (Trojan.Agent) -> No action taken.
c:\documents and settings\networkservice\local settings\temporary internet files\Content.IE5\GT7LWHG8\dci[1].exe (Trojan.Agent) -> No action taken.
f:\RECYCLER\e5188982.exe (Trojan.Agent) -> No action taken.
c:\RECYCLER\s-1-5-21-0243936033-3052116371-381863308-1811\Desktop.ini (Trojan.Agent) -> No action taken.
c:\RECYCLER\s-1-5-21-0243556031-888888379-781863308-1413\Desktop.ini (Worm.AutoRun) -> No action taken.
[/code]
12.05.2011, 22:46
krypper

Обновления этой ночью устанавливал
13.05.2011, 17:55
Nikkollo

Выполните скрипт в AVZ отсюда:
[url]http://df.ru/~kad/ScanVuln.txt[/url]
Файл avz_log.txt из папки AVZ\LOG приложите в теме.

Пройдите по всем ссылкам ([url]http://.[/url]..) в avz_log.txt и установите указанные там обновления.
Выполните еще раз скрипт в [url]http://df.ru/~kad/ScanVuln.txt[/url] и убедитесь, что обновления установились.

Повторите еще раз логи AVZ и MBAM.
14.05.2011, 17:55
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]19[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\documents and settings\\admin\\application data\\uuhuho.exe - [B]Backdoor.Win32.Floder.gx[/B] ( DrWEB: Trojan.Inject.38421, BitDefender: Trojan.Generic.KD.217312, NOD32: Win32/Dorkbot.A worm, AVAST4: Win32:SdBot-HAP [Trj] )[*] c:\\recycler\\s-1-5-21-0243556031-888888379-781863308-1413\\syitm.exe - [B]Trojan-Downloader.Win32.Injecter.fuc[/B] ( DrWEB: Trojan.Inject.38501, BitDefender: Trojan.Generic.5945724, NOD32: Win32/Lethic.AA trojan, AVAST4: Win32:Malware-gen )[*] c:\\recycler\\s-1-5-21-0243936033-3052116371-381863308-1811\\vsbntlo.exe - [B]Trojan.Win32.Small.alwh[/B] ( DrWEB: Trojan.Inject.38501, BitDefender: Trojan.Fakealert.26423, NOD32: Win32/Agent.HXW trojan, AVAST4: Win32:Malware-gen )[*] c:\\windows\\ghdrive32.exe - [B]Net-Worm.Win32.Kolab.aaxj[/B] ( DrWEB: BackDoor.IRC.Bot.896, BitDefender: Trojan.Generic.KD.219665, AVAST4: Win32:Downloader-FTN [Trj] )[*] c:\\windows\\system32\\57.exe - [B]Backdoor.Win32.IRCBot.thz[/B] ( DrWEB: BackDoor.IRC.Bot.166, BitDefender: Trojan.Generic.KD.216014, AVAST4: Win32:Rimecud-M [Wrm] )[/LIST][/LIST]