Целый букет, компьютер еле жив.

Printable View

18.01.2008, 20:17
Mio

Вложений: 4

Целый букет, компьютер еле жив.

К сожалению, у меня мало информации, потому что в момент заражения за компьютером был не я. В общем без меня тут как-то пытались разобраться, что-то стерли, но проблем не решили.
Основные симптомы следующие:
При старте компьютера выскакивает сообщение о том, что не удалось загрузить драйвер C:\Windows\System32\drivers\gjkphu.sys
Это сообщение потом выскакивает и во время работы. Периодически выскакивают ошибки доступа к файлам и ошибки процессов, которые приводят к их завершению. В конечном счете компьютер не выдерживает и перезагружается.
Я сначала проверил комп новой версией AVZ 4.29, но он как и 4.27 не смог создать лог файлы (Invalid Variant Type). Удалось сохранить только протокол проверки (avz_log.txt). Поэтому привожу логи старой версии.
Лог Hithisjack новой версии.
18.01.2008, 20:23
Макcим

[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните[/URL] скрипт в AVZ[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
QuarantineFile('C:\WINDOWS\system32\ntos.exe','');
QuarantineFile('C:\WINDOWS\system32\xg120625.dll','');
QuarantineFile('C:\WINDOWS\system32\oh120625.dll','');
QuarantineFile('C:\WINDOWS\system32\mk120625.dll','');
DeleteFile('C:\WINDOWS\system32\mk120625.dll');
DeleteFile('C:\WINDOWS\system32\oh120625.dll');
DeleteFile('C:\WINDOWS\system32\xg120625.dll');
DeleteFile('C:\WINDOWS\system32\ntos.exe');
BC_ImportALL;
BC_Activate;
ExecuteSysClean;
RebootWindows(true);
end.[/CODE]
[URL="http://www.virusinfo.info/showthread.php?t=4491"]"Пофиксите"[/URL] в HijackThis [CODE]F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,C:\WINDOWS\system32\ntos.exe,[/CODE]
Загрузите карантин согласно приложению №3 правил. Повторите логи.
18.01.2008, 21:39
Mio

Вложений: 3

Ничего не изменилось. Сообщение по прежнему выскакивает. При сканировании AVZ выдает те же предупреждения.Однако есть одна странность. При перезагрузке (к сожалению я не внимательно следил) кажется произошла двойная перезагрузка. Но это не точно. Однако, строка F2, которую надо было пофиксить, исчезла (отсутствие ее в логе означается не то, что я ее стер, а то что ее там и не было).Карантин загрузил.
18.01.2008, 22:12
rubin

85.255.115.101
org-name: UkrTeleGroup Ltd.
address: UkrTeleGroup Ltd.
address: Mechnikova 58/5 65029 Odessa
Ваш провайдер?

Выполните и новый карантин вновь пришлите:
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
QuarantineFile('revisor.dog','');
QuarantineFile('walign.exe','');
QuarantineFile('C:\WINDOWS\system32\atiptaxx.exe','');
QuarantineFile('kdhpy.exe','');
QuarantineFile('C:\Documents and Settings\Администратор\Главное меню\Программы\Автозагрузка\PowerReg SchedulerV2.exe','');
DeleteFile('C:\WINDOWS\system32\mk120625.dll');
DeleteFile('C:\WINDOWS\system32\xg120625.dll');
BC_ImportAll;
BC_DeleteFile('C:\WINDOWS\system32\xg120625.dll');
BC_DeleteFile('C:\WINDOWS\system32\mk120625.dll');
BC_Activate;
ExecuteSysClean;
RebootWindows(true);
end.[/code]
18.01.2008, 22:56
Mio

Вложений: 3

Карантин залил.
Насчет провайдера. Я из Москвы, у меня Стрим.

Прошу прощения. В прошлый раз забыл сделать обновление базы.
Провел проверку еще раз последней версией (после обновления баз она заработала нормально). Прикрепляю логи.
Хочу обратить внимание, что в логах должны присутствовать dll-ки лежащие в C:\Temp\KARANTIN\SYST32 Это файлы, который обнаружил отец, когда пытался вылечить компьютер. Эти файлы были созданы в момент заражения. Он их перенес из папки SYSTEM32 в эту папку.

P.S. Сообщение при загрузке компа до сих пор появляется.
18.01.2008, 23:37
rubin

[b]Trojan.Win32.KillAV.ne[/b] C:\WINDOWS\system32\mk120625.dll
[b]Virus.Win32.Sality.v[/b] C:\Documents and Settings\Администратор\Главное меню\Программы\Автозагрузка\PowerReg SchedulerV2.exe
[b]Trojan.Win32.KillAV.ne[/b] C:\Temp\KARANTIN\SYST32\bh120625.dll
[b]Trojan.Win32.KillAV.ne[/b] C:\Temp\KARANTIN\SYST32\ah120625.dll
[b]Trojan.Win32.KillAV.ne[/b] C:\WINDOWS\SYSTEM32\bh120625.dll
[b]Trojan.Win32.KillAV.ne[/b] C:\Temp\KARANTIN\SYST32\ch120625.dll
ВОТ что сменило Ваши серверы на украинские - [b]Trojan.Win32.DNSChanger.aum[/b] C:\WINDOWS\system32\kdhpy.exe
[b]Trojan.Win32.KillAV.ne[/b] C:\Temp\KARANTIN\SYST32\mk120625.dll
[b]Trojan.Win32.KillAV.ne[/b] C:\WINDOWS\SYSTEM32\qh120625.dll
[b]Trojan.Win32.KillAV.ne[/b] C:\Temp\KARANTIN\SYST32\wg116568.dll
[b]Trojan.Win32.KillAV.ne[/b] C:\Temp\KARANTIN\SYST32\oh120625.dll
[b]Trojan.Win32.KillAV.ne[/b] C:\Temp\KARANTIN\SYST32\xg120625.dll
[b]Trojan.Win32.KillAV.ne[/b] C:\WINDOWS\SYSTEM32\ch120625.dll
[b]Trojan.Win32.KillAV.ne[/b] c:\windows\system32\xg120625.dll
[b]Virus.Win32.Sality.v[/b] C:\WINDOWS\system32\atiptaxx.exe
[b]Virus.Win32.Sality.v[/b] C:\WINDOWS\TEMP\3.tmp
[b]Trojan.Win32.KillAV.ne[/b] C:\Temp\KARANTIN\SYST32\qh120625.dll
[b]not-a-virus:Downloader.Win32.Popcap.a[/b] C:\WINDOWS\Downloaded Program Files\popcaploader.dll
[b]Trojan.Win32.KillAV.ne[/b] C:\WINDOWS\SYSTEM32\ah120625.dll
Солидно... сейчас напишу план операции :smile:

[size="1"][color="#666686"][B][I]Добавлено через 9 минут[/I][/B][/color][/size]

1. Скачиваете с сайта провайдера нужные сетевые настройки - DNS-серверы и прочее
2. Скачиваете лечащую утилиту CureIT (желательно на здоровом компьютере), записываете на компакт диск - у Вас тут и файловый вирус в наличии
3. Отключаетесь от сети, выгружаете антивирус
4. Выполняете скрипт:
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
DeleteFile('C:\WINDOWS\system32\mk120625.dll');
DeleteFile('C:\Documents and Settings\Администратор\Главное меню\Программы\Автозагрузка\PowerReg SchedulerV2.exe');
DeleteFile('C:\WINDOWS\SYSTEM32\bh120625.dll');
DeleteFile('C:\WINDOWS\system32\kdhpy.exe');
DeleteFile('C:\WINDOWS\SYSTEM32\qh120625.dll');
DeleteFile('C:\WINDOWS\SYSTEM32\ch120625.dll');
DeleteFile('c:\windows\system32\xg120625.dll');
DeleteFile('C:\WINDOWS\system32\atiptaxx.exe');
DeleteFile('C:\WINDOWS\TEMP\3.tmp');
DeleteFile('C:\WINDOWS\Downloaded Program Files\popcaploader.dll');
DeleteFile('C:\WINDOWS\SYSTEM32\ah120625.dll');
DeleteFile('C:\WINDOWS\SYSTEM32\oh120625.dll');
DeleteFileMask('C:\Temp\KARANTIN\SYST32\', '*.*', false);
DeleteDirectory('C:\Temp\KARANTIN\SYST32\');
BC_ImportDeletedList;
BC_Activate;
ExecuteSysClean;
RebootWindows(true);
end.[/code]
5. Фиксите в HiJackThis:
[code]O4 - Startup: PowerReg SchedulerV2.exe
O17 - HKLM\System\CCS\Services\Tcpip\..\{150DB5AC-1F8A-4229-8630-0D0F9EB5F992}: NameServer = 85.255.115.101,85.255.112.68
O17 - HKLM\System\CCS\Services\Tcpip\..\{2D640CCF-615A-4753-ADBB-634355DEEC8D}: NameServer = 85.255.115.101,85.255.112.68
O17 - HKLM\System\CCS\Services\Tcpip\..\{5DE5C1B6-A6CC-49A7-83AE-CA0AB863D00E}: NameServer = 85.255.115.101,85.255.112.68
O17 - HKLM\System\CCS\Services\Tcpip\..\{FD25A1B6-029A-4888-8BB7-686C2896D834}: NameServer = 85.255.115.101,85.255.112.68
O17 - HKLM\System\CS1\Services\Tcpip\Parameters: NameServer = 85.255.115.101 85.255.112.68
O17 - HKLM\System\CS2\Services\Tcpip\Parameters: NameServer = 85.255.115.101 85.255.112.68
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: NameServer = 85.255.115.101 85.255.112.68[/code]
Этим мы сбрасываем настройки интернета, придется прописать их по новой
6. Делаете полную проверку компьютера CureIt - файловое заражение должно вылечиться
7. Поздравляете отца с тем, что всех зловредов он заметил :wink:
8. Делаете новые логи
21.01.2008, 00:44
Fireborg

эти уже KAV лечит, так что удалять их не обязательно

Virus.Win32.Sality.v C:\WINDOWS\system32\atiptaxx.exe
Virus.Win32.Sality.v C:\WINDOWS\TEMP\3.tmp
Virus.Win32.Sality.v C:\Documents and Settings\Администратор\Главное меню\Программы\Автозагрузка\PowerReg SchedulerV2.exe
21.01.2008, 10:14
rubin

Лечить то лечит... но кроме вирусной инфекции ничего полезного в них нет, это не зараженные системные файлы
21.01.2008, 22:58
Fireborg

[QUOTE=rubin;175594]Лечить то лечит... но кроме вирусной инфекции ничего полезного в них нет, это не зараженные системные файлы[/QUOTE]

Уверяю Вас, что это не так, под таким именем могут детектироваться только заражённые файлы.
21.01.2008, 23:43
rubin

3.tmp - полезный системный файл ?
PowerReg SchedulerV2.exe - тоже?
Возможно вредоносный код в них и в зараженных файлах системы один - потому детект одинаков, но если вылечить системный файл - получим работоспособную программу, а если эти - получим бесполезную пустышку...
Хотя возможно ошибаюсь...пациента что-то не видно
22.01.2008, 02:25
pig

Файловые вирусы надо изгонять, не разбираясь, что там заражено. Мух от котлет будем отделять позже.
22.02.2009, 03:31
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]52[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\documents and settings\\администратор\\главное меню\\программы\\автозагрузка\\powerreg schedulerv2.exe - [B]Virus.Win32.Sality.v[/B] (DrWEB: Win32.Sector.4)[*] c:\\temp\\karantin\\syst32\\ah120625.dll - [B]Trojan.Win32.KillAV.ne[/B] (DrWEB: Win32.Sector.4)[*] c:\\temp\\karantin\\syst32\\bh120625.dll - [B]Trojan.Win32.KillAV.ne[/B] (DrWEB: Win32.Sector.4)[*] c:\\temp\\karantin\\syst32\\ch120625.dll - [B]Trojan.Win32.KillAV.ne[/B] (DrWEB: Win32.Sector.4)[*] c:\\temp\\karantin\\syst32\\mk120625.dll - [B]Trojan.Win32.KillAV.ne[/B] (DrWEB: Win32.Sector.4)[*] c:\\temp\\karantin\\syst32\\oh120625.dll - [B]Trojan.Win32.KillAV.ne[/B] (DrWEB: Win32.Sector.4)[*] c:\\temp\\karantin\\syst32\\qh120625.dll - [B]Trojan.Win32.KillAV.ne[/B] (DrWEB: Win32.Sector.4)[*] c:\\temp\\karantin\\syst32\\wg116568.dll - [B]Trojan.Win32.KillAV.ne[/B] (DrWEB: Win32.Sector.4)[*] c:\\temp\\karantin\\syst32\\xg120625.dll - [B]Trojan.Win32.KillAV.ne[/B] (DrWEB: Win32.Sector.4)[*] c:\\windows\\system32\\ah120625.dll - [B]Trojan.Win32.KillAV.ne[/B] (DrWEB: Win32.Sector.4)[*] c:\\windows\\system32\\atiptaxx.exe - [B]Virus.Win32.Sality.v[/B] (DrWEB: Win32.Sector.4)[*] c:\\windows\\system32\\bh120625.dll - [B]Trojan.Win32.KillAV.ne[/B] (DrWEB: Win32.Sector.4)[*] c:\\windows\\system32\\ch120625.dll - [B]Trojan.Win32.KillAV.ne[/B] (DrWEB: Win32.Sector.4)[*] c:\\windows\\system32\\kdhpy.exe - [B]Trojan.Win32.DNSChanger.aum[/B] (DrWEB: a modification of Trojan.Packed.156)[*] c:\\windows\\system32\\mk120625.dll - [B]Trojan.Win32.KillAV.ne[/B] (DrWEB: Win32.Sector.4)[*] c:\\windows\\system32\\ntos.exe - [B]Trojan-Spy.Win32.Zbot.aay[/B] (DrWEB: Trojan.Proxy.2486)[*] c:\\windows\\system32\\oh120625.dll - [B]Trojan.Win32.KillAV.ne[/B] (DrWEB: Win32.Sector.4)[*] c:\\windows\\system32\\qh120625.dll - [B]Trojan.Win32.KillAV.ne[/B] (DrWEB: Win32.Sector.4)[*] c:\\windows\\system32\\xg120625.dll - [B]Trojan.Win32.KillAV.ne[/B] (DrWEB: Win32.Sector.4)[*] c:\\windows\\temp\\3.tmp - [B]Virus.Win32.Sality.v[/B] (DrWEB: Win32.Sector.4)[/LIST][/LIST]