Долгая загрузка, спам, кража паролей

Printable View

10.12.2011, 23:29
MaxS

Вложений: 3

Долгая загрузка, спам, кража паролей

Здравствуйте!
Некоторое время компьютер был без антивирусной защиты и, видимо, я нахватал за это время…
Симптомы:
- Долгая загрузка системы: Иногда висит по 5 минут за экране выбора пользователя (после ввода пароля), иногда после появления фоновой картинки рабочего стола. Но в целом - время загрузки существенно увеличилось по сравнению с месяцем-двумя раньше.
- Друзья пожаловались на спам с почты
- Украли пароль от аккаунта онлайновой игрушки и стащили все золото >:( (конечно не 100% что в этом виноват кей-логгер, но это было бы самым разумным обяснением)

Полная проверка антивирусом Касперского выявила около 50 зараженных файлов (среди вирусов - Worm.Win32.AutoIt, Packed.Win32.Krap, Trojan-Ransom.Win32.PinkBlocked, Trojan.Win32.Agent, Trojan.Win32.Swisyn и куча даунлоадеров и експлоит-троянов использующих дыры в java (еще не обновлял, но обязательно сделаю это после лечения)).

Буду благодарен любой помощи!
10.12.2011, 23:30
Info_bot

Уважаемый(ая) [B]MaxS[/B], спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"] правилах оформления запроса о помощи[/URL].

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
10.12.2011, 23:39
thyrex

Сделайте лог [url="http://virusinfo.info/showpost.php?p=457118&postcount=1"]полного сканирования МВАМ[/url]
11.12.2011, 03:08
MaxS

Вложений: 1

Готово.
11.12.2011, 12:25
thyrex

В AVZ выполните скрипт:

[code]
begin
QuarantineFile('c:\documents and settings\all users\application data\seekservice\seekservice189.exe', 'MBAM: Adware.Agent.ZGen');
QuarantineFile('c:\documents and settings\OEM\my documents\amazingcdburnerfree.exe', 'MBAM: Adware.Advantage');
QuarantineFile('c:\program files\advantage\advuninst.exe', 'MBAM: Trojan.Agent');
QuarantineFile('c:\program files\advantage\{a89aed22-9133-424c-88e7-c8235c5ff302}\components\memedia_ff.dll', 'MBAM: Adware.AdVantage');
QuarantineFile('c:\documents and settings\OEM\application data\avdrn.dat', 'MBAM: Malware.Trace');
QuarantineFile('c:\documents and settings\skydancer\application data\wiaserva.log', 'MBAM: Malware.Trace');
QuarantineFile('c:\WINDOWS\system32\calck.exe', 'MBAM: Trojan.Fkantakte');
QuarantineFile('c:\WINDOWS\system32\fjhdyfhsn.bat', 'MBAM: Malware.Trace');
QuarantineFile('c:\WINDOWS\system32\skynetplookhit.dat', 'MBAM: Rootkit.TDSS');
QuarantineFile('c:\WINDOWS\system32\skynetubptqkup.dat', 'MBAM: Rootkit.TDSS');
QuarantineFile('c:\documents and settings\all users\firefox.exe', 'MBAM: Rootkit.Dropper');
QuarantineFile('c:\program files\advantage\ffext.mod', 'MBAM: Adware.Advantage');
QuarantineFile('c:\program files\advantage\advantage.db', 'MBAM: Adware.Advantage');
QuarantineFile('c:\program files\advantage\advantage.htm', 'MBAM: Adware.Advantage');
QuarantineFile('c:\program files\advantage\user.db', 'MBAM: Adware.Advantage');
QuarantineFile('c:\program files\advantage\{a89aed22-9133-424c-88e7-c8235c5ff302}\chrome.manifest', 'MBAM: Adware.Advantage');
QuarantineFile('c:\program files\advantage\{a89aed22-9133-424c-88e7-c8235c5ff302}\install.js', 'MBAM: Adware.Advantage');
QuarantineFile('c:\program files\advantage\{a89aed22-9133-424c-88e7-c8235c5ff302}\install.rdf', 'MBAM: Adware.Advantage');
QuarantineFile('c:\program files\advantage\{a89aed22-9133-424c-88e7-c8235c5ff302}\vssver2.scc', 'MBAM: Adware.Advantage');
QuarantineFile('c:\program files\advantage\{a89aed22-9133-424c-88e7-c8235c5ff302}\chrome\content\advantage.png', 'MBAM: Adware.Advantage');
QuarantineFile('c:\program files\advantage\{a89aed22-9133-424c-88e7-c8235c5ff302}\chrome\content\contents.rdf', 'MBAM: Adware.Advantage');
QuarantineFile('c:\program files\advantage\{a89aed22-9133-424c-88e7-c8235c5ff302}\chrome\content\overlay.js', 'MBAM: Adware.Advantage');
QuarantineFile('c:\program files\advantage\{a89aed22-9133-424c-88e7-c8235c5ff302}\chrome\content\overlay.xul', 'MBAM: Adware.Advantage');
QuarantineFile('c:\program files\advantage\{a89aed22-9133-424c-88e7-c8235c5ff302}\chrome\content\vssver2.scc', 'MBAM: Adware.Advantage');
QuarantineFile('c:\program files\advantage\{a89aed22-9133-424c-88e7-c8235c5ff302}\chrome\locale\en-US\overlay.dtd', 'MBAM: Adware.Advantage');
QuarantineFile('c:\program files\advantage\{a89aed22-9133-424c-88e7-c8235c5ff302}\chrome\locale\en-US\vssver2.scc', 'MBAM: Adware.Advantage');
QuarantineFile('c:\program files\advantage\{a89aed22-9133-424c-88e7-c8235c5ff302}\components\imemedia_ff.xpt', 'MBAM: Adware.Advantage');
QuarantineFile('c:\documents and settings\all users\application data\seekservice\seekservice193.exe', 'MBAM: Adware.SeekService');
QuarantineFile('c:\documents and settings\all users\application data\seekservice\seekservice197.exe', 'MBAM: Adware.SeekService');
QuarantineFile('c:\program files\seekservice\uninstall.exe', 'MBAM: Adware.SeekService');
QuarantineFileF('c:\documents and settings\all users\application data\seekservice', '*.*', true,'', 0, 0, '', '');
BC_ImportAll;
BC_Activate;
RebootWindows(true);
end.
[/code]

После перезагрузки

[code]
begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.
[/code]

Пришлите карантин [b]quarantine.zip[/b] по красной ссылке [B][COLOR="Red"][U]Прислать запрошенный карантин[/U][/COLOR][/B] вверху темы.

[url="http://virusinfo.info/showpost.php?p=493584&postcount=2"]Удалите в МВАМ[/url] все, [b]кроме[/b] [code]HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\AntiVirusDisableNotify (PUM.Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\FirewallDisableNotify (PUM.Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\UpdatesDisableNotify (PUM.Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> No action taken.

c:\documents and settings\OEM\my documents\office_professional\keygen.exe (RiskWare.Tool.CK) -> No action taken.
c:\program files\lucas art\star wars battlefront ii\GameData\Mount.exe (Malware.Packer.Gen) -> No action taken.
c:\program files\lucas art\lineage ii abyss\system\gameguard.des (Trojan.Agent) -> No action taken.
c:\program files\lucas art\lineage ii gracia\system-nash\NWindow.dll (Malware.Packer.T) -> No action taken.
c:\program files\rockstar games\grand theft auto iv\launchgtaiv.exe (Risktool.Crack) -> No action taken.
c:\скачивание\grand.theft.auto.iv\launchgtaiv.exe (Risktool.Crack) -> No action taken.
d:\program files\lucas art\lineage ii abyss\system\gameguard.des (Trojan.Agent) -> No action taken.
c:\documents and settings\all users\firefox.exe (Rootkit.Dropper) -> No action taken.[/code]

Повторите лог mbam
13.12.2011, 09:47
MaxS

Вложений: 1

Сделано.
13.12.2011, 09:53
thyrex

[CODE]c:\avz4\quarantine\2011-12-11\avz00001.dta (Adware.Agent.ZGen) -> No action taken.
c:\avz4\quarantine\2011-12-11\avz00002.dta (Adware.Advantage) -> No action taken.
c:\avz4\quarantine\2011-12-11\avz00003.dta (Trojan.Agent) -> No action taken.
c:\avz4\quarantine\2011-12-11\avz00004.dta (Adware.AdVantage) -> No action taken.
c:\avz4\quarantine\2011-12-11\bcqr00005.dat (Trojan.Agent) -> No action taken.
c:\avz4\quarantine\2011-12-11\bcqr00006.dat (Trojan.Agent) -> No action taken.
c:\avz4\quarantine\2011-12-11\bcqr00007.dat (Adware.AdVantage) -> No action taken.
c:\avz4\quarantine\2011-12-11\bcqr00008.dat (Adware.AdVantage) -> No action taken.
c:\avz4\quarantine\2011-12-11\bcqr00004.dat (Adware.Advantage) -> No action taken.
c:\avz4\quarantine\2011-12-11\bcqr00001.dat (Adware.Agent.ZGen) -> No action taken.
c:\avz4\quarantine\2011-12-11\bcqr00002.dat (Adware.Agent.ZGen) -> No action taken.
c:\avz4\quarantine\2011-12-11\bcqr00003.dat (Adware.Advantage) -> No action taken.[/CODE]Почему не удалили?

Что с проблемой?
13.12.2011, 18:18
MaxS

Забыл что карантин avz уже был в архиве и эти файлы уже не были нужны .. удалить их ?

Проблема с загрузкой пока осталась. После смены паролей спама и взломов пока не было, тут проверить конечно потрднее )
14.12.2011, 18:18
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]89[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\documents and settings\\oem\\my documents\\amazingcdburnerfree.exe - [B]not-a-virus:WebToolbar.Win32.RK.cb[/B] ( DrWEB: archive: Adware.SaveNow.144, BitDefender: Dropped:Spyware.Relevantknowledge.A, NOD32: Win32/Adware.RK.AB application )[/LIST][/LIST]