Закачка из интернета, после проблемы qttaks.exe

Printable View

19.11.2007, 20:50
НикитаИ

Вложений: 3

Закачка из интернета, после проблемы qttaks.exe

Добрый день.
Недавно появились проблемы с интернетом и сегодня был обнаружен дикий тормоз всего компа.
Был найден процесс qttask.exe, обезврежен drweb'ом в безопасном режиме, но полного исчезновения проблемы не удалось достичь..
Помогите найти и решить проблему.

Никита.
19.11.2007, 21:06
V_Bond

выполните скрипт...
[code]
begin
BC_QrFile('C:\WINDOWS\Temp\startdrv.exe');
BC_QrFile('C:\WINDOWS\SYSTEM32\DRIVERS\RUNTIME2.SYS');
BC_QrFile('C:\WINDOWS\system32\drivers\ip6fw.sys');
BC_DeleteFile('C:\WINDOWS\Temp\startdrv.exe');
BC_DeleteFile('C:\WINDOWS\SYSTEM32\DRIVERS\RUNTIME2.SYS');
BC_DeleteFile('C:\WINDOWS\system32\drivers\ip6fw.sys');
BC_DeleteSvc('runtime');
BC_DeleteSvc('runtime2');
BC_DeleteSvc('Ip6Fw');
BC_DeleteSvc('FCI');
BC_Activate;
RebootWindows(true);
end.
[/code]
после перезагрузки еще один....
[code]
begin
SetAVZGuardStatus(True);
SearchRootkit(true, true);
QuarantineFile('C:\WINDOWS\Temp\startdrv.exe','');
QuarantineFile('C:\Program Files\Sable\WINNT\startnt.bat','');
QuarantineFile('\SystemRoot\System32\drivers\protect.sys','');
QuarantineFile('protect.sys','');
QuarantineFile('C:\WINDOWS\system32\w32drv0.exe','');
QuarantineFile('C:\WINDOWS\system32\w32drv1.exe ','');
QuarantineFile('\??\C:\WINDOWS\system32\DefLib.sys','');
QuarantineFile('c:\docume~1\user\locals~1\temp\winlogon.exe','');
DeleteFile('c:\docume~1\user\locals~1\temp\winlogon.exe');
DeleteFile('\??\C:\WINDOWS\system32\DefLib.sys');
DeleteFile('protect.sys');
DeleteFile('\SystemRoot\System32\drivers\protect.sys');
DeleteFile('C:\WINDOWS\Temp\startdrv.exe');
DeleteFile('C:\WINDOWS\system32\w32drv0.exe');
DeleteFile('C:\WINDOWS\system32\w32drv1.exe ');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
очистите временные интернет файлы ...
пришлите карантин согласно приложения 3 правил...
повторите логи....
19.11.2007, 21:55
НикитаИ

Вложений: 3

[quote=V_Bond;151979]выполните скрипт...
[code]
begin
BC_QrFile('C:\WINDOWS\Temp\startdrv.exe');
BC_QrFile('C:\WINDOWS\SYSTEM32\DRIVERS\RUNTIME2.SYS');
BC_QrFile('C:\WINDOWS\system32\drivers\ip6fw.sys');
BC_DeleteFile('C:\WINDOWS\Temp\startdrv.exe');
BC_DeleteFile('C:\WINDOWS\SYSTEM32\DRIVERS\RUNTIME2.SYS');
BC_DeleteFile('C:\WINDOWS\system32\drivers\ip6fw.sys');
BC_DeleteSvc('runtime');
BC_DeleteSvc('runtime2');
BC_DeleteSvc('Ip6Fw');
BC_DeleteSvc('FCI');
BC_Activate;
RebootWindows(true);
end.
[/code]
после перезагрузки еще один....
[code]
begin
SetAVZGuardStatus(True);
SearchRootkit(true, true);
QuarantineFile('C:\WINDOWS\Temp\startdrv.exe','');
QuarantineFile('C:\Program Files\Sable\WINNT\startnt.bat','');
QuarantineFile('\SystemRoot\System32\drivers\protect.sys','');
QuarantineFile('protect.sys','');
QuarantineFile('C:\WINDOWS\system32\w32drv0.exe','');
QuarantineFile('C:\WINDOWS\system32\w32drv1.exe ','');
QuarantineFile('\??\C:\WINDOWS\system32\DefLib.sys','');
QuarantineFile('c:\docume~1\user\locals~1\temp\winlogon.exe','');
DeleteFile('c:\docume~1\user\locals~1\temp\winlogon.exe');
DeleteFile('\??\C:\WINDOWS\system32\DefLib.sys');
DeleteFile('protect.sys');
DeleteFile('\SystemRoot\System32\drivers\protect.sys');
DeleteFile('C:\WINDOWS\Temp\startdrv.exe');
DeleteFile('C:\WINDOWS\system32\w32drv0.exe');
DeleteFile('C:\WINDOWS\system32\w32drv1.exe ');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
очистите временные интернет файлы ...
пришлите карантин согласно приложения 3 правил...
повторите логи....[/quote]

выполнил логи,
очистил,
выслал карантин,
повторяю логи..

Никита.
19.11.2007, 22:41
V_Bond

C:\WINDOWS\System32\drivers\protect.sys [B]Rootkit.Win32.Agent.jj[/B]
C:\WINDOWS\system32\w32drv1.exe [B]Trojan-PSW.Win32.LDpinch.edh[/B]
C:\WINDOWS\system32\w32drv0.exe T[B]rojan-Downloader.Win32.Agent.fej [/B]
c:\docume~1\user\locals~1\temp\winlogon.exe - никто не детектит ... пока
C:\DownloadNikita\xilisoft\xilisoft\Crack\Crack.exe [B]Trojan.Generic.4255[/B]
C:\Program Files\Xilisoft\DVD Ripper Platinum 4\Crack.exe [B]Trojan.Generic.4255[/B]
C:\Program Files\Xilisoft\DVD Ripper Platinum 4\UILib71.dll.bak -чистый ...
startnt.bat -чистый ...

[size="1"][color="#666686"][B][I]Добавлено через 5 минут[/I][/B][/color][/size]

пофиксите...
[code]
O4 - HKCU\..\Run: [Firewall auto setup] C:\DOCUME~1\User\LOCALS~1\Temp\winlogon.exe
[/code]
выполните скрипт....
[code]
begin
SetAVZGuardStatus(True);
SearchRootkit(true, true);
QuarantineFile('C:\DOCUME~1\User\LOCALS~1\Temp\winlogon.exe','');
DeleteFile('C:\DOCUME~1\User\LOCALS~1\Temp\winlogon.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
повторите лог... Hijack
19.11.2007, 22:54
НикитаИ

Вложений: 1

[quote=V_Bond;151994]C:\WINDOWS\System32\drivers\protect.sys [B]Rootkit.Win32.Agent.jj[/B]
C:\WINDOWS\system32\w32drv1.exe [B]Trojan-PSW.Win32.LDpinch.edh[/B]
C:\WINDOWS\system32\w32drv0.exe T[B]rojan-Downloader.Win32.Agent.fej [/B]
c:\docume~1\user\locals~1\temp\winlogon.exe - никто не детектит ... пока
C:\DownloadNikita\xilisoft\xilisoft\Crack\Crack.exe [B]Trojan.Generic.4255[/B]
C:\Program Files\Xilisoft\DVD Ripper Platinum 4\Crack.exe [B]Trojan.Generic.4255[/B]
C:\Program Files\Xilisoft\DVD Ripper Platinum 4\UILib71.dll.bak -чистый ...
startnt.bat -чистый ...

[SIZE=1][COLOR=#666686][B][I]Добавлено через 5 минут[/I][/B][/COLOR][/SIZE]

пофиксите...
[code]
O4 - HKCU\..\Run: [Firewall auto setup] C:\DOCUME~1\User\LOCALS~1\Temp\winlogon.exe
[/code]
выполните скрипт....
[code]
begin
SetAVZGuardStatus(True);
SearchRootkit(true, true);
QuarantineFile('C:\DOCUME~1\User\LOCALS~1\Temp\winlogon.exe','');
DeleteFile('C:\DOCUME~1\User\LOCALS~1\Temp\winlogon.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
повторите лог... Hijack[/quote]

Все сделал.
А как почистить вирусы в system32?
19.11.2007, 23:03
V_Bond

все что было в system32 убито ... активного заражения нет ...
19.11.2007, 23:06
НикитаИ

[quote=V_Bond;152002]все что было в system32 убито ... активного заражения нет ...[/quote]

А что осталось?

Никита.
19.11.2007, 23:21
V_Bond

остались ваши кряки советую немедленно удалить...
C:\DownloadNikita\xilisoft\xilisoft\Crack\Crack.ex e Trojan.Generic.4255
C:\Program Files\Xilisoft\DVD Ripper Platinum 4\Crack.exe Trojan.Generic.4255
19.11.2007, 23:28
НикитаИ

[quote=V_Bond;152014]остались ваши кряки советую немедленно удалить...
C:\DownloadNikita\xilisoft\xilisoft\Crack\Crack.ex e Trojan.Generic.4255
C:\Program Files\Xilisoft\DVD Ripper Platinum 4\Crack.exe Trojan.Generic.4255[/quote]

А, ну это давно сделано..
Спасибо огромное!
Попытаюсь все компьютеры таким образом проверить.
Поизучаю как обезопасится в интернете.. Впервые за 10 лет такую жесть встречаю..

Никита.
19.11.2007, 23:32
V_Bond

если что-то из этого не нужно советую отключить ...
>> Службы: разрешена потенциально опасная служба RemoteRegistry (Удаленный реестр)
>> разрешена потенциально опасная служба TermService (Службы терминалов)
>> разрешена потенциально опасная служба SSDPSRV (Служба обнаружения SSDP)
>> разрешена потенциально опасная служба Schedule (Планировщик заданий)
>> Безопасность: разрешен автозапуск программ с CDROM
>> Безопасность: разрешен административный доступ к локальным дискам (C$, D$ ...)
>> Безопасность: к ПК разрешен доступ анонимного пользователя
20.11.2007, 00:00
НикитаИ

[quote=V_Bond;152020]если что-то из этого не нужно советую отключить ...
>> Службы: разрешена потенциально опасная служба RemoteRegistry (Удаленный реестр)
>> разрешена потенциально опасная служба TermService (Службы терминалов)
>> разрешена потенциально опасная служба SSDPSRV (Служба обнаружения SSDP)
>> разрешена потенциально опасная служба Schedule (Планировщик заданий)
>> Безопасность: разрешен автозапуск программ с CDROM
>> Безопасность: разрешен административный доступ к локальным дискам (C$, D$ ...)
>> Безопасность: к ПК разрешен доступ анонимного пользователя[/quote]

На это обратил внимание давно..
Где почитать как это отключить?
20.11.2007, 00:03
drongo

[quote=НикитаИ;152024]На это обратил внимание давно..
Где почитать как это отключить?[/quote]в самом логе нажать на нужные ссылки, получиться скрипт для выполнения ;)
20.11.2007, 00:03
V_Bond

[URL="http://oszone.net/2357/Services"]почитать [/URL]
22.02.2009, 02:56
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]18[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\documents and settings\\user\\local settings\\temp\\winlogon.exe - [B]Trojan-Proxy.Win32.Agent.rr[/B] (DrWEB: Trojan.Spambot.2496)[*] c:\\docume~1\\user\\locals~1\\temp\\winlogon.exe - [B]Trojan-Proxy.Win32.Agent.rr[/B] (DrWEB: Trojan.Spambot.2496)[*] c:\\windows\\system32\\drivers\\protect.sys - [B]Rootkit.Win32.Agent.jj[/B] (DrWEB: Trojan.NtRootKit.429)[*] c:\\windows\\system32\\w32drv0.exe - [B]Trojan-Downloader.Win32.Agent.ffn[/B] (DrWEB: BackDoor.Bulknet.92)[*] c:\\windows\\system32\\w32drv1.exe - [B]Trojan-PSW.Win32.LdPinch.edh[/B] (DrWEB: Trojan.MulDrop.9575)[/LIST][/LIST]