Помогите вылечить трояна Trojan-Downloader.JS.Agent.ejl

Printable View

01.03.2012, 20:48
Cirer

Вложений: 3

Помогите вылечить трояна Trojan-Downloader.JS.Agent.ejl

Добрый вечер!
Поймал трояна, помогите пожалуйста вылучить.
На компе стоит Kaspersky 2010. Трояна он постоянно ловит, говорит что это Trojan-Downloader.JS.Agent.ejl, который живет в Local Settings\TEMP, что удалит после перезагрузе, но троян все равно появляется.
Проверял касперским и CureIt в безопасном режими. Последний нашел трояна в той же папке, что и каспер, удалил его, но проблема не решилась - троян все равно появляется.
К тому же не могу обновить касперского, пишет что ошибка подключения к источнику обновлений.
Система: Windows XP SP3.
Логи в аттаче.
Заранее благодарю за помощь.
01.03.2012, 20:49
Info_bot

Уважаемый(ая) [B]Cirer[/B], спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
03.03.2012, 03:13
Techno

[URL="http://virusinfo.info/showthread.php?t=53070"][B]Сделайте лог полного сканирования MBAM[/B][/URL].
03.03.2012, 14:10
Cirer

Вложений: 1

Добрый день!
Сделал.
03.03.2012, 18:50
Techno

- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните в АВЗ:[/URL]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\Program Files\Common Files\Microsoft Shared\Triedit\{E4FCB1CB-F8B0-4720-9457-705EB010F03E}.dll','');
BC_ImportAll;
BC_Activate;
RebootWindows(true);
end.[/CODE]

[COLOR="#FF0000"]Компьютер перезагрузится[/COLOR]

[B]После перезагрузки:[/B]
- Выполните в АВЗ:
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
Файл [B]quarantine.zip[/B] из папки AVZ загрузите по ссылке "[COLOR="Red"][B]Прислать запрошенный карантин[/B][/COLOR]" вверху темы.
03.03.2012, 20:34
Cirer

Скрипт выполнил. Карантин загрузил.
03.03.2012, 20:48
Techno

- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните в AVZ[/URL] скрипт из файла [URL="http://df.ru/~kad/ScanVuln.txt"]ScanVuln.txt[/URL]
- Откройте файл [B]avz_log.txt[/B] из под-папки [B]LOG[/B].
- Пройдитесь по ссылкам из файла [B]avz_log.txt[/B] и установите важные обновления.
- Перезагрузите компьютер.
- Повторите выполнение скрипта, чтобы убедиться, что уязвимости устранены.
03.03.2012, 21:37
Cirer

Спасибо!
Уязвимости устранил.

Но Касперский продолжает выдавать сообщения каждые 10 минут, об обнаружении трояна и удалении его после перезагрузки. Название трояна и его адрес все время одинаковые: Trojan-Downloader.Win32.Agent.gyai, адрес: C:\Documents and settings\Артур\Local settings\TEMP\_132deb6_.msi, программа: _132deb6_.ocx (взял из отчета касперского). Если удалать файл автоматически, выскакивает ошибка explorera и все папки закрываются. И обновление касперского так и не работает (пишет ошибка при подключении к серверу обновлений).
03.03.2012, 22:56
Techno

- [URL="http://virusinfo.info/showthread.php?t=58309"]Сделайте лог ComboFix[/URL].
04.03.2012, 00:38
Cirer

Вложений: 1

Лог сделал - в аттаче.
Вроде касперский пока ничего не "ловил". Единственное, после его (combofix) работы из панели задач пропал значек принтера HP и soundmax (это не критично, просто для информации).

Касперский так до сих пор не обновляется. Видимо надо переустановить, т.к. спустя какое-то время после того как поймал вирус, но до обращения к вам за помощью, касперский перестал работать (сказал что все компоненты повреждены), помог откак системы и возврат обратно. Извините, что не сказал это в начале, вылетело из головы.

А еще подскажите, нужно ли будет удалить combofix после лечения?
04.03.2012, 00:46
Techno

- [URL="http://virusinfo.info/showthread.php?t=58309&p=500136&viewfull=1#post500136"]Удалите ComboFix.[/URL]
04.03.2012, 01:14
Cirer

Combofix удалил.
Единственное, после перезагрузки, сново вылетело окошко касперского с информациоей и трояне, аналогичное тому, что описал выше. Может что-то не то с самим Касперским?
04.03.2012, 10:37
Techno

- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните в АВЗ:[/URL]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\Program Files\Common Files\Microsoft Shared\Triedit\{E4FCB1CB-F8B0-4720-9457-705EB010F03E}.dll');
DeleteFilemask('C:\Documents and settings\Артур\Local settings\TEMP','*.*',false);
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]

[COLOR="#FF0000"]Компьютер перезагрузится[/COLOR]

Что с проблемой?
04.03.2012, 23:24
Cirer

Добрый день!
Большое спасибо! Вроде помогло, сообщения касперского, что вирус найден, пока больше не появлялись.

Единственное, при загрузке виндоуз, теперь каздый раз появляется ошибка "Ошибка при загрузке C:\Program Files\Common Files\Microsoft Shared\Triedit\{E4FCB1CB-F8B0-4720-9457-705EB010F03E}.dll Не удается найти указанный модуль".
Это может повлиять на работу системы?
05.03.2012, 10:00
Techno

- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните в АВЗ:[/URL]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\Program Files\Common Files\Microsoft Shared\Triedit\{E4FCB1CB-F8B0-4720-9457-705EB010F03E}.sys','');
DeleteFile('C:\Program Files\Common Files\Microsoft Shared\Triedit\{E4FCB1CB-F8B0-4720-9457-705EB010F03E}.sys');
DeleteService('{E4FCB1CB-F8B0-4720-9457-705EB010F03E}');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]

[COLOR="#FF0000"]Компьютер перезагрузится[/COLOR]

[B]После перезагрузки:[/B]
- Выполните в АВЗ:
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
Файл [B]quarantine.zip[/B] из папки AVZ загрузите по ссылке "[COLOR="Red"][B]Прислать запрошенный карантин[/B][/COLOR]" вверху темы.

Повторите лог РСИТ
05.03.2012, 23:22
Cirer

Вложений: 2

Добрый вечер!
Карантин отправил. Логи РСИТ сделал - во вложении.
06.03.2012, 00:34
Techno

- [URL="http://virusinfo.info/showthread.php?t=4491"]Пофиксите в HijackThis:[/URL]
[CODE]O4 - Global Startup: {E4FCB1CB-F8B0-4720-9457-705EB010F03E}.lnk = C:\WINDOWS\system32\rundll32.exe[/CODE]

Перезагрузитесь и сообщите о результатах.
06.03.2012, 01:11
Cirer

Проблема вроде решилать - сообщение об ошибке больше не выскакивает и касперский начал обновляться.
Огромное вам спасибо!
07.03.2012, 01:11
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]6[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\program files\\common files\\microsoft shared\\triedit\\{e4fcb1cb-f8b0-4720-9457-705eb010f03e}.sys - [B]Rootkit.Win32.Pakes.adl[/B] ( DrWEB: Trojan.NtRootKit.12995, BitDefender: Trojan.Generic.KDV.553408, NOD32: Win32/KillAV.NNX trojan )[/LIST][/LIST]