Странный вирус [Trojan.Win32.Jorik.IRCbot.qrq, Backdoor.Win32.SdBot.zgv ]

Printable View

23.08.2012, 23:10
Kyd

Вложений: 3

Странный вирус [Trojan.Win32.Jorik.IRCbot.qrq, Backdoor.Win32.SdBot.zgv ]

Добрый день помогите пожалуйста разделаться с вирусом, первый раз такое вижу. Постоянно появляются файлы на подобии C:\WINDOWS\system32\00.exe, C:\WINDOWS\system32\13.exe. Удаление этих файлов ничего не дает они появляются снова. Антивирус Аваст на них ругается говорит что трояны. После 10-15 минут работы в интернете на мой компьютер начинаются атаки с разных ip-адресов. Приблизительно после часа работы выскакивает ошибка Generic Host Process for Win32 Services (произошла ошибка) и перестает работать интернет.
Буду признателен за помощь.
23.08.2012, 23:11
Info_bot

Уважаемый(ая) [B]Kyd[/B], спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
24.08.2012, 00:48
regist

Здравствуйте!

Закройте все программы

Отключите
- ПК от интернета/локалки.
[url=http://virusinfo.info/showthread.php?t=57441]- Антивирус и Файрвол[/url]

[url=http://virusinfo.info/showthread.php?t=7239]Выполните скрипт в АВЗ[/url] -

[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\84.exe','');
QuarantineFile('C:\WINDOWS\system32\81.exe','');
QuarantineFile('C:\WINDOWS\system32\75.exe','');
QuarantineFile('C:\WINDOWS\system32\60.exe','');
QuarantineFile('C:\WINDOWS\system32\54.exe','');
QuarantineFile('C:\WINDOWS\system32\47.exe','');
QuarantineFile('C:\WINDOWS\system32\46.exe','');
QuarantineFile('C:\WINDOWS\system32\43.exe','');
QuarantineFile('C:\WINDOWS\system32\28.exe','');
QuarantineFile('C:\WINDOWS\system32\00.exe','');
QuarantineFile('c:\recycler\r-1-5-21-1482476501-1644491937-682003330-1013\avmngs.exe','');
QuarantineFile('c:\recycler\r-1-5-21-1482476501-1644491937-682003330-1013\avmngs.exe','');
QuarantineFile('C:\WINDOWS\system32\43.exe','');
QuarantineFile('C:\WINDOWS\system32\47.exe','');
QuarantineFile('C:\WINDOWS\system32\54.exe','');
QuarantineFile('C:\WINDOWS\system32\60.exe','');
QuarantineFile('C:\WINDOWS\system32\75.exe','');
QuarantineFile('C:\WINDOWS\system32\81.exe','');
QuarantineFile('C:\WINDOWS\system32\00.exe','');
QuarantineFile('C:\WINDOWS\system32\28.exe','');
QuarantineFile('C:\WINDOWS\system32\46.exe','');
QuarantineFile('C:\WINDOWS\system32\84.exe','');
DeleteFile('c:\recycler\r-1-5-21-1482476501-1644491937-682003330-1013\avmngs.exe');
DeleteFile('C:\WINDOWS\system32\43.exe');
DeleteFile('C:\WINDOWS\system32\47.exe');
DeleteFile('C:\WINDOWS\system32\54.exe');
DeleteFile('C:\WINDOWS\system32\60.exe');
DeleteFile('C:\WINDOWS\system32\75.exe');
DeleteFile('C:\WINDOWS\system32\81.exe');
DeleteFile('C:\WINDOWS\system32\00.exe');
DeleteFile('C:\WINDOWS\system32\28.exe');
DeleteFile('C:\WINDOWS\system32\46.exe');
DeleteFile('C:\WINDOWS\system32\84.exe');
RegKeyParamDel('HKLM','Software\Microsoft\Windows NT\CurrentVersion\Winlogon','Taskman');
RegKeyIntParamWrite('HKLM','SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer','NoDriveTypeAutoRun', 221);
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
ExecuteWizard('TSW',2,3,true);
ExecuteWizard('TSW',2,3,true);
RebootWindows(true);
end.

[/code]

[color=#FF0000]После выполнения скрипта компьютер перезагрузится.[/color]

[b]После перезагрузки:[/b]
- Выполните в АВЗ:
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
Файл [b]quarantine.zip[/b] из папки AVZ загрузите по ссылке "[color=Red][b]Прислать запрошенный карантин[/b][/color]" вверху темы.

- Сделайте повторные логи по [url=http://virusinfo.info/pravila.html]правилам[/url] п.2 и 3 раздела Диагностика.([color=Blue]virusinfo_syscheck.zip;hijackthis.log[/color])

- Сделайте лог [url=http://virusinfo.info/showpost.php?p=457118&postcount=1]полного сканирования МВАМ.[/url]
24.08.2012, 10:27
Kyd

Вложений: 3

Карантин отправил
24.08.2012, 11:07
regist

Здравствуйте!

Закройте все программы

Отключите
- ПК от интернета/локалки.
[url=http://virusinfo.info/showthread.php?t=57441]- Антивирус и Файрвол[/url]

[url=http://virusinfo.info/showthread.php?t=7239]Выполните скрипт в АВЗ[/url] -

[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
QuarantineFile('C:\RECYCLER\R-1-5-21-1482476501-1644491937-682003330-1013','');
QuarantineFile('C:\WINDOWS\system32\78.exe','');
QuarantineFile('C:\WINDOWS\system32\21.exe','');
QuarantineFile('C:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5\9BFOS3FJ\h2[1].exe','');
QuarantineFile('C:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5\9BFOS3FJ\h2[2].exe','');
QuarantineFile('c:\documents and settings\networkservice\local settings\temporary internet files\content.ie5\jsyyu686\qxxnpxxm[1].jpg','');
QuarantineFile('c:\documents and settings\networkservice\local settings\temporary internet files\content.ie5\jsyyu686\zxtqody[1].jpg','');
QuarantineFile('C:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5\RKIRY8XP\g[1].exe','');
QuarantineFile('C:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5\RKIRY8XP\g[2].exe','');
QuarantineFile('C:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5\S73TBT5S\o[1].exe','');
QuarantineFile('C:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5\S73TBT5S\o[2].exe','');
QuarantineFile('C:\System Volume Information\_restore{6B1C31C8-3180-423C-8FAC-AEB0BAB776DA}\RP25\A0005004.exe','');
QuarantineFile('C:\System Volume Information\_restore{6B1C31C8-3180-423C-8FAC-AEB0BAB776DA}\RP26\A0005141.exe','');
QuarantineFile('C:\System Volume Information\_restore{6B1C31C8-3180-423C-8FAC-AEB0BAB776DA}\RP26\A0005229.exe','');
QuarantineFile('C:\System Volume Information\_restore{6B1C31C8-3180-423C-8FAC-AEB0BAB776DA}\RP26\A0005228.exe','');
QuarantineFile('C:\System Volume Information\_restore{6B1C31C8-3180-423C-8FAC-AEB0BAB776DA}\RP26\A0005230.exe','');
QuarantineFile('C:\System Volume Information\_restore{6B1C31C8-3180-423C-8FAC-AEB0BAB776DA}\RP26\A0005231.exe','');
QuarantineFile('C:\System Volume Information\_restore{6B1C31C8-3180-423C-8FAC-AEB0BAB776DA}\RP26\A0005232.exe','');
QuarantineFile('C:\System Volume Information\_restore{6B1C31C8-3180-423C-8FAC-AEB0BAB776DA}\RP26\A0005233.exe','');
QuarantineFile('C:\System Volume Information\_restore{6B1C31C8-3180-423C-8FAC-AEB0BAB776DA}\RP26\A0005234.exe','');
QuarantineFile('C:\System Volume Information\_restore{6B1C31C8-3180-423C-8FAC-AEB0BAB776DA}\RP26\A0005235.exe','');
QuarantineFile('C:\System Volume Information\_restore{6B1C31C8-3180-423C-8FAC-AEB0BAB776DA}\RP26\A0005236.exe','');
QuarantineFile('C:\System Volume Information\_restore{6B1C31C8-3180-423C-8FAC-AEB0BAB776DA}\RP26\A0005237.exe','');
QuarantineFile('C:\System Volume Information\_restore{6B1C31C8-3180-423C-8FAC-AEB0BAB776DA}\RP26\A0005240.exe','');
QuarantineFile('C:\WINDOWS\system32\21.exe','');
QuarantineFile('C:\WINDOWS\system32\78.exe','');
QuarantineFile('C:\RECYCLER\R-1-5-21-1482476501-1644491937-682003330-1013\Desktop.ini','');
DeleteFile('C:\RECYCLER\R-1-5-21-1482476501-1644491937-682003330-1013');
DeleteFile('C:\WINDOWS\system32\21.exe');
DeleteFile('C:\WINDOWS\system32\78.exe');
DeleteFile('C:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5\9BFOS3FJ\h2[1].exe');
DeleteFile('C:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5\9BFOS3FJ\h2[2].exe');
DeleteFile('c:\documents and settings\networkservice\local settings\temporary internet files\content.ie5\jsyyu686\qxxnpxxm[1].jpg');
DeleteFile('c:\documents and settings\networkservice\local settings\temporary internet files\content.ie5\jsyyu686\zxtqody[1].jpg');
DeleteFile('C:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5\RKIRY8XP\g[1].exe');
DeleteFile('C:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5\RKIRY8XP\g[2].exe');
DeleteFile('C:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5\S73TBT5S\o[1].exe');
DeleteFile('C:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5\S73TBT5S\o[2].exe');
DeleteFile('C:\System Volume Information\_restore{6B1C31C8-3180-423C-8FAC-AEB0BAB776DA}\RP25\A0005004.exe');
DeleteFile('C:\System Volume Information\_restore{6B1C31C8-3180-423C-8FAC-AEB0BAB776DA}\RP26\A0005141.exe');
DeleteFile('C:\System Volume Information\_restore{6B1C31C8-3180-423C-8FAC-AEB0BAB776DA}\RP26\A0005229.exe');
DeleteFile('C:\System Volume Information\_restore{6B1C31C8-3180-423C-8FAC-AEB0BAB776DA}\RP26\A0005228.exe');
DeleteFile('C:\System Volume Information\_restore{6B1C31C8-3180-423C-8FAC-AEB0BAB776DA}\RP26\A0005230.exe');
DeleteFile('C:\System Volume Information\_restore{6B1C31C8-3180-423C-8FAC-AEB0BAB776DA}\RP26\A0005231.exe');
DeleteFile('C:\System Volume Information\_restore{6B1C31C8-3180-423C-8FAC-AEB0BAB776DA}\RP26\A0005232.exe');
DeleteFile('C:\System Volume Information\_restore{6B1C31C8-3180-423C-8FAC-AEB0BAB776DA}\RP26\A0005233.exe');
DeleteFile('C:\System Volume Information\_restore{6B1C31C8-3180-423C-8FAC-AEB0BAB776DA}\RP26\A0005234.exe');
DeleteFile('C:\System Volume Information\_restore{6B1C31C8-3180-423C-8FAC-AEB0BAB776DA}\RP26\A0005235.exe');
DeleteFile('C:\System Volume Information\_restore{6B1C31C8-3180-423C-8FAC-AEB0BAB776DA}\RP26\A0005236.exe');
DeleteFile('C:\System Volume Information\_restore{6B1C31C8-3180-423C-8FAC-AEB0BAB776DA}\RP26\A0005237.exe');
DeleteFile('C:\System Volume Information\_restore{6B1C31C8-3180-423C-8FAC-AEB0BAB776DA}\RP26\A0005240.exe');
DeleteFile('C:\WINDOWS\system32\21.exe');
DeleteFile('C:\WINDOWS\system32\78.exe');
DeleteFile('C:\RECYCLER\R-1-5-21-1482476501-1644491937-682003330-1013\Desktop.ini');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

[/code]

[color=#FF0000]После выполнения скрипта компьютер перезагрузится.[/color]

[b]После перезагрузки:[/b]
- Выполните в АВЗ:
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
Файл [b]quarantine.zip[/b] из папки AVZ загрузите по ссылке "[color=Red][b]Прислать запрошенный карантин[/b][/color]" вверху темы.

- Сделайте повторныq лог MBAM
24.08.2012, 15:06
Kyd

Вложений: 1

лог
24.08.2012, 17:16
regist

чисто.
25.08.2012, 18:03
thyrex

+

Установите все [url="http://www.update.microsoft.com/microsoftupdate/v6/default.aspx?ln=ru"]новые обновления[/url] для Windows
Установите [url="http://www.microsoft.com/rus/windows/internet-explorer/default.aspx"]Internet Explorer 8[/url] (даже если им не пользуетесь)
25.08.2012, 18:13
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]109[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\recycler\\r-1-5-21-1482476501-1644491937-682003330-1013\\avmngs.exe - [B]Backdoor.Win32.Azbreg.ccv[/B] ( DrWEB: BackDoor.Hermes.442, BitDefender: Trojan.Generic.KDV.684050 )[*] c:\\windows\\system32\\00.exe - [B]Backdoor.Win32.SdBot.zgv[/B] ( DrWEB: BackDoor.Ddoser.131, BitDefender: Gen:Variant.Kazy.88386 )[*] c:\\windows\\system32\\28.exe - [B]Backdoor.Win32.SdBot.zgv[/B] ( DrWEB: BackDoor.Ddoser.131, BitDefender: Gen:Variant.Kazy.88386 )[*] c:\\windows\\system32\\43.exe - [B]Backdoor.Win32.Azbreg.ccv[/B] ( DrWEB: BackDoor.Hermes.442, BitDefender: Trojan.Generic.KDV.684050 )[*] c:\\windows\\system32\\46.exe - [B]Backdoor.Win32.SdBot.zgv[/B] ( DrWEB: BackDoor.Ddoser.131, BitDefender: Gen:Variant.Kazy.88386 )[*] c:\\windows\\system32\\47.exe - [B]Trojan.Win32.Jorik.IRCbot.qrq[/B] ( DrWEB: BackDoor.Ddoser.131, BitDefender: Gen:Variant.Kazy.88386 )[*] c:\\windows\\system32\\54.exe - [B]Backdoor.Win32.Azbreg.ccv[/B] ( DrWEB: BackDoor.Hermes.442, BitDefender: Trojan.Generic.KDV.684050 )[*] c:\\windows\\system32\\60.exe - [B]Trojan.Win32.Jorik.IRCbot.qrq[/B] ( DrWEB: BackDoor.Ddoser.131, BitDefender: Gen:Variant.Kazy.88386 )[*] c:\\windows\\system32\\75.exe - [B]Backdoor.Win32.Azbreg.ccv[/B] ( DrWEB: BackDoor.Hermes.442, BitDefender: Trojan.Generic.KDV.684050 )[*] c:\\windows\\system32\\81.exe - [B]Trojan.Win32.Jorik.IRCbot.qrq[/B] ( DrWEB: BackDoor.Ddoser.131, BitDefender: Gen:Variant.Kazy.88386 )[*] c:\\windows\\system32\\84.exe - [B]Backdoor.Win32.SdBot.zgv[/B] ( DrWEB: BackDoor.Ddoser.131, BitDefender: Gen:Variant.Kazy.88386 )[/LIST][/LIST]