Trojan.hosts и trojan.carberp

Printable View

14.03.2012, 21:37
chiz1

Вложений: 3

Trojan.hosts и trojan.carberp

Добрый вечер. Блуждая по интернету, в один прекрасный момент вылетел Firefox. Перезапустив Drweb начал обезвреживать trojan.hosts.5571 и помещать в карантин. Далее просмотрев Диспетчер задач, я заметил странные процессы: iexplorer.exe — 2 штуки (использование памяти ~80кб и еще один 0.2592376907943884 (в процессах не висит, зато остался в Temp). Кроме того, в той же папке Temp появились файлы расширения .tmp с датой 1988 года и adobeupdater12345, которые я удалил. Также имеются вот такие файлы:
[spoiler]0.6286148197112535h7i.exe
blrfw
tvfbg.bat
0.46169710636229877.exe
140.tmp
bibjl.bat
x9nxf
wibnv.vbs
jijwa.vbs
ktgsn
mowvj
ncgxpf.dll
yfwilh.dll
vpjkxk.dll
chbnbd.dll
AdobeARM.log
0.8136258426416959h7i.exe
19F.tmp
o25x5
yumjp.bat
issnt.vbs
Main.class
Hzh7Ak2jKBk8GcmXVSqV0A
0.2592376907943884.exe
1DC.tmp
a.ico
n2xwp
fgwbh.bat
ydosu
pspayc.dll
eiuovw.dll
xzuzw.vbs
cymdd
sceqv
oaeukj.dll
~DF2B5.tmp[/spoiler]
При каждом новом открытии firefox и переходу на страницу (любую) drweb ругается на trojan.caberp.[ATTACH]355608[/ATTACH][ATTACH]355609[/ATTACH][ATTACH]355610[/ATTACH]
Спасибо.
14.03.2012, 21:38
Info_bot

Уважаемый(ая) [B]chiz1[/B], спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
14.03.2012, 22:24
regist

Здравствуйте!

Закройте все программы

Отключите
- ПК от интернета/локалки.
[url=http://virusinfo.info/showthread.php?t=57441]- Антивирус и Файрвол[/url]

[url=http://virusinfo.info/showthread.php?t=7239]Выполните скрипт в АВЗ[/url] -

[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\r_server.exe','');
QuarantineFile('G:\autorun.inf','');
QuarantineFile('C:\Documents and Settings\All Users\Application Data\QNtQeQhCpwHm.dll','');
QuarantineFile('C:\Program Files\KVIrc\kvirc.exe','');
QuarantineFile('c:\program files\task killer\taskkiller.exe','');
QuarantineFile('d:\[soft]\ninja\ninja.exe','');
DeleteFile('C:\Documents and Settings\All Users\Application Data\QNtQeQhCpwHm.dll');
AutoFixSPI;
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
ExecuteRepair(1);
ExecuteRepair(6);
ExecuteRepair(8);
ExecuteWizard('TSW',2,3,true);
RegKeyIntParamWrite('HKLM', 'SOFTWARE\Microsoft\Windows\CurrentVersion\policies\NonEnum', '{BDEADF00-C265-11D0-BCED-00A0C90AB50F}', 1);
RebootWindows(true);
end.

[/code]

[color=#FF0000]После выполнения скрипта компьютер перезагрузится.[/color]

[b]После перезагрузки:[/b]
- Выполните в АВЗ:
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
Файл [b]quarantine.zip[/b] из папки AVZ загрузите по ссылке "[color=Red][b]Прислать запрошенный карантин[/b][/color]" вверху темы.

- Сделайте повторные логи по [url=http://virusinfo.info/pravila.html]правилам[/url] п.2 и 3 раздела Диагностика.([color=Blue]virusinfo_syscheck.zip[/color])

+ Сделайте [url=http://virusinfo.info/showthread.php?t=115256]логи RSIT.[/url]

программу [B]KVIrc[/B] - C:\Program Files\KVIrc\kvirc.exe
и Radmin сами устанавливали ?

+ Проведите процедуру, которая описана в первом сообщении [url=http://virusinfo.info/showthread.php?t=3519][B]тут[/B][/url]. Результат загрузки напишите в сообщении здесь.
15.03.2012, 11:40
chiz1

Вложений: 4

Теперь компьютер не может получить IP у маршрутизатора. Напрямую подключение есть, пакеты идут, а соединения как будто нет. Еще drweb жалуется на потерянный LSP Hook.
KVirc и radmin устанавливал я.

Файл сохранён как 120315_073429_virusinfo_files_CHIZ1TOTO_4f619b8505 b00.zip
Размер файла 4576525
MD5 409353bc161dbe2cacd53e6d57873e16
15.03.2012, 20:08
chiz1

Также выскакивает окошко с надписью runtime error 216

[size="1"][color="#666686"][B][I]Добавлено через 5 часов 38 минут[/I][/B][/color][/size]

В общем справился сам. Спасибо хелперам и отдельное спасибо [URL="http://virusinfo.info/member.php?u=167436"]Olm[/URL]. Правда "runtime error 216" все еще беспокоит, когда открываю Панель управления.
15.03.2012, 21:27
thyrex

Сделайте лог [url="http://virusinfo.info/showpost.php?p=493610&postcount=1"]ComboFix[/url]
15.03.2012, 22:09
chiz1

Вложений: 1

Вот логи.
16.03.2012, 01:08
thyrex

Скопируйте текст ниже в Блокнот и сохраните как файл с названием [B]CFScript.txt[/B] на диск С.
[code]KillAll::

File::

Driver::

Folder::
C:\OZHpYPe0vBpjblk
c:\documents and settings\Администратор\Application Data\OZHpYPe0vBpjblk

Registry::

FileLook::

DirLook::[/code]
После сохранения переместите [B]CFScript.txt[/B] на пиктограмму ComboFix.exe.
[img]http://safezone.cc/images/cfscript.gif[/img]
Когда сохранится новый отчет [B]ComboFix.txt[/B], прикрепите его к сообщению.
16.03.2012, 09:32
chiz1

Вложений: 1

Сделал.
16.03.2012, 20:36
thyrex

Плохого не видно

[B]Смените все пароли[/B]
Что с проблемой?
16.03.2012, 20:51
chiz1

[QUOTE=thyrex;876862]Плохого не видно

[B]Смените все пароли[/B]
Что с проблемой?[/QUOTE]

Пароли сразу сменил. А вот runtime все еще всплывает.
[spoiler]
00002AD0
0001D4B4
0001B300
000139B0
00013978
00013908
00013940
000136E8[/spoiler]
26.03.2012, 21:39
chiz1

Не понимаю, захожу на некоторые ссылки ловлю carperp, заходят другие люди — ничего. Может дело во "мне"? :)
27.03.2012, 00:03
chiz1

Вложений: 4

Пробовал убить через avz файл в автозагрузки таким скриптом
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('c:\documents and settings\1\Главное меню\Программы\Автозагрузка\boRc2L7JGuQ.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]
Буквально через пару секунд появляется заново. Попробовал в combofix такой скрипт. После перезагрузки история повторяется.
[CODE]KillAll::

File::
C:\Documents and Settings\Администратор\Главное меню\Программы\Автозагрузка\boRc2L7JGuQ.exe
Driver::

Folder::
C:\P6rczKQZkS5yP3O
c:\documents and settings\Администратор\Application Data\P6rczKQZkS5yP3O

Registry::

FileLook::

DirLook::[/CODE]
Логи прилагаются.
27.03.2012, 02:31
Bratez

[quote="chiz1;879349"]Может дело во "мне"?[/quote]
Похоже на то:
[QUOTE]Platform: Windows [B][COLOR="#FF0000"]XP SP2[/COLOR][/B] (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)[/QUOTE]
Установите SP3 и последующие обновления.
(Может потребоваться повторная активация Windows).
27.03.2012, 08:04
thyrex

+ сделайте лог TDSSkiller
27.03.2012, 11:34
chiz1

Вложений: 1

Не знаю как, но вроде почистил с помощью avz и combofix. Sp установил, вот логи.
27.03.2012, 15:57
thyrex

Плохого не увидел

[B]Смените все пароли[/B]
28.03.2012, 15:57
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]18[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\documents and settings\\all users\\application data\\qntqeqhcpwhm.dll - [B]Trojan.Win32.Diple.evcd[/B] ( DrWEB: Trojan.KillAV.66, BitDefender: Backdoor.Bot.150551, NOD32: Win32/Delf.OEW trojan, AVAST4: Win32:Trojan-gen )[*] c:\\windows\\system32\\r_server.exe - [B]not-a-virus:RemoteAdmin.Win32.RAdmin.21[/B] ( DrWEB: Program.RemoteAdmin )[/LIST][/LIST]