windows server 2003 заражение [Trojan.Win32.Scar.gmkz, HEUR:Trojan.Win32.Generic ]

Printable View

13.09.2012, 10:14
Ishi

Вложений: 2

windows server 2003 заражение [Trojan.Win32.Scar.gmkz, HEUR:Trojan.Win32.Generic ]

Windows server 2003 используется как файл-сервер с установленным sql-сервером. Завелась зараза, добавляет в назначенные задания windows и sql группу заданий по скачиванию своих файлов, добавляет произвольных пользователей в AD, блокирует установку обновлений. Устанавливал несколько антивирусов: KAV, AVAST, AVG никто заразу до конца убить не может. Часть скачиваемых файлов удаляет в карантин, часть пропускает.
[ATTACH]377711[/ATTACH]
[ATTACH]377712[/ATTACH]
13.09.2012, 10:16
Info_bot

Уважаемый(ая) [B]Ishi[/B], спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
13.09.2012, 13:01
Techno

[URL="http://virusinfo.info/showthread.php?t=15927&p=306441&viewfull=1#post306441"]Давайте сначала с LiveCD полечимся.[/URL]

Уж больно много у Вас всего...

После лечения повторите логи.
14.09.2012, 12:08
Ishi

Вложений: 2

логи после лечения
[ATTACH]377795[/ATTACH]
[ATTACH]377796[/ATTACH]
14.09.2012, 13:02
Techno

[quote="Ishi;924830"]логи после лечения[/quote]
Нифига не убавилось:)

- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните в АВЗ:[/URL]
[CODE]begin
TerminateProcessByName('c:\progra~1\common files\sogou.exe');
DelCLSID('{9FC6AA6A-86E6-4F28-B87B-CBA71435C390}');
QuarantineFile('C:\WINDOWS\system32\winhelp32.exe','');
QuarantineFile('C:\WINDOWS\system32\ntcsvr.exe','');
QuarantineFile('C:\WINDOWS\System32\FileName.jpg','');
QuarantineFile('C:\WINDOWS\WinSxS\x86_Microsoft.Windows.WinHTTP_6595b64144ccf1df_5.1.3790.4929_x-ww_00269083\winhttp.dll','');
QuarantineFile('C:\WINDOWS\system32\RcmrtqC.dll','');
QuarantineFile('C:\WINDOWS\system32\Server.dll','');
QuarantineFile('C:\Windows\System32\Rspdateseq.dll','');
QuarantineFile('C:\progra~1\Common Files\Sogou.exe','');
QuarantineFile('C:\Windows\svchosts.exe','');
QuarantineFile('C:\WINDOWS\XXXXXXA3155759\svchsot.exe','');
QuarantineFile('C:\WINDOWS\0C89D327\svchsot.exe','');
QuarantineFile('C:\WINDOWS\56B06D10\svchsot.exe','');
QuarantineFile('C:\WINDOWS\8A69C25E\svchsot.exe','');
QuarantineFile('C:\WINDOWS\CBF27CB9\svchsot.exe','');
QuarantineFile('C:\WINDOWS\FileName.jpg','');
QuarantineFile('C:\RECYCLER\woai.exe','');
QuarantineFile('C:\Program Files\Windows NT\gserver.exe','');
QuarantineFile('C:\Program Files\Itje\Pdmvaulhv.jpg','');
QuarantineFile('C:\Program Files\Iefg\Nefghijkl.pic','');
QuarantineFile('C:\1852400.dll','');
QuarantineFile('C:\WINDOWS\system32\qgwiue.exe','');
QuarantineFile('C:\WINDOWS\system32\WinHbdx32.exe','');
QuarantineFile('C:\WINDOWS\system32\WinHacc32.exe','');
QuarantineFile('C:\WINDOWS\system32\WinHelp32.exe','');
QuarantineFile('C:\WINDOWS\system32\sqlserv.exe','');
QuarantineFile('C:\WINDOWS\system32\xs.exe','');
QuarantineFile('C:\WINDOWS\system32\s1433.exe','');
QuarantineFile('C:\WINDOWS\system32\zqhvgu.exe','');
QuarantineFile('C:\WINDOWS\system32\Sougou.exe','');
QuarantineFile('C:\WINDOWS\WinSxS\x86_Microsoft.Windows.WinHTTP_6595b64144ccf1df_5.1.3790.4929_x-ww_00269083\WINHTTP.dll','');
QuarantineFile('c:\windows\system32\rspdateseq.dll','');
QuarantineFile('c:\windows\system32\filename.jpg','');
QuarantineFile('c:\progra~1\common files\sogou.exe','');
DeleteFile('c:\progra~1\common files\sogou.exe');
DeleteFile('c:\windows\system32\filename.jpg');
DeleteFile('c:\windows\system32\rspdateseq.dll');
DeleteFile('C:\WINDOWS\system32\Sougou.exe');
DeleteFile('C:\WINDOWS\system32\zqhvgu.exe');
DeleteFile('C:\WINDOWS\system32\s1433.exe');
DeleteFile('C:\WINDOWS\system32\xs.exe');
DeleteFile('C:\WINDOWS\system32\sqlserv.exe');
DeleteFile('C:\WINDOWS\system32\WinHelp32.exe');
DeleteFile('C:\WINDOWS\system32\WinHacc32.exe');
DeleteFile('C:\WINDOWS\system32\WinHbdx32.exe');
DeleteFile('C:\WINDOWS\system32\qgwiue.exe');
DeleteFile('C:\1852400.dll');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SYSTEM\CurrentControlSet\Services\RemoteAccess\RouterManagers\Ip','DLLPath');
DeleteFile('C:\Program Files\Iefg\Nefghijkl.pic');
DeleteFileMask('C:\Program Files\Iefg','*',true);
DeleteDirectory('C:\Program Files\Iefg');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SYSTEM\CurrentControlSet\Services\Defghi Klmnopqr Tuv\Parameters','ServiceDll');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SYSTEM\CurrentControlSet\Services\Nplert Xiopiytj Qld\Parameters','ServiceDll');
DeleteFile('C:\Program Files\Itje\Pdmvaulhv.jpg');
DeleteFileMask('C:\Program Files\Itje','*',true);
DeleteDirectory('C:\Program Files\Itje');
DeleteFile('C:\RECYCLER\woai.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Aut2');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','vvt');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','xuegou');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','acao');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','0C89D327');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','56B06D10');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','8A69C25E');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','CBF27CB9');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SYSTEM\CurrentControlSet\Services\Please Input Service Name\Parameters','ServiceDll');
DeleteFile('C:\WINDOWS\FileName.jpg');
DeleteFile('C:\WINDOWS\CBF27CB9\svchsot.exe');
DeleteFileMask('C:\WINDOWS\CBF27CB9','*',true);
DeleteDirectory('C:\WINDOWS\CBF27CB9');
DeleteFile('C:\WINDOWS\8A69C25E\svchsot.exe');
DeleteFileMask('C:\WINDOWS\8A69C25E','*',true);
DeleteDirectory('C:\WINDOWS\8A69C25E');
DeleteFile('C:\WINDOWS\56B06D10\svchsot.exe');
DeleteFileMask('C:\WINDOWS\56B06D10','*',true);
DeleteDirectory('C:\WINDOWS\56B06D10');
DeleteFile('C:\WINDOWS\0C89D327\svchsot.exe');
DeleteFileMask('C:\WINDOWS\0C89D327','*',true);
DeleteDirectory('C:\WINDOWS\0C89D327');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','gserver');
DeleteFile('C:\Program Files\Windows NT\gserver.exe');
DeleteFileMask('C:\Program Files\Windows NT','*',true);
DeleteDirectory('C:\Program Files\Windows NT');
DeleteFile('C:\WINDOWS\XXXXXXA3155759\svchsot.exe');
DeleteFileMask('C:\WINDOWS\XXXXXXA3155759','*',true);
DeleteDirectory('C:\WINDOWS\XXXXXXA3155759');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','XXXXXXA3155759');
DeleteFile('C:\Windows\svchosts.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','360.');
DeleteFile('C:\progra~1\Common Files\Sogou.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Ball');
DeleteFile('C:\Windows\System32\Rspdateseq.dll');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SYSTEM\CurrentControlSet\Services\Rspdates Apxplicatioan\Parameters','ServiceDll');
DeleteFile('C:\WINDOWS\system32\Server.dll');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SYSTEM\CurrentControlSet\Services\Microsoft Devicger\Parameters','ServiceDll');
DeleteFile('C:\WINDOWS\system32\RcmrtqC.dll');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SYSTEM\CurrentControlSet\Services\MediasCenter\Parameters','ServiceDll');
DeleteFile('C:\WINDOWS\System32\FileName.jpg');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SYSTEM\CurrentControlSet\Services\Please SeRSice Name\Parameters','ServiceDll');
DeleteFile('C:\WINDOWS\system32\ntcsvr.exe');
DeleteFile('C:\WINDOWS\system32\winhelp32.exe');
BC_ImportAll;
ExecuteSysClean;
BC_DeleteSvc('netscvre');
BC_DeleteSvc('oejuvpvabo');
BC_DeleteSvc('aspnet server');
BC_DeleteSvc('tlnsrv');
BC_DeleteSvc('WinHelp32');
BC_DeleteSvc('WinHlme32');
BC_DeleteSvc('WinHyuh32');
BC_DeleteSvc('DirectX jrq');
BC_DeleteSvc('xhatmuudqb');
BC_Activate;
end.[/CODE]

[COLOR="#FF0000"]Перезагрузите компьютер[/COLOR]

[B]После перезагрузки:[/B]
- Выполните в АВЗ:
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
Файл [B]quarantine.zip[/B] из папки AVZ загрузите по ссылке "[COLOR="Red"][B]Прислать запрошенный карантин[/B][/COLOR]" вверху темы.

Нужно закрыть дыры:
- Установите [URL="http://www.microsoft.com/ru-ru/download/confirmation.aspx?id=41"]SP2[/URL] ([COLOR="#FF0000"]может потребоваться активация[/COLOR]), [URL="http://www.microsoft.com/rus/windows/internet-explorer/default.aspx"]новый Internet Explorer[/URL], а также все доступные [URL="http://www.update.microsoft.com/"]обновления для Windows[/URL]

После обновлений:

- Повторите логи.

- [URL="http://virusinfo.info/showthread.php?t=53070"][B]Сделайте лог полного сканирования MBAM[/B][/URL].
14.09.2012, 17:35
Ishi

Вложений: 3

SP2 установил,обновления поставил
[ATTACH]377830[/ATTACH]
[ATTACH]377831[/ATTACH]
[ATTACH]377832[/ATTACH]
15.09.2012, 15:38
Techno

Дали задачку:)

- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните в АВЗ:[/URL]
[CODE]begin
QuarantineFile('C:\Windows\System32\gdffdgd.dll','');
DeleteFile('C:\Windows\System32\gdffdgd.dll');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
end.[/CODE]

- [B]Запустите reg файл из прикрепленного архива.
[/B]

[COLOR="#FF0000"]Перезагрузите компьютер[/COLOR]

[B]После перезагрузки:[/B]
- Выполните в АВЗ:
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
Файл [B]quarantine.zip[/B] из папки AVZ загрузите по ссылке "[COLOR="Red"][B]Прислать запрошенный карантин[/B][/COLOR]" вверху темы.

- Повторите логи АВЗ и hijackthis.
17.09.2012, 10:51
Ishi

Вложений: 2

свежие логи
[ATTACH]378142[/ATTACH]
[ATTACH]378143[/ATTACH]
17.09.2012, 11:10
Techno

Живучий...

- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните в АВЗ:[/URL]
[CODE]begin
TerminateProcessByName('c:\windows\system32\xx25.exe');
SetServiceStart('izcobzcnfw', 4);
StopService('izcobzcnfw');
QuarantineFile('C:\Windows\System32\xpiti.dll','');
QuarantineFile('C:\RECYCLER\woai.exe','');
QuarantineFile('C:\Program Files\Oklm\Tklmnopqr.jpg','');
QuarantineFile('c:\windows\system32\xpiti.dll','');
QuarantineFile('c:\program files\oklm\tklmnopqr.jpg','');
QuarantineFile('c:\windows\system32\xx25.exe','');
DeleteFile('c:\windows\system32\xx25.exe');
DeleteFile('c:\program files\oklm\tklmnopqr.jpg');
DeleteFileMask('c:\program files\oklm','*',true);
DeleteDirectory('c:\program files\oklm');
DeleteFile('c:\windows\system32\xpiti.dll');
DeleteFile('C:\Program Files\Oklm\Tklmnopqr.jpg');
DeleteService('izcobzcnfw');
RegKeyDel('HKEY_LOCAL_MACHINE','SYSTEM\CurrentControlSet\Services\Jklmno Qrstuvwx Abc');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Aut2');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','vvt');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','xuegou');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','acao');
DeleteFile('C:\RECYCLER\woai.exe');
DeleteFile('C:\Windows\System32\xpiti.dll');
RegKeyDel('HKEY_LOCAL_MACHINE','SYSTEM\CurrentControlSet\Services\Rspdates Apxpliti');
BC_ImportAll;
ExecuteSysClean;
BC_DeleteSvc('izcobzcnfw');
BC_Activate;
end.[/CODE]

[COLOR=#FF0000]перезагрузите компьютер[/COLOR]

[B]После перезагрузки:[/B]
- Выполните в АВЗ:
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
Файл [B]quarantine.zip[/B] из папки AVZ загрузите по ссылке "[COLOR=Red][B]Прислать запрошенный карантин[/B][/COLOR]" вверху темы.

- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните в AVZ[/URL] скрипт из файла [URL="http://df.ru/~kad/ScanVuln.txt"]ScanVuln.txt[/URL]
- Откройте файл [B]avz_log.txt[/B] из под-папки [B]LOG[/B].
- Пройдитесь по ссылкам из файла [B]avz_log.txt[/B] и установите важные обновления.
- Перезагрузите компьютер.
- Повторите выполнение скрипта, чтобы убедиться, что уязвимости устранены.

- Повторите логи.
17.09.2012, 11:39
Ishi

Вложений: 2

Уязвимостей не обнаружено, файл в папке LOG не появился.
17.09.2012, 12:06
Techno

Папка C:\Program Files\Oklm есть?

- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните в АВЗ:[/URL]
[CODE]begin
QuarantineFile('C:\Program Files\Oklm\Tklmnopqr.jpg','');
DeleteFile('C:\Program Files\Oklm\Tklmnopqr.jpg');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SYSTEM\CurrentControlSet\Services\Jklmno Qrstuvwx Abc\Parameters','ServiceDll');
RegKeyDel('HKEY_LOCAL_MACHINE','SYSTEM\CurrentControlSet\Services\Jklmno Qrstuvwx Abc');
ExecuteSysClean;
end.[/CODE]

[COLOR="#FF0000"]Перезагрузитесь[/COLOR]

- Повторите логи.
17.09.2012, 12:48
Ishi

Вложений: 2

папка была пустая, я ее удалил, стал виснуть где-то на 10-15 минуте работы, при загрузке не видно панель задач, при нажати на кнопку "Win" меню пуск выскакивает на середине экрана.

add:20 минут после последней перезагрузки, пока работает.
17.09.2012, 13:14
Techno

Еще один хвост зачистим...

- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните в АВЗ:[/URL]
[CODE]begin
DeleteFile('\server.dll');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SYSTEM\CurrentControlSet\Services\ServiceName\Parameters','ServiceDll');
RegKeyDel('HKEY_LOCAL_MACHINE','SYSTEM\CurrentControlSet\Services\ServiceName');
ExecuteSysClean;
end.[/CODE]

[COLOR="#FF0000"]Перезагрузитесь[/COLOR]

- Повторите логи.

Что с проблемами?
17.09.2012, 15:58
Ishi

Вложений: 2

4 часа отработал без зависаний, панель при загрузке все еще не видно, после завершения explorer.exe через диспетчер задач и запуска нового встает на место.
МАМ срабатывает на попытки доступа на ip 31.184.237.134
17.09.2012, 16:39
Techno

[quote="Ishi;925571"]МАМ срабатывает на попытки доступа на ip 31.184.237.134[/quote]
MBAM всегда ругается на сетевую активность, не обращайте внимания.

В логах порядок. Возможно вирус повредись какие-нибудь службы.

Попробуйте воспользоваться стандартной утилитой для проверки системных файлов, для этого в командной строке выполните:
[CODE]sfc /scannow[/CODE]
18.09.2012, 08:20
Ishi

спасибо за помощь!
18.09.2012, 08:30
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]3[/B][*]Обработано файлов: [B]92[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\program files\\itje\\pdmvaulhv.jpg - [B]HEUR:Trojan.Win32.Generic[/B] ( DrWEB: Trojan.DownLoader6.54376, AVAST4: Win32:Farfli-R [Trj] )[*] c:\\program files\\oklm\\tklmnopqr.jpg - [B]HEUR:Trojan.Win32.Generic[/B] ( DrWEB: Trojan.DownLoader6.40068, BitDefender: Gen:Variant.Barys.62 )[*] c:\\progra~1\\common files\\sogou.exe - [B]HEUR:Trojan.Win32.Generic[/B] ( DrWEB: Trojan.KeyLogger.15321 )[*] c:\\windows\\system32\\filename.jpg - [B]HEUR:Trojan.Win32.Generic[/B] ( DrWEB: Win32.HLLW.Autoruner1.25975 )[*] c:\\windows\\system32\\gdffdgd.dll - [B]Trojan.Win32.Genome.agdcq[/B] ( BitDefender: DeepScan:Generic.PWS.WoW.765BD0AD )[*] c:\\windows\\system32\\qgwiue.exe - [B]HEUR:Trojan.Win32.Generic[/B] ( DrWEB: Trojan.DownLoader6.39772 )[*] c:\\windows\\system32\\rspdateseq.dll - [B]Trojan-GameThief.Win32.Magania.hodd[/B] ( DrWEB: Trojan.DownLoader6.55895 )[*] c:\\windows\\system32\\sougou.exe - [B]HEUR:Trojan.Win32.Generic[/B] ( DrWEB: Trojan.KeyLogger.15321 )[*] c:\\windows\\system32\\winhelp32.exe - [B]HEUR:Trojan.Win32.Generic[/B] ( DrWEB: Trojan.KillProc.18816, BitDefender: Generic.Malware.GFdld.4F9CD795 )[*] c:\\windows\\system32\\xpiti.dll - [B]HEUR:Trojan.Win32.Generic[/B] ( BitDefender: Generic.PWS.WoW.150E9440 )[*] c:\\windows\\system32\\xx25.exe - [B]Trojan.Win32.Scar.gmkz[/B] ( DrWEB: Trojan.DownLoader6.32676, BitDefender: MemScan:Trojan.Generic.7697728, AVAST4: Win32:ServStart-C [Trj] )[/LIST][/LIST]