ldcore.dll и другие звери

Printable View

10.07.2007, 13:59
Ita

Вложений: 3

ldcore.dll и другие звери

Добрый день всем! Возникла у меня следующая проблема: ноут перестал загружаться в нормальном режиме, но последняя удачная конфигурация загрузилась, зато кроме прочей пакости в папке c:\windows\system32 обнаружился файлик ldcore.dll, дата создания которого совпадает с предположительной датой падения системы. Удалить себя не дает, говорит, что занят неким процессом. Когда пытаешься разблокировать анлокером, становится видно, что к нему обращаются практически все запущенные на компьютере приложения. Каждое из них удается разблокировать, но, когда доходит очередь до svchost.exe, система уходит в перезагрузку, говоря, что произошла недопустимая ошибка. Есть подозрение, что это не единственная проблем данного ноута. Знатоки, пожалуйста, посоветуйте, как с этим жить дальше...
10.07.2007, 14:36
Макcим

[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните[/URL] скрипт в AVZ
[CODE]begin
BC_QrSvc('pe386');
BC_QrSvc('windev-59c2-168b');
BC_QrFile('C:\WINDOWS\system32\lzx32.sys');
BC_QrFile('C:\WINDOWS\system32\windev-59c2-168b.sys');
BC_DeleteSvc('pe386');
BC_DeleteSvc('windev-59c2-168b');
BC_DeleteFile('C:\WINDOWS\system32\lzx32.sys');
BC_DeleteFile('C:\WINDOWS\system32\windev-59c2-168b.sys');
BC_Activate;
RebootWindows(true);
end.[/CODE]Потом ещё один[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\TEMP\PNB190.EXE','');
QuarantineFile('C:\WINDOWS\system32\msvcrt62.dll','');
QuarantineFile('c:\windows\system32\ldcore.dll','');
DeleteFile('c:\windows\system32\ldcore.dll');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]
[URL="http://www.virusinfo.info/showthread.php?t=4491"]"Пофиксите"[/URL] в HijackThis [CODE]O20 - AppInit_DLLs: c:\windows\system32\ldcore.dll
O20 - Winlogon Notify: AutorunsDisabled - C:\WINDOWS\[/CODE]
Пришлите файлы карантина по [url=http://virusinfo.info/showthread.php?t=1235]правилам[/url] раздела "Помогите". Повторите логи.
10.07.2007, 14:40
PavelA

Выполнить скрипт:

[CODE]begin
DeleteFile('C:\*.tmp');
DeleteFile('C:\Documents and Settings\LocalService\Local Settings\Temp\*.tmp');
end.[/CODE]

Наверное, пришла пора менять антивирус. Нельзя жить с такой дырой.
10.07.2007, 16:22
Ita

Вложений: 3

Все рекомендации выполнялись в том порядке, в котором были здесь изложены. После следующего действия [quote=Maxim;121721][URL="http://www.virusinfo.info/showthread.php?t=4491"]"Пофиксите"[/URL] в HijackThis [code]O20 - AppInit_DLLs: c:\windows\system32\ldcore.dll
O20 - Winlogon Notify: AutorunsDisabled - C:\WINDOWS\[/code][/quote] вылезло окошко "VF11D8.EXE обнаружена ошибка. Приложение будет закрыто." Да, и еще в HijackThis первую строку обнаружить не удалось. Других проблем не возникло. После вот этого действия
[quote=PavelA;121722]Выполнить скрипт:
[code]begin
DeleteFile('C:\*.tmp');
DeleteFile('C:\Documents and Settings\LocalService\Local Settings\Temp\*.tmp');
end.[/code][/quote]
AVZ сообщил, что для удаления файлов необходима перезагрузка. Однако у меня серьезное подозрение, что перезагрузка ничего не дала, т.к. файлы в папке Temp все остались в наличии, а, как я понимаю, не должны были... Впрочем, возможно, я заблуждаюсь.
Прилагаю новые логи.
Карантин выслан.
10.07.2007, 17:19
PavelA

Повторим усиленный скрипт:

[CODE]begin
SetAVZGuardStatus(True);
DeleteFile('C:\Documents and Settings\LocalService\Local Settings\Temp\*.tmp');
DeleteFile('C:\Documents and Settings\NetworkService\Local Settings\Temp\*.tmp');
BC_ImportAll;
BC_Activate;
end.[/CODE]

Если не удалит, то надо будет удалять из защищенного режима.
12.07.2007, 11:36
Ita

[B]PavelA[/B], если этот скрипт должен был удалить файлы *.tmp из папки C:\Documents and Settings\1\Local Settings\Temp\ , то ожидаемого результата не произошло. AVZ требует перезагрузки, после которой эти файлы остаются на прежднем месте. Ежели он делает нечто другое - не знаю.
Вопрос: может, грохнуть эти файлы руками?
Новые логи прикрепить (у меня впечатление, что они не будут отличаться от предыдущих)?
Спасибо.
12.07.2007, 12:01
PavelA

выполнить скрипт:

[CODE]begin
ExecuteAVUpdate;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\msvcrt62.dll','');
BC_ImportAll;
BC_Activate;
RebootWindows(true);
end.[/CODE]

Загрузить карантин после перезагрузки по ссылке вверху темы.

Думаю, что вот эта dll-ка держит эти временные файлы.
12.07.2007, 12:15
Ita

[B]PavelA[/B], карантин загружен.
12.07.2007, 12:21
PavelA

Это зверь. Даже Симантек его знает. Какой-то Downloader.
Будем удалять.

[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\WINDOWS\system32\msvcrt62.dll');
BC_ImportAll;
BC_Activate;
RebootWindows(true);
end.[/CODE]

После этого выполни очистку Temp-директорий.
12.07.2007, 12:45
Ita

После перезагрузки выскочило окно об ошибке приложения CZB75D.EXE

[QUOTE='PavelA;122243']После этого выполни очистку Temp-директорий.[/QUOTE]
При помощи предыдущего кода или руками?
12.07.2007, 12:57
PavelA

Попробуй руками. Если будут удаляться, то тогда можно скриптом, который писал выше.

в добавок выполни скрипт:
[CODE]begin
SetAVZGuardStatus(true);
SysCleanAddFile('C:\WINDOWS\system32\msvcrt62.dll');
ExecuteSysClean;
RebootWindows(true);
end.
[/CODE]

Сделай новые логи.

Ошибка приложения довольно странная. Похоже, что ломается Trend Scan Guard.
12.07.2007, 15:13
Ita

Вложений: 3

[FONT=Verdana]После всех попыток удалить файлы при помощи скрипта компьютер как-то странно зависал: управлять текущим окошком (свернуть, развернуть, закрыть) можно, но кнопка "Пуск", панель задач и трей на клики не реагируют. Перезагрузка возможна только с кнопки. После перезагрузки временные файлы на месте.

После удаления руками всех файлов из папки...\1\...\Temporary Internet Files\ проводник показывает (показ скрытых и системных файлов, естественно, включен), что в папке пусто (в т.ч. после перезагрузки), но в свойствах папки показан размер 33170 байт.[/FONT]
[FONT=Verdana]Кстати, может, стоит очистить и ...\[/FONT][FONT=Verdana]LocalService[/FONT][FONT=Verdana]\...\ [/FONT][FONT=Verdana]Temporary Internet Files \ [/FONT][FONT=Verdana]и[/FONT][FONT=Verdana] ...\NetworkService\...\ Temporary[/FONT][FONT=Verdana]Internet[/FONT][FONT=Verdana]Files[/FONT][FONT=Verdana]\? [/FONT]

[FONT=Verdana]Из папок [/FONT]
[FONT=Verdana]...\1\...\Temp\ [/FONT]
[FONT=Verdana]...\[/FONT][FONT=Verdana]LocalService[/FONT][FONT=Verdana]\...\[/FONT][FONT=Verdana]Temp[/FONT][FONT=Verdana]\ [/FONT]
[FONT=Verdana]...\[/FONT][FONT=Verdana]NetworkService[/FONT][FONT=Verdana]\...\[/FONT][FONT=Verdana]Temp[/FONT][FONT=Verdana]\ [/FONT]
[FONT=Verdana]все удалилось без проблем руками.[/FONT]

[FONT=Verdana]После выполнения скрипта[/FONT]
[quote='PavelA;122265'] [code]begin
SetAVZGuardStatus(true);
SysCleanAddFile('C:\WINDOWS\system32\msvcrt62.dll');
ExecuteSysClean;
RebootWindows(true);
end.
[/code] [/quote]
[FONT=Verdana]AVZ[/FONT][FONT=Verdana]говорит, что скрипт выполнен без ошибок, но снова происходит зависание с невозможностью докликаться до "Пуска". Перезагрузка с кнопки.
[/FONT]
12.07.2007, 16:36
PavelA

Профиксить в HijackThis

[CODE]O21 - SSODL: msvcrt62.dll - {39559E3A-FFB0-4D49-87CC-E13F8367DE33} - msvcrt62.dll (file missing)[/CODE]

Более ничего плохого не вижу. Для полного успокоения скачать Cure-It и сделать полную проверку диска, не экспресс-анализ.
17.07.2007, 13:58
Ita

Вложений: 3

[B]PavelA[/B], с помощью Cure-It было найдено и нейтрализовано еще какое-то количество пакости. На комп был поставлен Avast, после чего комп был возвращен владельцу. Через день этот комп вернулся ко мне с тем же диагнозом: не грузится, выдает черный экран.
Последняя удачная конфигурация, как и прежде, загрузилась. Система даже не ругнулась на то, что она была восстановлена после серьезной ошибки.
Попытки просканировать систему с помощью Avast или Cure-It дают зависание системы где-то на середине процесса.
AVZ снял логи только раза с двадцатого - вылетал просто без всяких ошибок и без логов. Молча закрывается окно, и все тут...
Что с этим делать? :embarasse
17.07.2007, 14:10
drongo

Начать с удаления трендмикро, вон дров от него видно за версту ;)
C:\Program Files\Trend Micro\OfficeScan Client\VSApiNt.sys
C:\Program Files\Trend Micro\OfficeScan Client\TmXPFlt.sys
C:\Program Files\Trend Micro\OfficeScan Client\TmPreFlt.sys

не забудте прислать новый архив , который получился от последних скриптов. Там один файл интересный должен быть.( C:\WINDOWS\system32\NVWRSRU.DLL
если нет, добавте по инструкции приложения 2 правил.)
17.07.2007, 14:40
Ita

[QUOTE='drongo;123221']не забудте прислать новый архив[/QUOTE]
Архив выслан.
22.02.2009, 02:01
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]3[/B][*]Обработано файлов: [B]15[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\windows\\system32\\ldcore.dll - [B]Trojan-Downloader.Win32.Small.dxm[/B] (DrWEB: Trojan.DownLoader.18468)[*] c:\\windows\\system32\\msvcrt62.dll - [B]Trojan-Downloader.Win32.Small.ecl[/B] (DrWEB: Trojan.DownLoader.28156)[/LIST][/LIST]