Проблемы после подключения к инету.

Printable View

24.08.2011, 01:07
Михаил_83

Вложений: 3

Проблемы после подключения к инету.

Доброго времени суток.

Ребята посмотрите плиз логи. После подключени к инету и загрузки через оперу сайта "вконтакте" начинаются проблемы, появляется файл
tcpwamllib.exe а так же он запускается. Меняются ДНС адреса на:
8.8.8.8
8.8.4.4

Проверялся в безопастном режиме вебом, но он ничего не находит. Переодически в папке C:\Windows\system32 появляются папки типа "i740" (буква i и трехзначное число) туда закачиваются файлы D001.exe но с ними удачно борется НОД.

Жду помощи. Заранее спасибо.
24.08.2011, 01:16
Info_bot

Уважаемый(ая) [B]Михаил_83[/B], спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
24.08.2011, 15:13
Techno

Здравствуйте!!!

- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните в АВЗ:[/URL]
[CODE]
procedure FixUpdate;
var j:integer; NumStr:string;
begin
for j:=0 to 999 do
begin
if j=0 then
NumStr:='CurrentControlSet' else
if j<10 then
NumStr:='ControlSet00'+IntToStr(j) else
if j<100 then
NumStr:='ControlSet0'+IntToStr(j) else
NumStr:='ControlSet'+IntToStr(j);
if RegKeyExistsEx('HKLM', 'SYSTEM\'+NumStr+'\Services\BITS') then
begin
RegKeyResetSecurity('HKLM', 'SYSTEM\'+NumStr+'\Services\BITS');
RegKeyStrParamWrite('HKLM', 'SYSTEM\'+NumStr+'\Services\BITS', 'ImagePath', '%SystemRoot%\System32\svchost.exe -k netsvcs');
AddToLog('Значение параметра ImagePath в разделе реестра HKLM\SYSTEM\'+NumStr+'\Services\BITS исправлено на оригинальное.');
end;
if RegKeyExistsEx('HKLM', 'SYSTEM\'+NumStr+'\Services\wuauserv') then
begin
RegKeyResetSecurity('HKLM', 'SYSTEM\'+NumStr+'\Services\wuauserv');
RegKeyStrParamWrite('HKLM', 'SYSTEM\'+NumStr+'\Services\wuauserv', 'ImagePath', '%SystemRoot%\System32\svchost.exe -k netsvcs');
AddToLog('Значение параметра ImagePath в разделе реестра HKLM\SYSTEM\'+NumStr+'\Services\wuauserv исправлено на оригинальное.');
end;
end;
end;
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
ClearQuarantine;
TerminateProcessByName('c:\windows\system32\tcpwamllib.exe');
SetServiceStart('WamlSvc', 4);
StopService('WamlSvc');
QuarantineFile('C:\Documents and Settings\Admin\Application Data\Acowik\egse.exe','');
QuarantineFile('c:\windows\system32\tcpwamllib.exe','');
DeleteFile('c:\windows\system32\tcpwamllib.exe');
DeleteFile('C:\Documents and Settings\Admin\Application Data\Acowik\egse.exe');
FixUpdate;
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run-','{8FCA1CFC-9128-42C6-E073-8379D1ED074C}');
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
DeleteService('WamlSvc');
BC_ImportAll;
ExecuteSysClean;
BC_DeleteSvc('WamlSvc');
BC_Activate;
RebootWindows(true);
end.[/CODE]

[COLOR="#FF0000"]Компьютер перезагрузится[/COLOR]

[B]После перезагрузки:[/B]
- Выполните в АВЗ:
[CODE]
begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
Файл [B]quarantine.zip[/B] из папки AVZ загрузите по ссылке "[COLOR="Red"][B]Прислать запрошенный карантин[/B][/COLOR]" вверху темы.

- [B]Обновите базы АВЗ[/B] (АВЗ -> меню "Файл" -> "Обновление баз" -> "Пуск") и Повторите логи.

- [URL="http://virusinfo.info/showthread.php?t=53070"][B]Сделайте лог полного сканирования MBAM[/B][/URL].
24.08.2011, 20:02
Михаил_83

Вложений: 4

Карантин выслал

Новые логи
24.08.2011, 20:45
Techno

Если ip адреса Вам не знакомы то пофиксите:
- [URL="http://virusinfo.info/showthread.php?t=4491"]Пофиксите в HijackThis:[/URL]
[CODE]O17 - HKLM\System\CCS\Services\Tcpip\..\{3A5F3619-C92A-41FA-93A4-77F4FC61F2DD}: NameServer = 8.8.8.8,8.8.4.4[/CODE]

- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните в АВЗ:[/URL]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
ClearQuarantine;
QuarantineFile('c:\documents and settings\localservice\local settings\temporary internet files\Content.IE5\8PMKKX64\A22[1].exe','');
QuarantineFile('c:\documents and settings\localservice\local settings\temporary internet files\Content.IE5\FCMQPPZB\A22[1].exe','');
QuarantineFile('c:\documents and settings\localservice\local settings\temporary internet files\Content.IE5\NOAXFUGS\A22[2].exe','');
QuarantineFile('c:\documents and settings\localservice\local settings\temporary internet files\Content.IE5\NOAXFUGS\A22[3].exe','');
QuarantineFile('c:\documents and settings\networkservice\local settings\temporary internet files\Content.IE5\8PMKKX64\nb_server[1].exe','');
QuarantineFile('C:\WINDOWS\system32\tAScxIPZ.exe','');
QuarantineFile('C:\Program Files\dyvboa.exe','');
QuarantineFile('C:\Program Files\qyiosa.exe','');
DeleteFile('c:\documents and settings\localservice\local settings\temporary internet files\Content.IE5\8PMKKX64\A22[1].exe');
DeleteFile('c:\documents and settings\localservice\local settings\temporary internet files\Content.IE5\FCMQPPZB\A22[1].exe');
DeleteFile('c:\documents and settings\localservice\local settings\temporary internet files\Content.IE5\NOAXFUGS\A22[2].exe');
DeleteFile('c:\documents and settings\localservice\local settings\temporary internet files\Content.IE5\NOAXFUGS\A22[3].exe');
DeleteFile('c:\documents and settings\networkservice\local settings\temporary internet files\Content.IE5\8PMKKX64\nb_server[1].exe');
DeleteFile('C:\Program Files\qyiosa.exe');
DeleteFile('C:\Program Files\dyvboa.exe');
DeleteFile('C:\WINDOWS\system32\tAScxIPZ.exe');
RegKeyParamDel('HKEY_CURRENT_USER','SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\ForceClassicControlPanel','ForceClassicControlPanel');
RegKeyDel('HKEY_LOCAL_MACHINE','SYSTEM\CurrentControlSet\Services\netsvcs_0x0');
DeleteService('PnbPBHur');
DeleteService('MSUpdqtesqi');
DeleteService('MSUpdqtecko');
BC_ImportAll;
ExecuteSysClean;
BC_DeleteSvc('MSUpdqtecko');
BC_DeleteSvc('MSUpdqtesqi');
BC_DeleteSvc('PnbPBHur');
BC_Activate;
RebootWindows(true);
end.[/CODE]

[COLOR="#FF0000"]Компьютер перезагрузится[/COLOR]

[B]После перезагрузки:[/B]
- Выполните в АВЗ:
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
Файл [B]quarantine.zip[/B] из папки AVZ загрузите по ссылке "[COLOR="Red"][B]Прислать запрошенный карантин[/B][/COLOR]" вверху темы.

Выполните в АВЗ скрипт отсюда [url]http://safezone.cc/forum/showthread.php?t=9188[/url]

- Повторите логи.
24.08.2011, 21:30
Михаил_83

Вложений: 3

Карантин отправил.

ДНСы поравил

Все скрипты выполнил. Прикреляю новые логи.
24.08.2011, 21:35
Techno

Что с проблемами?
Установите все доступные [URL="http://www.update.microsoft.com/"]обновления для Windows[/URL]
24.08.2011, 23:32
Михаил_83

[QUOTE=Techno;821137]Что с проблемами?
[/QUOTE]

Похоже что устранены. Процесс этот не появляется, ДНСы не меняются.

Спасибо за помощь! :)
26.08.2011, 19:10
Михаил_83

Вложений: 3

Опять появлись теже симптомы. Опять этот процесс tcpwamllib.exe Опять ДНСы меняются. И ошибка svchost вылазит переодически
26.08.2011, 23:17
Techno

Повторите логи АВЗ, hijackthis и MBAM

[quote="Techno;821137"]Установите все доступные обновления для Windows[/quote]
Это сделали?
27.08.2011, 00:27
Михаил_83

Повторённые логи АВЗ,hijackthis в предыдущем сообщении. MBAM добавлю.

По обновлениям виндовс есть небольшие трудности связанные с отключением и выкочёвыванием службы обновления. Если Вам известно какое именно нужно установить обновление, сообщите пожалуйста. Я же могу написать список установленных.
27.08.2011, 00:45
Михаил_83

Вложений: 1

Повторно выполнил [url]http://safezone.cc/forum/showthread.php?t=9188[/url] этот скрипт
Почистил папку c:\Documents and Settings\LocalService\Local Settings\Temporary Internet Files\Content.IE5\
Было куча закаченных exe файлов, возможно они будут в логах
Почистил папку c:\WINDOWS\system32\ удалил новые exe файлу появившиеся за прошедший период.

ЛОГ MBAM
27.08.2011, 13:57
Techno

Здравствуйте!!!

- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните в АВЗ:[/URL]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
ClearQuarantine;
QuarantineFile('C:\WINDOWS\5_Ss.dll','');
QuarantineFile('C:\WINDOWS\50875171_s.dll','');
QuarantineFile('C:\WINDOWS\50872906_s.dll','');
QuarantineFile('C:\WINDOWS\50001015_s.dll','');
QuarantineFile('C:\WINDOWS\49994156_s.dll','');
QuarantineFile('C:\WINDOWS\system32\Wib8001.exe','');
QuarantineFile('C:\WINDOWS\system32\tcpwamllib.exe','');
DeleteFile('C:\WINDOWS\system32\tcpwamllib.exe');
DeleteFile('C:\WINDOWS\system32\Wib8001.exe');
DeleteFile('C:\WINDOWS\49994156_s.dll');
DeleteFile('C:\WINDOWS\50001015_s.dll');
DeleteFile('C:\WINDOWS\50872906_s.dll');
DeleteFile('C:\WINDOWS\50875171_s.dll');
DeleteFile('C:\WINDOWS\5_Ss.dll');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SYSTEM\CurrentControlSet\Services\nex10\Parameters','ServiceDll');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SYSTEM\CurrentControlSet\Services\nex14\Parameters','ServiceDll');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SYSTEM\CurrentControlSet\Services\x17\Parameters','ServiceDll');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SYSTEM\CurrentControlSet\Services\nexnex0\Parameters','ServiceDll');
RegKeyDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Windows NT\CurrentVersion\SvcHost\krnlsrvc');
DeleteService('WinHeb8001');
DeleteService('WamlSvc');
BC_ImportAll;
ExecuteSysClean;
BC_DeleteSvc('WamlSvc');
BC_DeleteSvc('WinHeb8001');
BC_Activate;
RebootWindows(true);
end.[/CODE]

[COLOR="#FF0000"]Компьютер перезагрузится[/COLOR]

[B]После перезагрузки:[/B]
- Выполните в АВЗ:
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
Файл [B]quarantine.zip[/B] из папки AVZ загрузите по ссылке "[COLOR="Red"][B]Прислать запрошенный карантин[/B][/COLOR]" вверху темы.

Это Ваше?
[CODE]d:\aw\_AW\Юзалка\useon_13_05_2011\UseOn.exe
c:\program files\magicrecovery pro demo[/CODE]
Попробуйте установить [URL="http://www.update.microsoft.com/"]все обновления.[/URL]

[QUOTE]Протокол антивирусной утилиты AVZ версии 4.34[/QUOTE]
Актуальная версия 4.35. Скачайте, [B]Обновите базы[/B] (АВЗ -> меню "Файл" -> "Обновление баз" -> "Пуск") и Повторите логи.
27.08.2011, 17:11
Михаил_83

Вложений: 1

Карантин пустой. Частично то что было в скрипте удалил ранее сам.

[QUOTE=Techno;821664]
Это Ваше?
[CODE]d:\aw\_AW\Юзалка\useon_13_05_2011\UseOn.exe
c:\program files\magicrecovery pro demo[/CODE][/QUOTE]
Первое моё-нужно
Второе удалил.
[QUOTE=Techno;821664]
Попробуйте установить [URL="http://www.update.microsoft.com/"]все обновления.[/URL][/QUOTE]
Не получается потому что со службой обновления есть проблемы, она просто не работает
[QUOTE=Techno;821664]
Актуальная версия 4.35. Скачайте, [B]Обновите базы[/B] (АВЗ -> меню "Файл" -> "Обновление баз" -> "Пуск") и Повторите логи.[/QUOTE]

Неполучается удалить старые файлы во вложениях. Поэтому лог только один. На остальное нет места во вложениях. Подскажите как старое по удалять.
28.08.2011, 16:51
Михаил_83

Перустановил операцонную систему,обновил её. Тему думаю можно закрыть. Спасибо за помощь.
29.08.2011, 16:51
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]5[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\documents and settings\\localservice\\local settings\\temporary internet files\\content.ie5\\fcmqppzb\\a22[1].exe - [B]Trojan.Win32.Eckut.ei[/B] ( DrWEB: Trojan.MulDrop1.64025, BitDefender: Gen:Variant.Barys.1406, AVAST4: Win32:Malware-gen )[*] c:\\documents and settings\\localservice\\local settings\\temporary internet files\\content.ie5\\noaxfugs\\a22[2].exe - [B]Trojan.Win32.Eckut.ei[/B] ( DrWEB: Trojan.MulDrop1.64025, BitDefender: Gen:Variant.Barys.1406, AVAST4: Win32:Malware-gen )[*] c:\\documents and settings\\localservice\\local settings\\temporary internet files\\content.ie5\\noaxfugs\\a22[3].exe - [B]Trojan.Win32.Eckut.ei[/B] ( DrWEB: Trojan.MulDrop1.64025, BitDefender: Gen:Variant.Barys.1406, AVAST4: Win32:Malware-gen )[*] c:\\documents and settings\\localservice\\local settings\\temporary internet files\\content.ie5\\8pmkkx64\\a22[1].exe - [B]Trojan.Win32.Eckut.ei[/B] ( DrWEB: Trojan.MulDrop1.64025, BitDefender: Gen:Variant.Barys.1406, AVAST4: Win32:Malware-gen )[*] c:\\windows\\system32\\tcpwamllib.exe - [B]Worm.Win32.Agent.agp[/B] ( DrWEB: Win32.HLLW.Siggen.1720, BitDefender: Trojan.Generic.7344411, AVAST4: Win32:Hupigon-OZJ [Trj] )[/LIST][/LIST]