NOD обнаруживает трояны, и никак не может их удалить

Printable View

17.08.2007, 18:28
bzyaka

Вложений: 3

NOD обнаруживает трояны, и никак не может их удалить

Последнее время, браузер Internet Explorer после загрузки компа, выдает окошко, что не может подключиться к сети.
Проверила avast ничего не обнаружил, снесла его, поставила NOD32.
После загрузки компа, NOD выдает сообщение что найдены подозрительные файлы sstqn.dll, khfeeda.dll подозрение на троян, удалить он их не может. Сейчас вообще комп начал виснуть после получаса нахождения в сети. Не знаю, что мне делать. Вы не могли бы помочь?
17.08.2007, 18:34
Rene-gad

@bzyaka
Выполните скрипт
[CODE]begin
QuarantineFile('C:\W','');
QuarantineFile('winuqw32.dll','');
QuarantineFile('C:\WINDOWS\system32\j4291833.dll','');
QuarantineFile('C:\WINDOWS\system32\khfeeda.dll','');
QuarantineFile('C:\WINDOWS\system32\awtsp.dll','');
QuarantineFile('C:\WINDOWS\system32\geebx.dll','');
QuarantineFile('C:\WINDOWS\system32\sstqn.dll','');
QuarantineFile('C:\WINDOWS\system32\uivfnavl.dll','');
end.[/CODE]
карантин - [URL="http://virusinfo.info/upload_virus.php"]в студию[/URL]
17.08.2007, 19:43
bzyaka

[code]begin
QuarantineFile('C:\W','');
QuarantineFile('winuqw32.dll','');
QuarantineFile('C:\WINDOWS\system32\j4291833.dll','');

QuarantineFile('C:\WINDOWS\system32\awtsp.dll','');
QuarantineFile('C:\WINDOWS\system32\geebx.dll','');

QuarantineFile('C:\WINDOWS\system32\uivfnavl.dll','');
end.[/code]

выше указанные файлы не были найдены, только khfeeda.dll, sstqn.dll,
которые уже Вам отправлены

[size="1"][color="#666686"][B][I]Добавлено через 35 минут[/I][/B][/color][/size]

скрипт выполнила, чего дальше то делать?
18.08.2007, 03:10
Bratez

Пофиксите в HijackThis:
[code]
O9 - Extra button: Быстрая настройка Outpost Firewall Pro - {44627E97-789B-40d4-B5C2-58BD171129A1} - C:\PROGRA~1\Agnitum\OUTPOS~1\Plugins\BrowserBar\ie_bar.dll (file missing)
O9 - Extra button: (no name) - {CD67F990-D8E9-11d2-98FE-00C0F0318AFE} - (no file)
O9 - Extra button: FlashGet - {D6E814A0-E0C5-11d4-8D29-0050BA6940E3} - C:\PROGRA~1\FlashGet\flashget.exe (file missing)
O9 - Extra 'Tools' menuitem: &FlashGet - {D6E814A0-E0C5-11d4-8D29-0050BA6940E3} - C:\PROGRA~1\FlashGet\flashget.exe (file missing)
O9 - Extra button: Trashcan - {072F3B8A-2DA2-40e2-B841-88899F240200} - C:\Program Files\Agnitum\Outpost Firewall\TRASH.EXE (file missing) (HKCU)
O9 - Extra 'Tools' menuitem: Show Trashcan - {072F3B8A-2DA2-40e2-B841-88899F240200} - C:\Program Files\Agnitum\Outpost Firewall\TRASH.EXE (file missing) (HKCU)[/code]

Выполните следующий скрипт:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
ClearQuarantine;
QuarantineFile('C:\WINDOWS\system32\uivfnavl.dll','');
QuarantineFile('winuqw32.dll','');
QuarantineFile('C:\W','');
QuarantineFile('C:\WINDOWS\system32\j4291833.dll','');
QuarantineFile('C:\WINDOWS\system32\geebx.dll','');
QuarantineFile('C:\WINDOWS\system32\awtsp.dll','');
QuarantineFile('C:\WINDOWS\system32\gsyglgtd.exe','');
DeleteFile('C:\W');
DeleteFile('C:\WINDOWS\system32\awtsp.dll');
DeleteFile('C:\WINDOWS\system32\geebx.dll');
DeleteFile('C:\WINDOWS\system32\j4291833.dll');
DeleteFile('C:\WINDOWS\system32\khfeeda.dll');
DeleteFile('C:\WINDOWS\system32\sstqn.dll');
DeleteFile('winuqw32.dll');
DeleteFile('C:\WINDOWS\system32\uivfnavl.dll');
DeleteFile('C:\WINDOWS\system32\gsyglgtd.exe');
DeleteFile('C:\Documents and Settings\admin\Local Settings\Temp\*.*');
BC_ImportDeletedList;
ExecuteSysClean;
BC_DeleteSvc('Netlogon');
BC_DeleteSvc('NtLmSsp');
BC_DeleteSvc('PolicyAgent');
BC_Activate;
RebootWindows(true);
end.[/code]
Компьютер перезагрузится.
Пришлите содержимое карантина согласно приложению 3 правил.
Сделайте новые логи.
18.08.2007, 09:52
bzyaka

сделала, как вы сказали

[size="1"][color="#666686"][B][I]Добавлено через 6 минут[/I][/B][/color][/size]

вот
18.08.2007, 11:21
Muzzle

логи забыли? :)
19.08.2007, 19:03
bzyaka

Вложений: 3

логи
19.08.2007, 20:23
Alex_Goodwin

1. Пофиксить [QUOTE] O2 - BHO: (no name) - {128D90D9-0F31-4ED8-9D94-1DC7B615B50C} - C:\WINDOWS\system32\sstqn.dll (file missing)
O2 - BHO: Ofb1 - {3E1500AC-87A5-416b-A211-82E848649DA9} - (no file)
O2 - BHO: (no name) - {A5366673-E8CA-11D3-9CD9-0090271D075B} - (no file)
O2 - BHO: (no name) - {AA6CD9C3-EDC7-4A55-8F93-F9F308B95983} - C:\WINDOWS\system32\geebx.dll (file missing)
O2 - BHO: (no name) - {CBAB8744-0360-4C78-9742-8E50DF36CDAE} - C:\WINDOWS\system32\awtsp.dll (file missing)
O2 - BHO: (no name) - {D72DA88A-B9B4-42CF-AB16-8349C8B80A39} - C:\WINDOWS\system32\khfeeda.dll (file missing)
O20 - Winlogon Notify: khfeeda - khfeeda.dll (file missing)[/QUOTE]
2. Выполните скрипт, карантин по правилам.
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\khfeeda.dll','');
QuarantineFile('C:\WINDOWS\system32\awtsp.dll','');
QuarantineFile('C:\WINDOWS\system32\geebx.dll','');
QuarantineFile('C:\WINDOWS\system32\sstqn.dll','');
QuarantineFile('C:\WINDOWS\system32\vucokmvy.dll','');
BC_ImportAll;
BC_Activate;
RebootWindows(true);
end.[/code]
20.08.2007, 02:26
Bratez

Выполните такой скрипт:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\Documents and Settings\admin\Local Settings\Temp\*.dll');
DeleteFile('C:\Documents and Settings\admin\Local Settings\Temp\*.tmp');
DeleteFile('C:\WINDOWS\system32\xtehcsmo.dll');
DeleteFile('C:\WINDOWS\system32\vucokmvy.dll');
BC_ImportDeletedList;
BC_DeleteSvc('DomainService');
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]
После перезагрузки пофиксите в HijackThis:
[code]
O2 - BHO: (no name) - {CF46BFB3-2ACC-441b-B82B-36B9562C7FF1} - C:\WINDOWS\system32\vucokmvy.dll
O20 - Winlogon Notify: awtsp - C:\WINDOWS\
O20 - Winlogon Notify: geebx - C:\WINDOWS\
O20 - Winlogon Notify: sstqn - C:\WINDOWS\
O20 - Winlogon Notify: winuqw32 - C:\WINDOWS\
[/code]
и сделайте новые логи.
20.08.2007, 04:55
bzyaka

Вложений: 3

запрошенные логи
20.08.2007, 05:40
Bratez

Теперь в системе чисто, только не удалось скриптом почистить временную папку [B]C:\Documents and Settings\admin\Local Settings\Temp\[/B] . В ней нужно удалить все полностью.
Сделайте это вручную в проводнике, только предварительно включите показ скрытых и системных файлов и папок (Сервис - Свойства папки - Вид).
20.08.2007, 18:16
bzyaka

Спасибо всем за помощь. :)
22.02.2009, 02:14
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]5[/B][*]Обработано файлов: [B]25[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\documents and settings\\admin\\local settings\\temp\\cacqjojo.dll - [B]Trojan-Spy.Win32.VBStat.h[/B][*] c:\\documents and settings\\admin\\local settings\\temp\\jtmjiivy.dll - [B]Trojan-Spy.Win32.VBStat.h[/B][*] c:\\documents and settings\\admin\\local settings\\temp\\lnhufbak.dll - [B]Trojan-Spy.Win32.VBStat.h[/B][*] c:\\documents and settings\\admin\\local settings\\temp\\nfbhyrlo.dll - [B]Trojan-Spy.Win32.VBStat.h[/B][*] c:\\documents and settings\\admin\\local settings\\temp\\oxnwflgm.dll - [B]Trojan-Spy.Win32.VBStat.h[/B][*] c:\\documents and settings\\admin\\local settings\\temp\\rhracxke.dll - [B]Trojan-Spy.Win32.VBStat.h[/B][*] c:\\documents and settings\\admin\\local settings\\temp\\uunoiqde.dll - [B]Trojan-Spy.Win32.VBStat.h[/B][*] c:\\documents and settings\\admin\\local settings\\temp\\wehnwube.dll - [B]Trojan-Spy.Win32.VBStat.h[/B][*] c:\\documents and settings\\admin\\local settings\\temp\\wnd154.tmp - [B]Trojan.Win32.Dialer.qn[/B] (DrWEB: Trojan.Mezzia)[*] c:\\documents and settings\\admin\\local settings\\temp\\wnd174.tmp - [B]Trojan.Win32.Dialer.qn[/B] (DrWEB: Trojan.Mezzia)[*] c:\\windows\\system32\\sstqn.dll - [B]not-a-virus:AdWare.Win32.Virtumonde.wi[/B] (DrWEB: Trojan.Virtumod)[*] c:\\windows\\system32\\vucokmvy.dll - [B]Trojan.Win32.BHO.bd[/B] (DrWEB: Trojan.Virtumod)[*] \\khfeeda.dll - [B]not-a-virus:AdWare.Win32.Virtumonde.jp[/B] (DrWEB: Trojan.Virtumod)[*] \\sstqn.dll - [B]not-a-virus:AdWare.Win32.Virtumonde.wi[/B] (DrWEB: Trojan.Virtumod)[/LIST][/LIST]