Модификация hosts [not-a-virus:RiskTool.VBS.BitCoinMiner.a ]

Всех приветствую!

Друзья, помогите, пожалуйста.

Происходит постоянный редирект при попытке обратиться к ресурсу [U]vk.com[/U].

На машине стоит актуальный [I]KAV WKS[/I], однако проблему он не решает.

Сканировал [I]CureIt[/I]'ом в безопасном режиме. Результаты:

[QUOTE]C:\WINDOWS\system32\drivers\etc\hosts - probably infected with DFH.HOSTS.corrupted
C:\WINDOWS\system32\drivers\etc\hosts - infected
...
C:\WINDOWS\system32\drivers\etc\hosts - infected with Trojan.Hosts.6815
...
-----------------------------------------------------------------------------
Start curing
-----------------------------------------------------------------------------
C:\WINDOWS\system32\drivers\etc\hosts - cured
[/QUOTE]

Вроде бы после этого проблема пропала, но не надолго. Появились те же самые симптомы.

Решил обратиться к вам, очень надеюсь на помощь.

Благодарю!

P.S. Логи:
[ATTACH]416020[/ATTACH]
[ATTACH]416021[/ATTACH]
[ATTACH]416022[/ATTACH]

Уважаемый(ая) [B]The_Immortal[/B], спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

Выполните скрипт в AVZ
[code]begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
end;
QuarantineFile('C:\Documents and Settings\Администратор\Application Data\Flash\update.vbs','');
DeleteFile('C:\Documents and Settings\Администратор\Application Data\Flash\update.vbs');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
ExecuteRepair(13);
RebootWindows(true);
end.[/code]Компьютер перезагрузится.

Пришлите карантин согласно [B]Приложения 2[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

Сделайте новые логи

[b]thyrex[/b], скрипт выполнил. Карантин загрузил. Новые логи также выложил.

Однако имеется один вопросик.
[CODE]DeleteFile('C:\Documents and Settings\Администратор\Application Data\Flash\update.vbs');[/CODE]
Данный файл физически располагается по следующему пути:
[QUOTE]C:\Documents and Settings\[U]buh6[/U]\Application Data\Flash\update.vbs[/QUOTE]
Соответственно, после выполнения скрипта он там и остался.
Непонятно, почему AVZ показывает путь с "Администратором".
Да, AVZ запускался именно от Администратора, [I]как было указано в инструкции[/I]. Быть может из-за этого произошла путаница с путями?

P.S. Логи:
[ATTACH]416144[/ATTACH]
[ATTACH]416146[/ATTACH]
[ATTACH]416145[/ATTACH]

В новых логах этого файла нет :)

Что с проблемой?

[b]thyrex[/b], [QUOTE=thyrex;996561]Что с проблемой?[/QUOTE]
Проблема осталась:

[QUOTE]C:\Documents and Settings\buh6>ping vk.com

Обмен пакетами с [url]www.odnoklassniki.ru[/url] [37.10.117.87] по 32 байт:

Ответ от 37.10.117.87: число байт=32 время=59мс TTL=57
Ответ от 37.10.117.87: число байт=32 время=61мс TTL=57
Ответ от 37.10.117.87: число байт=32 время=60мс TTL=57
Ответ от 37.10.117.87: число байт=32 время=60мс TTL=57[/QUOTE]


[QUOTE=thyrex;996561]В новых логах этого файла нет :)[/QUOTE]
По факту же этот файл есть:

[ATTACH=CONFIG]416213[/ATTACH]


Я полагаю имеет смысл выполнить следующий скрипт:
[CODE]begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
end;
DeleteFile('C:\Documents and Settings\buh6\Application Data\Flash\update.vbs');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
ExecuteRepair(13);
RebootWindows(true);
end.[/CODE]
?

Здравствуйте!

Закройте все программы

Отключите
- ПК от интернета/локалки.
[url=http://virusinfo.info/showthread.php?t=130828]- Антивирус и Файрвол[/url]

[url=http://virusinfo.info/showthread.php?t=7239]Выполните скрипт в АВЗ[/url] -

[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
ClearQuarantineEx(true);
QuarantineFile('C:\Documents and Settings\buh6\Application Data\Flash\t1.vbs','');
QuarantineFile('C:\Documents and Settings\buh6\Application Data\Flash\miner.php','');
QuarantineFile('C:\Documents and Settings\buh6\Application Data\Flash\update.vbs','');
DeleteFile('C:\Documents and Settings\buh6\Application Data\Flash\update.vbs');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]

[color=#FF0000]После выполнения скрипта компьютер перезагрузится.[/color]

[b]После перезагрузки:[/b]
- Выполните в АВЗ:
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
Файл [b]quarantine.zip[/b] из папки AVZ загрузите по ссылке "[color=Red][b]Прислать запрошенный карантин[/b][/color]" вверху темы.

[url=http://virusinfo.info/showthread.php?t=4491]Профиксите[/url] в HijackThis

[CODE]O1 - Hosts: 37.10.117.87 www.odnoklassniki.ru wap.odnoklassniki.ru m.vk.com vk.com m.odnoklassniki.ru odnoklassniki.ru my.mail.ru[/CODE]

- Сделайте повторные логи по [url=http://virusinfo.info/pravila.html]правилам[/url] п.2 и 3 раздела Диагностика.([color=Blue]virusinfo_syscheck.zip;hijackthis.log[/color])

проверьте что с проблемой.

[COLOR="silver"]- - - Добавлено - - -[/COLOR]

+ перенесите вручную куда-нибудь эту папку и убедитесь, что у вас всё работает нормально. После этого эту папку удалите. Судя по названию файлов все файлы (по крайней мере из тех, что видны на скрине) в этой папки относятся к майнеру.

[b]regist[/b], итак, по порядку.

[QUOTE=regist;996676]
Выполните скрипт в АВЗ -

[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
ClearQuarantineEx(true);
QuarantineFile('C:\Documents and Settings\buh6\Application Data\Flash\t1.vbs','');
QuarantineFile('C:\Documents and Settings\buh6\Application Data\Flash\miner.php','');
QuarantineFile('C:\Documents and Settings\buh6\Application Data\Flash\update.vbs','');
DeleteFile('C:\Documents and Settings\buh6\Application Data\Flash\update.vbs');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
[/QUOTE]
Скрипт выполнил - [B]проблема[/B] никуда [B]не ушла[/B].



[QUOTE=regist;996676]
Файл quarantine.zip из папки AVZ загрузите по ссылке "Прислать запрошенный карантин" вверху темы.
[/QUOTE]
Загрузил.



[QUOTE=regist;996676]
Профиксите в HijackThis

[CODE]O1 - Hosts: 37.10.117.87 www.odnoklassniki.ru wap.odnoklassniki.ru m.vk.com vk.com m.odnoklassniki.ru odnoklassniki.ru my.mail.ru[/CODE]
[/QUOTE]
Пофиксил. Сразу после этого [B]проблема ушла[/B].



[QUOTE=regist;996676]
+ перенесите вручную куда-нибудь эту папку[/QUOTE]
Данный каталог (C:\Documents and Settings\buh6\Application Data\Flash) удалил, предварительно его заархивировав.



[QUOTE=regist;996676]
Сделайте повторные логи
[/QUOTE]
Сделал:

[ATTACH]416311[/ATTACH]
[ATTACH]416312[/ATTACH]
[ATTACH]416313[/ATTACH]




[U][B]Внимание![/B][/U]

Прошло около часа, как ко мне опять прибегает бухгалтерша: [B]проблема вернулась[/B]. Комп даже не перезагружался за это время.
Так что я выкладываю повторные логи (самые актуальные):

[ATTACH]416324[/ATTACH]
[ATTACH]416323[/ATTACH]
[ATTACH]416325[/ATTACH]

С Касперского я просто в шоке - ему совершенно до лампочки все

вложения не доступны, прикрепите пожалуйста логи заново.

[quote="The_Immortal;996878"]С Касперского я просто в шоке - ему совершенно до лампочки все[/quote]
извините за наверно глупый вопрос, а базы у вас обновлены ?

[b]regist[/b],
[QUOTE=regist;996902]извините за наверно глупый вопрос, а базы у вас обновлены ?[/QUOTE]
Разумеется :) Каспер обновляется каждый раз при запуске.


[QUOTE=regist;996902]прикрепите пожалуйста логи заново.[/QUOTE]

Логи [U]сразу после выполнения Ваших указаний[/U] (выполнение скрипта в AVZ, в hijackthis, удаление и архивирование папки Flash):

[ATTACH]416342[/ATTACH]
[ATTACH]416343[/ATTACH]
[ATTACH]416344[/ATTACH]



Логи [U]спустя час[/U] обычной работы:

[ATTACH]416345[/ATTACH]
[ATTACH]416346[/ATTACH]
[ATTACH]416347[/ATTACH]

опять в hosts записи добавились >:(.

1) давайте сначала закроем уязвимости

- Откройте файл [url=http://df.ru/~kad/ScanVuln.txt][B]ScanVuln.txt[/B][/url]. Выполните из этого файла скрипт в AVZ. В результате работы скрипта будет создан файл - avz_log.txt.
Пройдитесь по ссылкам из файла avz_log.txt и установите все рекомендуемые обновления(если таковые будут).
Перезагрузите компьютер.
Снова выполните этот скрипт и убедитесь, что уязвимости устранены.

2) Выполните скрипт в AVZ

[CODE]begin
ClearHostsFile;
RebootWindows(false);
end.[/CODE]

компьютер перезагрузится.

3) - Сделайте лог [url=http://virusinfo.info/showpost.php?p=457118&postcount=1]полного сканирования МВАМ.[/url]

4) - Проведите процедуру, которая описана [url=http://virusinfo.info/content.php?r=290-virus-detector][B]тут[/B][/url]. Ссылку на результат проверки напишите в сообщении здесь.

[B]regist[/B],

[QUOTE=regist;996937]опять в hosts записи добавились .

1) давайте сначала закроем уязвимости

- Откройте файл ScanVuln.txt. Выполните из этого файла скрипт в AVZ. В результате работы скрипта будет создан файл - avz_log.txt.
Пройдитесь по ссылкам из файла avz_log.txt и установите все рекомендуемые обновления(если таковые будут).
Перезагрузите компьютер.
Снова выполните этот скрипт и убедитесь, что уязвимости устранены.
[/QUOTE]
Все уязвимости устранил.



[QUOTE=regist;996937]
2) Выполните скрипт в AVZ

[CODE]begin
ClearHostsFile;
RebootWindows(false);
end.[/CODE]

компьютер перезагрузится.
[/QUOTE]
Выполнил.



[QUOTE=regist;996937]
3) - Сделайте лог полного сканирования МВАМ.
[/QUOTE]
Сделал: [ATTACH]416629[/ATTACH]
Как видите, та заархивированная папка ("Flash") задетектилась.
Однако удалять, согласно рекомендациям, я пока ничего не стал.



[QUOTE=regist;996937]
4) - Проведите процедуру, которая описана тут. Ссылку на результат проверки напишите в сообщении здесь.[/QUOTE]
Данную процедуру провел. Результаты прилагаю: [url]http://rghost.ru/45652392[/url] (залил на обменник, т.к. доступный лимит на форуме исчерпан).


Ожидаю дальнейших указаний.

Удаляйте найденное и понаблюдайте, что с проблемой.

[b]regist[/b], найденное удалил. Но увы, после небольшой работы [B]проблема вернулась[/B]... :O

- Сделайте повторные логи по [url=http://virusinfo.info/pravila.html]правилам[/url] п.2 и 3 раздела Диагностика.([color=Blue]virusinfo_syscheck.zip;hijackthis.log[/color])

[b]regist[/b],
[ATTACH]416697[/ATTACH]
[ATTACH]416696[/ATTACH]

Быть может попробовать снять логи не из-под локального Администратора, а из-под той учетной записи, на которой ведется работа? Или это бестолковое занятие?

[quote="The_Immortal;997727"]а из-под той учетной записи, на которой ведется работа? Или это бестолковое занятие?[/quote]
так логи и надо делать под проблемной учёткой ;). Если они сделаны не из под проблемной учётки, то переделайте.

[COLOR="silver"]- - - Добавлено - - -[/COLOR]

+ [url=http://virusinfo.info/showthread.php?t=121767]Сделайте полный образ автозапуска uVS[/url]

если будете запускать из под учётки админа, то не забудьте на шаге №4 выбрать проблемную учётку.

[b]regist[/b], я запутался... :)

Все логи я делаю под сеансом проблемной учетки (buh6). Но сами программы (AVZ, hijackhis) [U]запускаю от имени Администратора[/U] (так сказано в правилах), не выходя при этом из сеанса проблемной учетки (buh6).

А как надо на самом деле?

для начала у вас XP а запуск от имени от администратора для систем Vista и старше (нужно для запуска с правами админа, но с проблемной учётки). Так у вас XP то просто запускайте двойным щелчком и не заморачивайтесь.

Для того чтобы убрать симптомы, снова

[url=http://virusinfo.info/showthread.php?t=4491]Профиксите[/url] в HijackThis

[CODE]O1 - Hosts: 37.10.117.87 www.odnoklassniki.ru wap.odnoklassniki.ru m.vk.com vk.com m.odnoklassniki.ru odnoklassniki.ru my.mail.ru[/CODE]

и жду лога uVS может там будет видно из-за чего эта зараза возрождается.

[b]regist[/b],
[QUOTE=regist;997756]Так у вас XP то просто запускайте двойным щелчком и не заморачивайтесь.[/QUOTE]
На всякий случай сделал логи просто по двойному щелчку:
[ATTACH]416722[/ATTACH]
[ATTACH]416723[/ATTACH]




[QUOTE=regist;997756]
Для того чтобы убрать симптомы, снова

Профиксите в HijackThis

[CODE]O1 - Hosts: 37.10.117.87 www.odnoklassniki.ru wap.odnoklassniki.ru m.vk.com vk.com m.odnoklassniki.ru odnoklassniki.ru my.mail.ru[/CODE]
[/QUOTE]
Пока фиксить не стал, ибо бесполезно.




[QUOTE=regist;997756]
и жду лога uVS может там будет видно из-за чего эта зараза возрождается.[/QUOTE]
Лог uVS: [ATTACH]416724[/ATTACH]

Однако эта дрянь скорее всего в автозапуске не сидит, т.к. проблема возникает без завершения сеанса пользователя.