Проблема с печатью (принтеры бесятся) [Trojan-Downloader.Win32.Delf.hsyv ]

Здравствуйте!

Возможно тема уже поднималась, извините если дублирую.

Проблема в следующем, периодически принтеры начинают "беситься" и печатать кривозябру.
Антивирусы ничего не определяют. В заданиях принтеров, висит что пришло с такого-то компьютера и задание отправил данный пользователь (сеть в Active Directory).
Локальная сеть Windows. 100 персоналок и 10 разнообразных серверов на Windows Server. У пользователей есть "шара" для передачи нужной информации, так вот в этой шаре постоянно появляется злоумышленник, файл "Photo.scr". Не могу понять, это связано с печатью или нет, но именно после однократного запуска данного "скринсейвера", начало твориться неладное с принтерами и это файл начал множиться в шарах :(

Подскажите пожалуйста, хотя бы название вируса и если есть возможность, то как его победить, чтобы больше не было печати кривозябры :(

Avz, hijack запускал у себя на компьютере, т.к. тоже в шаре появляется файл Photo.scr

Заранее спасибо!

Уважаемый(ая) [B]Trider[/B], спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

Здравствуйте !!!

Есть пара вопросов.
Как используется программа [QUOTE]C:\Program Files\ForensiT\User Profile Manager 2.1\updater.exe[/QUOTE] ?
Второй вопрос, включена синхронизация автономных файлов (какие файлы/папки) синхронизруются ?

Photo.scr через карантин AVZ загрузите для проверки.

[QUOTE]В заданиях принтеров, висит что пришло с такого-то компьютера и задание отправил данный пользователь (сеть в Active Directory). [/QUOTE]

Вот эту машину и надо попроверять.

[QUOTE=mrak74;953894]
Как используется программа ?[/QUOTE]
Не поверите, но при переходе в проводнике в каталог C:\Program Files\ForensiT\User Profile Manager 2.1\ говорит, нет такого каталога...

[QUOTE=mrak74;953894]Второй вопрос, включена синхронизация автономных файлов (какие файлы/папки) синхронизруются [/QUOTE]
Профиль пользователя раньше был перемещаемым. В данный момент все профили локальные. Синхронизации нет.

[COLOR="silver"]- - - Добавлено - - -[/COLOR]

[QUOTE=PavelA;953899]Photo.scr через карантин AVZ загрузите для проверки.[/QUOTE]

Не совсем понятно как это сделать? Просто открыть карантин и добавить? Куда и что потом нужно загрузить?

[QUOTE=PavelA;953899]Вот эту машину и надо попроверять.[/QUOTE]

Хорошо, сделаю то же самое и прикреплю файлы.

Спасибо.

O4 - HKLM\..\Run: [Synchronization Manager] %SystemRoot%\system32\[URL="http://www.filecheck.ru/process/mobsync.exe.html"]mobsync.exe[/URL] /logon из Вашего лога. И самое главное, то что сказал PavelA постом выше.

[QUOTE=mrak74;953909]O4 - HKLM\..\Run: [Synchronization Manager] %SystemRoot%\system32\[URL="http://www.filecheck.ru/process/mobsync.exe.html"]mobsync.exe[/URL] /logon из Вашего лога. И самое главное, то что сказал PavelA постом выше.[/QUOTE]
Каким образом связана синхронизация и эта зараза? объясните пожалуйста, не могу понять.

Операции с зараженным компом сделаю.

Откройте свойства папки - Автономные файлы - Использовать автономные файлы/Синхронизировать автономные файлы и т.п. галки стоят? А там ведь еще можно прописать какие папки и файлы синхронизировать, прекрасный способ распространения.

Сделайте логи на компьютере, который прислал задание на принтер

Логи компьютера с которого валятся задания.

[COLOR="silver"]- - - Добавлено - - -[/COLOR]

[QUOTE=mrak74;953936]Откройте свойства папки - Автономные файлы - Использовать автономные файлы/Синхронизировать автономные файлы и т.п. галки стоят? А там ведь еще можно прописать какие папки и файлы синхронизировать, прекрасный способ распространения.[/QUOTE]

Никаких файлов и папок там не прописано.

Выполните скрипт в AVZ:
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
StopService('autorun');
QuarantineFile('C:\WINDOWS\system32\x','');
QuarantineFile('C:\huadio.tmp','');
DeleteFile('C:\huadio.tmp');
DeleteFile('C:\WINDOWS\system32\x');
DeleteService('autorun');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]

После перезагрузки выполните скрипт:
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]

Загрузите quarantine.zip из папки AVZ по красной ссылке [B]вверху[/B] темы [COLOR="Red"]Прислать запрошенный карантин[/COLOR]

- Откройте файл [URL="http://df.ru/~kad/ScanVuln.txt"][B]ScanVuln.txt[/B][/URL]. Выполните из этого файла скрипт в AVZ. В результате работы скрипта будет создан файл - avz_log.txt.
Пройдитесь по ссылкам из файла avz_log.txt и установите все рекомендуемые обновления(если таковые будут).
Перезагрузите компьютер.
Снова выполните этот скрипт и убедитесь, что уязвимости устранены.

Обновите базы AVZ [QUOTE]Внимание !!! База поcледний раз обновлялась 20.05.2012 необходимо обновить базы при помощи автоматического обновления (Файл/Обновление баз)
[/QUOTE]
- Сделайте повторные логи по правилам п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip;hijackthis.log )

Спасибо!

1. Файл quarantine.zip отправил.
2. Скрипты выполнил.
3. Обновления установил.
4. Логи новые сделал, предварительно обновив базу AVZ.

P.S: при перезагрузке данного компа, создается файлик photo.scr, в автозагрузке запускается search.cmd, принтеры сразу же начинают печатать :> скрипт не помог почему-то...

Содержимое этого файла [QUOTE]c:\documents and settings\Склад2\Главное меню\Программы\Автозагрузка\search.cmd
[/QUOTE] открыть можно через изменить, просмотр в блокноте, сообщите.

[COLOR="silver"]- - - Добавлено - - -[/COLOR]

Выполните скрипт в AVZ:
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
TerminateProcessByName('c:\documents and settings\Склад2\Главное меню\Программы\Автозагрузка\search.cmd');
QuarantineFile('c:\documents and settings\Склад2\Главное меню\Программы\Автозагрузка\search.cmd','');
DeleteFile('c:\documents and settings\Склад2\Главное меню\Программы\Автозагрузка\search.cmd');
BC_ImportAll;
ExecuteSysClean;
RebootWindows(true);
end.[/CODE]

После перезагрузки выполните скрипт:
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]

Загрузите quarantine.zip из папки AVZ по красной ссылке [B]вверху[/B] темы [COLOR="Red"]Прислать запрошенный карантин[/COLOR]
- Сделайте повторные логи по правилам п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip;hijackthis.log )

[QUOTE=mrak74;954668]Содержимое этого файла открыть можно через изменить, просмотр в блокноте, сообщите.[/QUOTE]


Файл search.cmd и Photo.scr во вложении

По скриптам, чуть позже, как проверку сделаю.

Жду новые логи. Я просил содержимое в текстовом виде. 100% вирус. [B]Photo.scr[/B] запакуйте в архив с паролем virus загрузите его по ссылке вверху своей темы [COLOR="Red"]Прислать запрошенный карантин[/COLOR]

[QUOTE=mrak74;954680]Жду новые логи. Я просил содержимое в текстовом виде. 100% вирус. [B]Photo.scr[/B] запакуйте в архив с паролем virus загрузите его по ссылке вверху своей темы [COLOR="Red"]Прислать запрошенный карантин[/COLOR][/QUOTE]

Залил файлик. Логи делаю.

Сделайте лог [url="http://virusinfo.info/showpost.php?p=457118&postcount=1"]полного сканирования МВАМ[/url]

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]6[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] \\photo.scr - [B]Trojan-Downloader.Win32.Delf.hsyv[/B] ( DrWEB: Win32.HLLW.Siggen.4591, BitDefender: Gen:Variant.Zusy.Elzob.17359, AVAST4: Win32:SMSSend-AKU [Trj] )[/LIST][/LIST]