norton находит deflib.sys (вирус hacktool.rootkit - по нортону)Trojan.Win32.Agent.asu - касперский

Printable View

02.09.2007, 18:01
Gurgen

Вложений: 3

norton находит deflib.sys (вирус hacktool.rootkit - по нортону)Trojan.Win32.Agent.asu - касперский

Система: Windows XP SP2 (англ.) с критическими обновлениями вплоть до 27-авг-2007г. включительно. Компьютер: нотбук Acer Aspire 5570Z (если важно.) Norton Antivirus 2005 (firewall windows заменен на нортоновский).

Norton Antivirus 2005 (renewal date: 01.09.2007) находит C:\WINDOWS\system32\DefLib.sys как вирус Hacktool.Rootkit, удаляет, но после перезагрузки, файл появляется заново.
Проверил файл по ссылке: [URL]http://www.kaspersky.ru/scanforvirus[/URL]
написал, что есть вирус Trojan.Win32.Agent.asu

Когда нортон включен сразу после загрузки компа через пару секунд начинается посылаться какие-то письма куда-то (нортон сканирует какие-то исходящие письма): при этом я сразу выключаю сеть, причем эти письма посылаются и при удаленном этом файле (deflib.sys).
Сделал все как расписано в инструкции тут: [URL]http://virusinfo.info/showthread.php?t=1235[/URL]
Причем DrWeb-CureIt! в безопасном режиме нашел только вирус Trojan.NTRootkit.361 в файле C:\windows\system32\drivers\protect.sys и удалил его. После перезагрузки этот файл снова появился, который Norton как вирус не распознает.
Выкладываю [B][I]virusinfo_syscheck.zip, virusinfo_syscure.zip и [/I]hijackthis.log.[/B]

Помогите, пожалуйста, избавиться от Trojan.Win32.Agent.asu.
Хотелось бы знать также, что этот троян делает, какие действия: ворует пароли или что еще?
Суважением, Гурген
02.09.2007, 18:13
Alex_Goodwin

1. Выполните скрипт:
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\i386kd.exe','');
QuarantineFile('protect.sys','');
QuarantineFile('cpwmon2k.dll','');
QuarantineFile('c:\windows\system32\svchost.exe:ext.exe:$DATA','');
QuarantineFile('c:\docume~1\gurgen\locals~1\temp\winlogon.exe','');
DeleteFile('c:\windows\system32\svchost.exe:ext.exe:$DATA');
DeleteFile('c:\docume~1\gurgen\locals~1\temp\winlogon.exe');
ExecuteSysClean;
BC_ImportAll;
BC_Activate;
RebootWindows(true);
end.[/code]
2. Карантин по правилам.
3. Пофиксите:[QUOTE]O23 - Service: Microsoft security update service (msupdate) - Unknown owner - c:\windows\system32\msvcrtd.exe[/QUOTE]
02.09.2007, 19:51
Gurgen

Вложений: 3

Спасибо, сделал, как сказано:
отключил восстановление системы и все программы, включая антивирус.
1) выполнил скрипт
2) "Скрипт лечения/карантина и сбора информации для раздела "Помогите!" virusinfo.info", потом перезагрузился
3) "Скрипт сбора информации для раздела "Помогите!" virusinfo.info"
4) профиксил O23 - Service: Microsoft security update service (msupdate) - Unknown owner - c:\windows\system32\msvcrtd.exe и перезагрузился
Потом снова запустил hijackthis смотрю этот msvcrt.exe еще сидит там
сделал фикс как описано тут: [url]http://virusinfo.info/showthread.php?t=4491[/url]
Delete an NT servise - пишет, что такого сервиса нету.
Потом зашел в безопасном режиме, снова проверил DrWeb-CureIt!-ом, опять пишет сообщение, что найден вирус Trojan.NTRootkit.361 в файле C:\windows\system32\drivers\protect.sys Потом DrWeb его удалил, перезагрузился, снова этот файл сидит.
Кстати не удалился и файл cpwmon2k.dll. Нортон эти файлы, как вирусы не распознает.
Проверил через [url]http://www.kaspersky.ru/scanforvirus[/url] эти два файла, отписался, что все чисто.
Проверил через [url]http://www.drweb.ru/scan/[/url] эти два файла. По файлу protect.sys пишет, что есть вирус Trojan.NTRootkit.361. По файлу cpwmon2k.dll все чисто.

Вроде никаких писем больше не отсылает, DefLib.sys исчез, а locals~1\temp\winlogon.exe' нету в списке стартапа. Потом проверил windows norton-ом, ничего не обнаружил.
Спасибо большое.

На всякий случай, выкладываю новые логи:
02.09.2007, 20:23
Alex_Goodwin

1. Карантин где?
2. Все на месте :(
3. Выполните скрипт: [code]begin
SetAVZGuardStatus(True);
SearchRootkit(true, true);
QuarantineFile('\SystemRoot\System32\Drivers\aw93v5r6.SYS','');
DeleteFile('\SystemRoot\System32\drivers\protect.sys');
DeleteFile('C:\WINDOWS\system32\msvcrtd.exe');
DeleteFile('C:\WINDOWS\system32\mssrv32.exe');
DeleteFile('C:\WINDOWS\system32\DefLib.sys');
BC_DeleteSvc('FCI');
BC_DeleteSvc('msupdate');
ExecuteSysClean;
BC_ImportAll;
BC_Activate;
RebootWindows(true);
end.[/code]
3. Пофиксить:
[QUOTE]O23 - Service: Microsoft security update service (msupdate) - Unknown owner - c:\windows\system32\msvcrtd.exe
O23 - Service: FCI - Unknown owner - C:\WINDOWS\system32\svchost.exe:ext.exe (file missing)
[/QUOTE]
02.09.2007, 20:52
Gurgen

выложил карантин (4 файла).
Выкладываю также: C:\WINDOWS\system32\cpwmon2k.dll
заархивированном виде с password-ом virus.
Файл C:\WINDOWS\system32\svchost.exe:ext.exe не смог добавить в архив, пишет используется.
02.09.2007, 20:58
Alex_Goodwin

Вы выполнили мой последний скрипт? выложите логи.
Карантин надо выкладывать по правилам!!!
02.09.2007, 21:08
Gurgen

3. Пофиксить:

Цитата:
O23 - Service: Microsoft security update service (msupdate) - Unknown owner - c:\windows\system32\msvcrtd.exe
O23 - Service: FCI - Unknown owner - C:\WINDOWS\system32\svchost.exe:ext.exe (file missing)
Повторил все до фикса.
023 - Servise: FCI - И так далее, а также svchost.exe:ext.exe в списках Jacka нету уже. Они пропали после проделывания последнего скрипта.
Посылаю новый карантин, там добавились 2 файла.
02.09.2007, 21:11
Alex_Goodwin

вот таким был последний скрипт. вы его выполнили? Сделайте логи снова.
[code]begin
SetAVZGuardStatus(True);
SearchRootkit(true, true);
QuarantineFile('\SystemRoot\System32\Drivers\aw93v5r6.SYS','');
DeleteFile('\SystemRoot\System32\drivers\protect.sys');
DeleteFile('C:\WINDOWS\system32\msvcrtd.exe');
DeleteFile('C:\WINDOWS\system32\mssrv32.exe');
DeleteFile('C:\WINDOWS\system32\DefLib.sys');
BC_DeleteSvc('FCI');
BC_DeleteSvc('msupdate');
ExecuteSysClean;
BC_ImportAll;
BC_Activate;
RebootWindows(true);
end.[/code]
02.09.2007, 21:13
Gurgen

Вложений: 3

[quote=Alex_Goodwin;131227]Вы выполнили мой последний скрипт? выложите логи.
Карантин надо выкладывать по правилам!!![/quote]

Скрипт выполнил, выкладываю логи.
ясно, но этот файл не смог добавить в карантин, поэтому выложил его.
02.09.2007, 21:14
Gurgen

[quote=Alex_Goodwin;131232]вот таким был последний скрипт. вы его выполнили? Сделайте логи снова.
[code]begin
SetAVZGuardStatus(True);
SearchRootkit(true, true);
QuarantineFile('\SystemRoot\System32\Drivers\aw93v5r6.SYS','');
DeleteFile('\SystemRoot\System32\drivers\protect.sys');
DeleteFile('C:\WINDOWS\system32\msvcrtd.exe');
DeleteFile('C:\WINDOWS\system32\mssrv32.exe');
DeleteFile('C:\WINDOWS\system32\DefLib.sys');
BC_DeleteSvc('FCI');
BC_DeleteSvc('msupdate');
ExecuteSysClean;
BC_ImportAll;
BC_Activate;
RebootWindows(true);
end.[/code][/quote]

Да, именно его и выполнил.
02.09.2007, 21:19
Alex_Goodwin

Это еще есть вирус Email-Worm.Win32.Mydoom.bj - i386kd.exe
Это было троянская программа Trojan-Proxy.Win32.Small.fz
Выполните скрипт: [code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\WINDOWS\system32\i386kd.exe');
DeleteFile('\SystemRoot\System32\drivers\protect.sys');
ExecuteSysClean;
BC_ImportAll;
BC_Activate;
RebootWindows(true);
end.[/code]
2. Сделайте новые логи!
02.09.2007, 21:25
Gurgen

[quote=Alex_Goodwin;131236]Вроде все чисто. Как ощущения?[/quote]

Вроде все нормально.
Меня одно настораживает только, этот файл C:\WINDOWS\system32\drivers\protect.sys
Во-первых, DrWeb-CureIt! распознает его как вирус Trojan.NTRootkit.361, про которого ничего не нарыл в инете.
Он этот файл находит, пишет, что заражен, удаляет, делаю рестарт, этот файл снова появляется. Кстати, он единственный в папке drivers, который hidden.

А, так, и в процессах щас ничего подозрительного не нахожу, и вроде ничего не отсылается, система дышит ровно вроде.
02.09.2007, 21:32
Alex_Goodwin

См. мое предыдущее сообщение.
02.09.2007, 21:55
Gurgen

Вложений: 3

[quote=Alex_Goodwin;131236]Это еще есть вирус Email-Worm.Win32.Mydoom.bj - i386kd.exe
Это было троянская программа Trojan-Proxy.Win32.Small.fz
Выполните скрипт: [code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\WINDOWS\system32\i386kd.exe');
DeleteFile('\SystemRoot\System32\drivers\protect.sys');
ExecuteSysClean;
BC_ImportAll;
BC_Activate;
RebootWindows(true);
end.[/code]
2. Сделайте новые логи![/quote]

Все, сделал, выкладываю логи.
В карантине ничего не найдено.
файл C:\WINDOWS\system32\drivers\protect.sys пропал.
02.09.2007, 22:21
Gurgen

Спасибо огромное!
Вроде все чисто.
Чем могу я быть полезен вам?
03.09.2007, 02:30
Muzzle

Сделаем кое-какую оптимизацию системы :
выполните скрипт
[CODE]begin
SetAVZGuardStatus(True);
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Control\LSA','RestrictAnonymous', 2);
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'System\CurrentControlSet\Services\LanmanServer\Parameters','AutoShareWks', 0);
SetServiceStart('RemoteRegistry', 4);
RebootWindows(true);
end.[/CODE]
после скрипта компьютер перезагрузится.

В логах ничего подозрительного больше нет,если проблема пропала то лечение можно считать законченным.
Рекомендую работать под пользователем с ограниченными правами.
По возможности не использовать Internet Explorer,а пользоваться другими браузерам,например Opera,Firefox (с отключенными java скриптами,разрешая их выполнения только доверенным сайтам)
Советуем прочитать [URL="http://security-advisory.newmail.ru/"]электронную книгу[/URL])"Безопасный Интернет. Универсальная защита для Windows ME - Vista".
Вы можете нас отблагодарить,[URL="http://www.virusinfo.info/showthread.php?t=3519"]оказав нам помощь в сборе базы безопасных файлов.[/URL] Мы будем Вам очень благодарны!

Удачи!
03.09.2007, 05:02
Gurgen

Вы можете нас отблагодарить,[URL="http://www.virusinfo.info/showthread.php?t=3519"]оказав нам помощь в сборе базы безопасных файлов.[/URL] Мы будем Вам очень благодарны!

Удачи![/quote]

2 раза закачал файл virusinfo_files_WSK1.zip сюда [URL]http://virusinfo.info/upload_clean.php[/URL] , но никакого отчета не последовало, поэтому выложил тут: [URL]http://nver.ru/avz/virusinfo_files_WqLkinQ1.zip[/URL]

размер: 11,2 MB (11 829 248 bytes)
имя файла: virusinfo_files_WqLkinQ1.zip

Благодарности Вам.
22.02.2009, 02:21
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]9[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\documents and settings\\gurgen\\local settings\\temp\\winlogon.exe - [B]Trojan-Proxy.Win32.Small.fz[/B] (DrWEB: Trojan.Packed.147)[*] c:\\docume~1\\gurgen\\locals~1\\temp\\winlogon.exe - [B]Trojan-Proxy.Win32.Small.fz[/B] (DrWEB: Trojan.Packed.147)[*] c:\\windows\\system32\\drivers\\protect.sys - [B]Rootkit.Win32.Agent.jj[/B] (DrWEB: Trojan.NtRootKit.429)[*] c:\\windows\\system32\\i386kd.exe - [B]Email-Worm.Win32.Mydoom.bj[/B] (DrWEB: Trojan.Spambot.2424)[/LIST][/LIST]