Win32:Tratbho [trj] и ещё один троян

Printable View

23.01.2008, 00:07
vottak

Вложений: 3

Win32:Tratbho [trj] и ещё один троян

только на вас надежда осталась..
всё время после перезагрузки появляются 4 вируса
вначале был Win32:Tratbho [trj] потом появился троян не помню как называется
всё время после его удаления перезагружается комп и они снова на месте..
только пере установлю АВАСТ и он тут же заражён..

ещё файлы обнаруживались в папке C:\WINDOWS\SYSTEM32\
ssqpm.dll
gebyw.dll
gebyv.dll
mllmk.dll
jkkjh.dll
vturr.dll
pmnlm.dll
ssqrs.dll
awtsr.dll

а теперь Trojan.MulDrop.10006, Trojan.Virtumod.257
23.01.2008, 02:41
Bratez

Выполните скрипт в AVZ:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\mllmk.dll','');
QuarantineFile('C:\WINDOWS\system32\ssqoooo.dll','');
QuarantineFile('C:\WINDOWS\system32\nnnmkkl.dll','');
QuarantineFile('C:\WINDOWS\system32\byxusrs.dll','');
QuarantineFile('C:\WINDOWS\system32\awvvs.dll','');
DeleteFile('C:\WINDOWS\system32\awvvs.dll');
DeleteFile('C:\WINDOWS\system32\byxusrs.dll');
DeleteFile('C:\WINDOWS\system32\nnnmkkl.dll');
DeleteFile('C:\WINDOWS\system32\ssqoooo.dll');
DeleteFile('C:\WINDOWS\system32\mllmk.dll');
DelBHO('{92780B25-18CC-41C8-B9BE-3C9C571A8263}');
DelBHO('{2670000A-7350-4f3c-8081-5663EE0C6C49}');
DelBHO('{D59E3BCC-486F-4D33-9346-0BCD6C2F114C}');
DelBHO('{CBFA0E8E-7489-4A16-8D6E-0D58BFFB6134}');
DelBHO('{B5A83A59-8BE9-471F-80B1-EA6EE5F22189}');
DelBHO('{9328A2D1-0570-40FC-898C-94F6DA3CDEFF}');
DelBHO('{3612CFD6-AA95-42F9-96D5-54D83826F3E6}');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]
Компьютер перезагрузится.
Пришлите карантин согласно приложению 3 правил
(загружать тут: [url]http://virusinfo.info/upload_virus.php?tid=16840[/url]).
Сделайте новые логи, начиная с п.10 правил.
23.01.2008, 10:48
vottak

Вложений: 1

сделал всё как написано. .)
вот логи

и ещё.. было в авто загрузке прописан вот такое C:\WINDOWS\system32\mllmk.exe
он удалился и перестало вообще всё загружаться в автозагрузке.
23.01.2008, 10:52
vottak

Вложений: 1

ещё
23.01.2008, 11:17
AndreyKa

Все не так просто как казалось.
Имеем руткит, меняющий имя: sphe.sys - sprg.sys - spee.sys Так что нужен лог по пункту 8 Правил.
1. Деинсталируйте Lavasoft Ad-Aware SE - ее место на свалке истории.
2. Обновите базы AVZ.
3. Закройте программы вроде Word, оставьте только AVZ.
4. Сделайте лог по п. 8 Правил.
5. Перезагрузите компьютер
6. Выложите лог тут.

Присланный карантин:
C:\WINDOWS\system32\awvvs.dll - Trojan.Virtumod.257
C:\WINDOWS\system32\byxusrs.dll - Trojan.Virtumod.240
23.01.2008, 12:53
pig

[QUOTE=AndreyKa;176930]Имеем руткит, меняющий имя: sphe.sys - sprg.sys - spee.sys[/QUOTE]
Алкоголь стоит => sptd.sys и его дети. Можно для очистки совести деинсталлировать и посмотреть.
23.01.2008, 13:03
Bratez

Пофиксите в HijackThis:
[code]
O2 - BHO: (no name) - {5FBC84DA-D66E-42F5-8BAC-E5B51DEA9870} - C:\WINDOWS\system32\awvvs.dll (file missing)
O20 - Winlogon Notify: nnnmkkl - nnnmkkl.dll (file missing)
O20 - Winlogon Notify: ssqoooo - ssqoooo.dll (file missing)
[/code]
Выполните скрипт в AVZ:
[code]
begin
RegKeyParamDel('HKEY_USERS', '.DEFAULT\Software\Microsoft\Windows NT\CurrentVersion\Windows', 'Load');
RebootWindows(true);
end.[/code]
Компьютер перезагрузится.

С помощью AVZ - Сервис - Поиск файлов на диске поищите файлы:
BTCPatcher.exe
NTSpool.exe
и пришлите найденное по правилам.
23.01.2008, 15:43
AndreyKa

[quote]Алкоголь стоит => sptd.sys и его дети[/quote]
Да, наверное, ложная тревога. Я привык к другим именам его драйверов (a*.sys).
[b]vottak[/b] какой верисии у вас Алкоголь?
23.01.2008, 21:44
vottak

столько сразу советов .. ))

[size="1"][color="#666686"][B][I]Добавлено через 34 секунды[/I][/B][/color][/size]

[quote=AndreyKa;177112]Да, наверное, ложная тревога. Я привык к другим именам его драйверов (a*.sys).
[B]vottak[/B] какой верисии у вас Алкоголь?[/quote]

алкоголь версии 1,9,6,5429

[size="1"][color="#666686"][B][I]Добавлено через 3 минуты[/I][/B][/color][/size]

СПАСИБО ВСЕМ ЗА СОВЕТЫ ))))

а что лучше использовать вместо Ad-Aware?
у меня стоит Ad-Aware и АВАСТ 1,7
какой лучше вообще антивирус.. ?

[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]

[quote=Bratez;177002]Пофиксите в HijackThis:
[code]
O2 - BHO: (no name) - {5FBC84DA-D66E-42F5-8BAC-E5B51DEA9870} - C:\WINDOWS\system32\awvvs.dll (file missing)
O20 - Winlogon Notify: nnnmkkl - nnnmkkl.dll (file missing)
O20 - Winlogon Notify: ssqoooo - ssqoooo.dll (file missing)
[/code]Выполните скрипт в AVZ:
[code]
begin
RegKeyParamDel('HKEY_USERS', '.DEFAULT\Software\Microsoft\Windows NT\CurrentVersion\Windows', 'Load');
RebootWindows(true);
end.[/code]Компьютер перезагрузится.

С помощью AVZ - Сервис - Поиск файлов на диске поищите файлы:
BTCPatcher.exe
NTSpool.exe
и пришлите найденное по правилам.[/quote]

профиксил.. скрипт сделал. . теперь ищутся файлы. .
ждёмсс

BTCPatcher.exe -- не был найден
NTSpool.exe -- отправил
23.01.2008, 21:55
V_Bond

C:\WINDOWS\system32\NTSpool.exe [B]Backdoor.Win32.SdBot.crq[/B]
выполните скрипт ....
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
DeleteFile('C:\WINDOWS\system32\NTSpool.exe');
BC_ImportDeletedList;
BC_Activate;
ExecuteSysClean;
RebootWindows(true);
end.
[/code]
повторите логи ...
23.01.2008, 23:58
vottak

Вложений: 2

[quote=V_Bond;177306]C:\WINDOWS\system32\NTSpool.exe [B]Backdoor.Win32.SdBot.crq[/B]
выполните скрипт ....
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
DeleteFile('C:\WINDOWS\system32\NTSpool.exe');
BC_ImportDeletedList;
BC_Activate;
ExecuteSysClean;
RebootWindows(true);
end.
[/code]повторите логи ...[/quote]

что-то после выполнения скрипта AVZ виснет.. но вначале пишет, что удаление и перезагрузить надо..
но перезагр. только проходит через резет
вот логи
24.01.2008, 00:10
wise-wistful

Попробуйте Выполнить скрипт [b]V_Bond[/b] из поста 10 в безопасном режиме.
24.01.2008, 02:54
Bratez

И пофиксите в HijackThis:
[code]
O4 - HKCU\..\Policies\Explorer\Run: [System Patcher] BTCPatcher.exe
O4 - HKCU\..\Policies\Explorer\Run: [NTSpool] NTSpool.exe
[/code]
Затем два последних лога повторите.
24.01.2008, 11:48
vottak

Вложений: 2

в безопасном режиме пошло :)

вот логи
24.01.2008, 11:54
Макcим

Lavasoft Ad-Aware удалили?
24.01.2008, 14:17
vottak

[quote=Maxim;177542]Lavasoft Ad-Aware удалили?[/quote]

нет..
а надо? тогда, чем его заменить?
24.01.2008, 15:26
rubin

надо, нормального, толкового антивируса достаточно

[url]http://virusinfo.info/showthread.php?t=1550[/url]
25.01.2008, 13:10
vottak

[quote=rubin;177683]надо, нормального, толкового антивируса достаточно

[URL]http://virusinfo.info/showthread.php?t=1550[/URL][/quote]

удалил.. поставил др.Вэб
22.02.2009, 03:38
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]13[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\windows\\system32\\awvvs.dll - [B]not-a-virus:AdWare.Win32.Virtumonde.dyx[/B] (DrWEB: Trojan.Virtumod.257)[*] c:\\windows\\system32\\byxusrs.dll - [B]not-a-virus:AdWare.Win32.Virtumonde.dnm[/B] (DrWEB: Trojan.Virtumod.240)[*] c:\\windows\\system32\\ntspool.exe - [B]Backdoor.Win32.SdBot.crq[/B] (DrWEB: BackDoor.IRC.Rxbot)[/LIST][/LIST]