Printable View
В общем, создает 2 файла на кадом диске. Прописывает 2 процесса в диспетчере задач. При этом при попытке удалить эти файлы закрывает папку с директорией. В реестре попытка удалить записи о запуске этих процессов ник чему не привела - создает заоново. Не дает включить некоторые антивирусные проги, также сделать видными скрытые файлы.
Выполните скрипт в AVZ:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\9I19.dll','');
QuarantineFile('C:\WINDOWS\cmdbcs.exe','');
QuarantineFile('C:\WINDOWS\TIMHost.exe','');
QuarantineFile('C:\Program Files\Common Files\System\quqnrtl.exe','');
QuarantineFile('C:\Program Files\Common Files\Microsoft Shared\ehjalrp.exe','');
QuarantineFile('C:\WINDOWS\system32\Drivers\CelInDriver.sys','');
QuarantineFile('C:\WINDOWS\system32\TIMHost.dll','');
QuarantineFile('C:\WINDOWS\system32\RemoteDbg.dll','');
QuarantineFile('C:\WINDOWS\system32\cmdbcs.dll','');
BC_ImportQuarantineList;
BC_Activate;
RebootWindows(true);
end.[/code]
Компьютер перезагрузится.
Пришлите карантин согласно приложению 3 правил.
спасибо, закинул!
Поищите с помощью AVZ файл [B]ibvtcgv.exe[/B],
если найдется - пришлите по правилам и сообщите его полный путь.
Не попал в карантин [B]C:\WINDOWS\system32\Drivers\CelInDriver.sys[/B],
его тоже поищите.
quqnrtl.exe и ehjalrp.exe - [B]Virus.Win32.AutoRun.ao[/B]
Выполните скрипт в AVZ:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\Program Files\Common Files\Microsoft Shared\ehjalrp.exe');
DeleteFile('C:\Program Files\Common Files\System\quqnrtl.exe');
DeleteFile('D:\autorun.*');
DeleteFile('E:\autorun.*');
DeleteFile('F:\autorun.*');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]
Остальное пока смотрю, не убегайте.
первый файл нашел, он создавался вместе с autorun.inf в кажом корневике кроме диска с:\
второй файл не нашелся, скрипт щас выполню
файл закинул соответственно
Все подозрения подтвердились. Выполните скрипт:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\Program Files\Common Files\Microsoft Shared\ehjalrp.exe');
DeleteFile('C:\Program Files\Common Files\System\quqnrtl.exe');
DeleteFile('C:\WINDOWS\system32\cmdbcs.dll');
DeleteFile('C:\WINDOWS\cmdbcs.exe');
DeleteFile('C:\WINDOWS\system32\RemoteDbg.dll');
DeleteFile('C:\WINDOWS\system32\TIMHost.dll');
DeleteFile('C:\WINDOWS\TIMHost.exe');
DeleteFile('C:\WINDOWS\system32\9I19.dll');
DeleteFile('D:\autorun.*');
DeleteFile('E:\autorun.*');
DeleteFile('F:\autorun.*');
DeleteFile('D:\ibvtcgv.exe');
DeleteFile('E:\ibvtcgv.exe');
DeleteFile('F:\ibvtcgv.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]
После перезагрузки сделайте новые логи.
Скорее всего, возникнут проблемы с открытием дисков через "Мой компьютер",
тогда почитайте [URL="http://virusinfo.info/showthread.php?t=8877"]эту статейку[/URL].
И меняйте все свои пароли, вероятно они уже известны не только вам.
скрипт выполнил, но quqnrtl.exe и ehjalrp.exe создались снова и добавились в автозагрузку от машин ран. + еще куча процессов
Поправил последний скрипт, попробуйте, должно получиться - всех сразу.
ну вроде эти два исчезли, но не исчезла пробелма с тем, что нельзя сделать видимыми скрытые файлы, открыть нормально диски через мой компьютер. Др веб находит еще
Trojan.PWS.WSgame
Trojan.Downloader24130
Trojan.Downloader23738
Trojan.PWS.Maran
BackDoor.Pigeon.1604
что с ними делать?
Сделайте в AVZ: Файл - Восстановление системы - отметить п. 6 и 8 - Выполнить.
То что находит ДрВеб - естественно удалять.
Сделайте новые логи, посмотрим, что еще осталось.
что смог удалил, проблема со скрытыми файлами решилась, с окрытием дисков пока нет. логи прикрепил
ну я поудалял, все оставшиеся автораны со всех дисков и все стало открываться, кроме одного, диска f:, чего понять не могу. так вроде все ок, поиск ничего не дает, в процесса вроде бы лишнего ничего нет.
еще 2 вопросика:
1 - почему, когда я заразился этим трояном, снес винду, отформатировав с: и удалив все связанные с ним файлы на других дисках (ibvtcgv и autorun), при установке винды он сразу же появился в процессах диспетчера задач, как так?
2 - каким антивирусом порекомендуете пользоваться вот от таких атак...
Заранее спасибо за ответы и вообще СПАСИБО за помощь!
Отключите службу
[code]O23 - Service: Remote Debug Service (RemoteDbg) - Корпорация Майкрософт - C:\WINDOWS\system32\rundll32.exe[/code]
Видимо она служила для запуска трояна RemoteDbg.dll.
Можно и удалить ее совсем (из реестра), но файл rundll32.exe не трогайте, он не виноват! ;)
Вообще, логи чистые, только автораны опять на месте!
Почитайте статейку по ссылке в сообщении #7 и выполните все тщательно, я думаю должно помочь.