Спамбот, который заразил winlogon

Printable View

20.11.2007, 00:48
helenrf

Вложений: 3

Спамбот, который заразил winlogon

Комп резко стал тормозить, загружаться виндоус стал минут по 10 (висит заставка), так же и с выключением. Все програмы, окна и в общем вся работа компа стала в 10 раз медленней и процессор стал сильно греться. Я заметила что мой фаер вол (зон аларм) стал постоянно сигналить о том, что winlogon рассылает какие-то письма по не ясным мне адресам. Я так поняла, что у меня какой-то [COLOR=#004080][COLOR=black]спамбот, который заразил winlogon.exe. Может конечно еще какая-то гадость у меня есть, не удивлюсь. Прочитала правила, прикрепляю все логи и жду помощи. А то нервы уже на пределе, винду жалко![/COLOR]
[/COLOR]
20.11.2007, 03:35
Bratez

Выполните скрипт в AVZ:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\Downloaded Program Files\Play365.dll','');
QuarantineFile('c:\docume~1\lena\applic~1\plancl~1\PopCityKind.exe','');
QuarantineFile('C:\DOCUME~1\Lena\LOCALS~1\Temp\winlogon.exe','');
QuarantineFile('C:\WINDOWS\System32\drivers\protect.sys','');
QuarantineFile('C:\WINDOWS\system32\ke32psag.sys','');
QuarantineFile('C:\WINDOWS\System32\ke32paag.dll','');
DeleteFile('C:\WINDOWS\System32\ke32paag.dll');
DeleteFile('C:\WINDOWS\system32\ke32psag.sys');
DeleteFile('C:\WINDOWS\System32\drivers\protect.sys');
DeleteFile('C:\DOCUME~1\Lena\LOCALS~1\Temp\winlogon.exe');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]
Компьютер перезагрузится.
Пришлите карантин согласно приложению 3 правил.
Сделайте новые логи.
20.11.2007, 11:10
helenrf

никак не могу прикрепить логи,а карантин вцышел на 4,3 мб, что делать?
20.11.2007, 11:34
PavelA

Карантин загружать через [url]http://virusinfo.info/upload_virus.php?tid=14339[/url]
20.11.2007, 23:40
helenrf

Вложений: 3

вот пробую еще раз новые логи прикрепить.. карантин выслала
21.11.2007, 03:29
Muzzle

в карантине [B]Trojan-Spy.Win32.Banker.gej[/B] и [B]Rootkit.Win32.Agent.jj[/B]

[url=http://virusinfo.info/showthread.php?t=7239]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".[/url]
[CODE]begin
SetAVZGuardStatus(True);
QuarantineFile('ke32paag.dll','');
DeleteFile('ke32paag.dll');
ExecuteSysClean;
RebootWindows(true);
end.[/CODE]
После выполнения скрипта компьютер перезагрузится.
и ещё разок логи для успокоения. %)
21.11.2007, 09:55
PavelA

[QUOTE=helenrf;152389]вот пробую еще раз новые логи прикрепить.. карантин выслала[/QUOTE]

Профиксить:
[CODE]
O2 - BHO: (no name) - {A5366673-E8CA-11D3-9CD9-0090271D075B} - (no file)
O3 - Toolbar: (no name) - {E0E899AB-F487-11D5-8D29-0050BA6940E3} - (no file)
O18 - Filter hijack: text/html - (no CLSID) - (no file)
O20 - Winlogon Notify: ke32paag - ke32paag.dll (file missing)
[/CODE]

А вот это что за программа \DTemp\DTemp.exe?
Если не знаете, то загрузить в карантин и прислать.
21.11.2007, 10:58
helenrf

Вложений: 3

Muzzle, все выполнила, вот логи

PavelA, а как эту прогу добавить в карантин?
21.11.2007, 11:28
rubin

1 вариант - найти файл через AVZ (Сервис - Поиск файлов на диске), и нажать добавить в карантин, затем прислать
2 вариант - просто добавить файл в архив и архив прислать по ссылке в верху темы
21.11.2007, 14:28
PavelA

Присылать лучше через карантин, безопаснее для нас ;)
21.11.2007, 20:34
helenrf

а.. поняла... dtemp.exe это для температуры винта, чтобы следить за перегревом!! а все остальное как? комп будет жить?
21.11.2007, 20:55
V_Bond

в логах ничего плохого не видно ...
какие-то проблемы остались ?
21.11.2007, 21:14
helenrf

вроде нет. стараюсь следить. но у меня пока нет антивируса. мой макафи умер в прошлый раз.

а в общем..огромное всем спасибо!!! уже не первый раз выручаете!!
21.11.2007, 21:30
rubin

>> Службы: разрешена потенциально опасная служба RemoteRegistry (Удаленный реестр)
>> Службы: разрешена потенциально опасная служба TermService (Службы терминалов)
>> Службы: разрешена потенциально опасная служба SSDPSRV (Служба обнаружения SSDP)
>> Службы: разрешена потенциально опасная служба Schedule (Планировщик заданий)
>> Службы: разрешена потенциально опасная служба mnmsrvc (NetMeeting Remote Desktop Sharing)
>> Службы: разрешена потенциально опасная служба RDSessMgr (Диспетчер сеанса справки для удаленного рабочего стола)
> Службы: обратите внимание - набор применяемых на ПК служб зависит от области применения ПК (домашний, ПК в ЛВС компании ...)!
>> Безопасность: разрешен автозапуск программ с CDROM
>> Безопасность: разрешен административный доступ к локальным дискам (C$, D$ ...)
>> Безопасность: к ПК разрешен доступ анонимного пользователя
>> Безопасность: Разрешена отправка приглашений удаленному помошнику

Что из этого не нужно?
22.11.2007, 01:33
helenrf

я в этом списке ничего не поняла...
это по ходу когда фаер вол меня спрашивает я с дуру жду разрешить.. не зная что?
22.11.2007, 01:38
V_Bond

компьютер домашний\ рабочий ?
локальная сеть есть\нет ?
22.11.2007, 11:03
helenrf

домашний комп
локальной сети нет adsl интернет
22.11.2007, 11:30
V_Bond

выполните скрипт ...
[code]
begin
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Control\Terminal Server','fAllowToGetHelp', 0);
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Control\LSA','RestrictAnonymous', 2);
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'System\CurrentControlSet\Services\LanmanServer\Parameters','AutoShareWks', 0);
SetServiceStart('RDSessMgr', 4);
SetServiceStart('mnmsrvc', 4);
SetServiceStart('Schedule', 4);
SetServiceStart('SSDPSRV', 4);
SetServiceStart('TermService', 4);
SetServiceStart('RemoteRegistry', 4);
RebootWindows(true);
end.
[/code]
22.02.2009, 02:56
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]17[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\windows\\system32\\drivers\\protect.sys - [B]Rootkit.Win32.Agent.jj[/B] (DrWEB: Trojan.NtRootKit.429)[*] c:\\windows\\system32\\ke32paag.dll - [B]Trojan-Banker.Win32.Banker.gej[/B] (DrWEB: Trojan.PWS.GoldSpy)[/LIST][/LIST]