trojan.win32/vundo.gen!AW

Printable View

28.10.2012, 10:14
TAL

Вложений: 3

trojan.win32/vundo.gen!AW

Здравствуйте. Вчера вечером поймал трояна trojan.win32/vundo.gen!AW. Защитник Windows его видит, но сделать с ним ничего не может. ESET NOD32 с новыми базами, при полной проверке его тоже не нашел. Поставил Dr.Web результат аналогичный. Троян запустил в браузере сайт speed2 и все, пока больше никак не проявляется. Прошу помочь избавиться от зверя.
28.10.2012, 10:15
Info_bot

Уважаемый(ая) [B]TAL[/B], спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
28.10.2012, 11:52
regist

Здравствуйте!

Закройте все программы

Отключите
- ПК от интернета/локалки.
[url=http://virusinfo.info/showthread.php?t=57441]- Антивирус и Файрвол[/url]

[url=http://virusinfo.info/showthread.php?t=7239]Выполните скрипт в АВЗ[/url] -

[code]
begin
QuarantineFile('C:\Users\User\taskhost.exe','');
DeleteFile('C:\Users\User\taskhost.exe');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Taskhost');
ExecuteRepair(3);
ExecuteRepair(4);
ExecuteRepair(21);
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
ExecuteSysClean;
RebootWindows(true);
end.

[/code]

[color=#FF0000]После выполнения скрипта компьютер перезагрузится.[/color]

Файл [b]quarantine.zip[/b] из папки AVZ загрузите по ссылке "[color=Red][b]Прислать запрошенный карантин[/b][/color]" вверху темы.

- Сделайте повторные логи по [url=http://virusinfo.info/pravila.html]правилам[/url] п.2 и 3 раздела Диагностика.([color=Blue]virusinfo_syscheck.zip;hijackthis.log[/color])

- Сделайте лог [url=http://virusinfo.info/showpost.php?p=457118&postcount=1]полного сканирования МВАМ.[/url]
28.10.2012, 12:30
TAL

Вложений: 2

Выполнил Скрипт, отправил карантин. Запустил сканирование MBAM, лог выложу позже после завершения сканирования.
28.10.2012, 13:04
regist

[quote="TAL;935389"]MBAM, лог выложу позже после завершения сканирования.[/quote]
ок, ждём. заодно отпишитесь, что с проблемой.
28.10.2012, 14:03
TAL

Вложений: 1

Вот лог MBAM как и обещал. Защитник молчал с самого утра, решил проверить его, оказалось его что-то вырубило, запустил, выполнил сканирование его средствами. Говорит что все нормально, после перезагрузки вроде тоже молчит. Осталась проблема speed2. При каждом запуске браузера Opera, изменяются инструкции оперы для запуска программы: на запуск с домашней страницы, которой прописан сайт перенаправляющий на speed2.

[COLOR="silver"]- - - Добавлено - - -[/COLOR]

Так, со speed2 разобрался. Теперь другая проблема. Что-то выключает службу защитника Windows после каждой перезагрузки, так как trojan.win32/vundo.gen!AW кроме защитника при запуске никто не видел, не могу утверждать что проблема решена, может быть он и отключает.
29.10.2012, 22:15
Techno

- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните в AVZ[/URL] скрипт из файла [URL="http://df.ru/~kad/ScanVuln.txt"]ScanVuln.txt[/URL]
- Откройте файл [B]avz_log.txt[/B] из под-папки [B]LOG[/B].
- Пройдитесь по ссылкам из файла [B]avz_log.txt[/B] и установите важные обновления.
- Перезагрузите компьютер.
- Повторите выполнение скрипта, чтобы убедиться, что уязвимости устранены.

Повторите логи АВЗ и hijackthis.
30.10.2012, 19:07
TAL

Вложений: 2

Здравствуйте, запустил скрипт, устранил все уязвимости. Проблема с защитником решилась, теперь влючается нормально. Появилась другая проблема, теперь вместо сайта speed2 в браузере постоянно запускается сайт webalta. Пытался пофиксить все строки с данным адресом в HijackThis, строки пофиксились а результата ноль, опять запускается этот сайт.
30.10.2012, 19:53
Techno

- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните в АВЗ:[/URL](выполняться будет долго, дождитесь)
[CODE]procedure ProSearchReg(SearchStr:string; SearchKey, SearchParam, SearchVal:boolean=true); //процедура поиска
//строка поиска, искать в ключах, в параметрах, в значениях
var
count,i: integer=0;
SKey, SParam, SVal: string;
HKEY_USERSLines : TStrings; //список подразделов HKEY_USERS
begin
HKEY_USERSLines := TStringList.Create;
SearchStr:=LowerCase(SearchStr);//к нижнему регистру для сравнения
if SearchKey then SKey:='true' else SKey := 'false';
if SearchParam then SParam:='true' else SParam := 'false';
if SearchVal then SVal:='true' else SVal := 'false';

//заголовок INI файла
INIStrParamWrite(GetAVZDirectory+'Search.ini','Parametrs','StrSearch',SearchStr);
INIStrParamWrite(GetAVZDirectory+'Search.ini','Parametrs','SearchKey',SKey);
INIStrParamWrite(GetAVZDirectory+'Search.ini','Parametrs','SearchParam',SParam);
INIStrParamWrite(GetAVZDirectory+'Search.ini','Parametrs','SearchVal',SVal);

//чистка разделов INI файла HKLM и HKEY_USERS
INIEraseSection(GetAVZDirectory+'Search.ini','HKLM');
INIEraseSection(GetAVZDirectory+'Search.ini','HKEY_USERS');

//поиск в HKLM
count:=FuncSearchReg('HKLM','HARDWARE',SearchStr, count, SearchKey, SearchParam, SearchVal);
count:=FuncSearchReg('HKLM','SAM',SearchStr, count, SearchKey, SearchParam, SearchVal);
count:=FuncSearchReg('HKLM','SECURITY',SearchStr, count, SearchKey, SearchParam, SearchVal);
count:=FuncSearchReg('HKLM','SOFTWARE',SearchStr, count, SearchKey, SearchParam, SearchVal);
count:=FuncSearchReg('HKLM','SYSTEM',SearchStr, count, SearchKey, SearchParam, SearchVal);

INIStrParamWrite(GetAVZDirectory+'Search.ini','Parametrs','HKLM_Count',inttostr(count));//количество найденных ключей, значений, параметров в разделе HKLM
count:=0;

//формирование списка разделов HKEY_USERSLines
RegKeyEnumKey('HKLM','SOFTWARE\Microsoft\Windows NT\CurrentVersion\ProfileList', HKEY_USERSLines);//узнаем какие подразделы в HKEY_USERS
HKEY_USERSLines.insert(0,'.DEFAULT');
i:=0;
while i < HKEY_USERSLines.count do
begin
if RegKeyExists('HKEY_USERS', HKEY_USERSLines[i]+'_Classes') then HKEY_USERSLines.insert(i+1,HKEY_USERSLines[i]+'_Classes');
i:=i+1;
end;
//поиск в HKEY_USERS
for i:=0 to HKEY_USERSLines.count-1 do
count:=FuncSearchReg('HKEY_USERS',HKEY_USERSLines[i],SearchStr, count, SearchKey, SearchParam, SearchVal);

INIStrParamWrite(GetAVZDirectory+'Search.ini','Parametrs','HKEY_USERS_Count',inttostr(count));//количество найденных ключей, значений, параметров в разделе HKEY_USERS
HKEY_USERSLines.free;
end;

Function FuncSearchReg(ARoot, AKey, SearchStr:string; count: integer; SearchKey, SearchParam, SearchVal:boolean): integer;
var
KeyLines, ValLines : TStrings;
i,j : integer;
binary:boolean;
begin
KeyLines := TStringList.Create; //список ключей
ValLines := TStringList.Create; //список параметров
if SearchKey then
begin
if Pos(SearchStr, LowerCase(AKey))<>0 then
begin
INIStrParamWrite(GetAVZDirectory+'Search.ini',ARoot,'Key'+inttostr(count+1),AKey);
INIStrParamWrite(GetAVZDirectory+'Search.ini',ARoot,'Param'+inttostr(count+1),'');
INIStrParamWrite(GetAVZDirectory+'Search.ini',ARoot,'Value'+inttostr(count+1),'');
count:=count+1;
end;
end;

RegKeyEnumVal(ARoot,AKey, ValLines);//чтение параметров ключа AKey

if SearchParam then
begin
for i:= 0 to ValLines.Count-1 do
begin
if Pos(SearchStr, LowerCase(ValLines[i]))<>0 then
begin
INIStrParamWrite(GetAVZDirectory+'Search.ini',ARoot,'Key'+inttostr(count+1),AKey);
INIStrParamWrite(GetAVZDirectory+'Search.ini',ARoot,'Param'+inttostr(count+1),ValLines[i]);
INIStrParamWrite(GetAVZDirectory+'Search.ini',ARoot,'Value'+inttostr(count+1),'');
count:=count+1;
end;
end;
end;

if SearchVal then
begin
for i:= 0 to ValLines.Count-1 do
begin
if Pos(SearchStr, LowerCase(RegKeyStrParamRead(ARoot, AKey, ValLines[i])))<>0 then
begin
j:=0;
binary:=false;
for j:=0 to Length(RegKeyStrParamRead(ARoot, AKey, ValLines[i]))-1 do

if Ord(copy(RegKeyStrParamRead(ARoot, AKey, ValLines[i]), j, 2))<32 then //проверка на бинарность
begin
binary:=true;
break;
end;

if(not binary) then
begin
INIStrParamWrite(GetAVZDirectory+'Search.ini',ARoot,'Key'+inttostr(count+1),AKey);
INIStrParamWrite(GetAVZDirectory+'Search.ini',ARoot,'Param'+inttostr(count+1),ValLines[i]);
INIStrParamWrite(GetAVZDirectory+'Search.ini',ARoot,'Value'+inttostr(count+1),RegKeyStrParamRead(ARoot, AKey, ValLines[i]));
count:=count+1
end;
end;
end;
end;

RegKeyEnumKey(ARoot,AKey, KeyLines);
for i:= 0 to KeyLines.Count-1 do
begin
count:=FuncSearchReg(ARoot, NormalDir(AKey)+LowerCase(KeyLines[i]), SearchStr, count, SearchKey, SearchParam, SearchVal);
end;
KeyLines.free;
ValLines.free;
result:=count;
end;
begin
ProSearchReg('webalta');
executerepair(10);
end.
[/CODE]

Файл Search.ini из папки АВЗ прикрепите к следующему сообщению.
30.10.2012, 20:18
regist

+ [url=http://virusinfo.info/showthread.php?t=121767]Сделайте полный образ автозапуска uVS[/url]
30.10.2012, 21:50
TAL

Вложений: 2

Запустил скрипт, через 30 сек после запуска, AVZ упал. Выключил все антивирусы, отключил инет, повторил, опять упал. Проверил директорию AVZ, лежит файл серч, на всякий случай прикладываю вместе с образом.
30.10.2012, 23:07
regist

[url=http://virusinfo.info/showthread.php?t=121769]Выполните скрипт в uVS[/url]

[CODE];uVS v3.76 script [http://dsrt.dyndns.org]
;Target OS: NTv6.1

breg
delref PUSHD
CLRMD
restart[/CODE]

по проблеме что-нибудь изменилось ? Лог uVS вы сами в архив упаковывали или он сразу в архиве был после сохранения ?
31.10.2012, 17:52
TAL

Выполнил скрипт в uVS, проблема осталась. Лог uVS был уже заархивирован.
03.11.2012, 19:39
TAL

Спасибо за помощь, хоть и не до конца оказанную, с оставшимися проблемами разобрался самостоятельно.
03.11.2012, 21:14
regist

[url=http://virusinfo.info/showthread.php?t=121902]Советы и рекомендации после лечения компьютера[/url]
03.11.2012, 21:24
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]5[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]