Trojan.Dropper и Downloader

Printable View

12.10.2007, 20:29
Zhigich_bass

Вложений: 2

Trojan.Dropper и Downloader

В общем Нортон находит packed_installer_cn[2].exe (заражен Trojan.Dropper) и eaglenew[2].exe (заражен Downloader), но не лечит их... При выполнении скрипта AVZ "лечения/карантина и сбора информации" комп начинает самопроизвольно перезагружаться, лога не остается... Шлю на всякий 2 оставшихся лога... Базы новые, проги тоже качал заново
12.10.2007, 21:47
AndreyKa

Запустите AVZ.
Выполните скрипт через меню Файл:
[code]
begin
QuarantineFile('C:\WINDOWS\system32\_svchost.exe','');
QuarantineFile('C:\WINDOWS\GPCIDrv.sys','');
QuarantineFile('Ktc43.sys','');
QuarantineFile('C:\WINDOWS\system32\Drivers\Ktc43.sys','');
QuarantineFile('C:\WINDOWS\system32\Ktc43.sys','');
QuarantineFile('C:\WINDOWS\system32\uddews.exe','');
QuarantineFile('C:\WINDOWS\system32\SymNeti.DLL','');
QuarantineFile('C:\WINDOWS\system32\sdvcdos.exe','');
QuarantineFile('C:\WINDOWS\system32\sdrsrt.exe','');
QuarantineFile('C:\WINDOWS\system32\dtesmcd.exe','');
QuarantineFile('C:\WINDOWS\system32\drvacjmc.exe','');
QuarantineFile('C:\WINDOWS\system32\ddesam.exe','');
QuarantineFile('C:\WINDOWS\system32\adveeovo.exe','');
BC_ImportQuarantineList;
BC_Activate;
RebootWindows(false);
end.
[/code]
Компьютер перезагрузится.
Пришлите файлы из карантина AVZ (см. приложение 3 Правил), используя [url=http://virusinfo.info/upload_virus.php?tid=13157]эту ссылку[/url].

PS. утилитой CureIt проверяли?
13.10.2007, 00:11
Zhigich_bass

Утилиту скачал, сохранил на жестком, заучтил, комп сразу стал перезагружаться, а сам мсполняемый файл утилиты исчез, до сих пор не понимаю как это?
13.10.2007, 00:16
V_Bond

есть возможность записать Cureit на чистой машине на CD ... и произвести проверку ?
13.10.2007, 00:28
Zhigich_bass

Если токо завтра
13.10.2007, 00:48
AndreyKa

Запустите AVZ.
Выполните скрипт через меню Файл:
[code]
begin
ClearQuarantine;
SetAVZGuardStatus(True);
DeleteFile('C:\WINDOWS\system32\_svchost.exe');
DeleteFile('C:\WINDOWS\GPCIDrv.sys');
DeleteFile('C:\WINDOWS\system32\Drivers\Ktc43.sys');
DeleteFile('C:\WINDOWS\system32\uddews.exe');
DeleteFile('C:\WINDOWS\system32\sdvcdos.exe');
DeleteFile('C:\WINDOWS\system32\sdrsrt.exe');
DeleteFile('C:\WINDOWS\system32\dtesmcd.exe');
DeleteFile('C:\WINDOWS\system32\drvacjmc.exe');
DeleteFile('C:\WINDOWS\system32\ddesam.exe');
DeleteFile('C:\WINDOWS\system32\adveeovo.exe');
BC_DeleteSvc('GPCIDrv');
BC_DeleteSvc('Ktc43');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
Компьютер перезагрузится.
Сделайте новые логи (все) и приложите их к своей теме.

[size="1"][color="#666686"][B][I]Добавлено через 9 минут[/I][/B][/color][/size]

Анитивирус Касперского их знает как:
C:\WINDOWS\system32\_svchost.exe - Trojan-Downloader.Win32.Tiny.nj
C:\WINDOWS\system32\Drivers\Ktc43.sys - Rootkit.Win32.Agent.jy
C:\WINDOWS\system32\uddews.exe - Backdoor.Win32.SdBot.cah
C:\WINDOWS\system32\sdvcdos.exe - Backdoor.Win32.SdBot.cah
C:\WINDOWS\system32\sdrsrt.exe - Backdoor.Win32.SdBot.cah
C:\WINDOWS\system32\dtesmcd.exe - Backdoor.Win32.SdBot.cah
C:\WINDOWS\system32\drvacjmc.exe - Backdoor.Win32.SdBot.cah
C:\WINDOWS\system32\ddesam.exe - Backdoor.Win32.SdBot.cah
C:\WINDOWS\system32\adveeovo.exe - Backdoor.Win32.SdBot.cah
13.10.2007, 12:05
Zhigich_bass

Вложений: 3

Шлю логи
13.10.2007, 12:14
V_Bond

уберите карантин из темы ...
выполните скрипт...
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
QuarantineFile('update255.exe','');
DeleteFile('C:\WINDOWS\system32\_svchost.exe');
DeleteFile('C:\WINDOWS\GPCIDrv.sys');
DeleteFile('adveeovo.exe');
DeleteFile('update255.exe');
BC_ImportAll;
BC_DeleteSvc('GPCIDrv');
BC_Activate;
ExecuteSysClean;
RebootWindows(true);
end.
[/code]
повторите логи...
13.10.2007, 12:25
Zhigich_bass

Как убрать?
13.10.2007, 12:32
V_Bond

расширенный режим ... управление вложениями ...
13.10.2007, 12:58
Zhigich_bass

Вложений: 3

Исчо логи
13.10.2007, 13:04
Bratez

Пуск - Выполнить - [b]cmd.exe[/b]
Наберите команду:
[b]sc delete "Microsoft Internet Explorer"[/b]
нажмите Enter.

Повторите лог HijackThis.
13.10.2007, 13:11
Zhigich_bass

Вложений: 1

Делит саксессфул
13.10.2007, 13:23
Bratez

Теперь все чисто.
13.10.2007, 13:26
Zhigich_bass

Спасибо
22.02.2009, 02:36
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]38[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\windows\\system32\\adveeovo.exe - [B]Backdoor.Win32.SdBot.cah[/B] (DrWEB: BackDoor.IRC.Sdbot.1406)[*] c:\\windows\\system32\\ddesam.exe - [B]Backdoor.Win32.SdBot.cah[/B] (DrWEB: BackDoor.Mailbot)[*] c:\\windows\\system32\\drivers\\ktc43.sys - [B]Rootkit.Win32.Agent.jy[/B] (DrWEB: Trojan.NtRootKit.414)[*] c:\\windows\\system32\\drvacjmc.exe - [B]Backdoor.Win32.SdBot.cah[/B] (DrWEB: BackDoor.Mailbot)[*] c:\\windows\\system32\\dtesmcd.exe - [B]Backdoor.Win32.SdBot.cah[/B] (DrWEB: BackDoor.Mailbot)[*] c:\\windows\\system32\\sdrsrt.exe - [B]Backdoor.Win32.SdBot.cah[/B] (DrWEB: BackDoor.Mailbot)[*] c:\\windows\\system32\\sdvcdos.exe - [B]Backdoor.Win32.SdBot.cah[/B] (DrWEB: BackDoor.Mailbot)[*] c:\\windows\\system32\\_svchost.exe - [B]Trojan-Downloader.Win32.Winlagons.d[/B] (DrWEB: Trojan.DownLoader.35263)[*] c:\\windows\\system32\\uddews.exe - [B]Backdoor.Win32.SdBot.cah[/B] (DrWEB: BackDoor.Mailbot)[/LIST][/LIST]