Возможно Win32.HLLM.Beagle

Добрый день! Имею проблемы во многом аналогичные описанным в этой теме [URL]http://virusinfo.info/showthread.php?t=17081[/URL]
Сиптомы:
[LIST][*]Странное поведение сети. При отключенном кабеле появляется "левое" Local Area Connection для Microsoft TV/Video[*]Компьютер перегружается при попытке закрыть некоторые приложения, например, Skype.[*]Невозможно загрузиться в Safe Mode - появляется надпись Press Esc to skip loading d347bus.sys после чего комп перегружается.[*]Невозможно отключить System Restore для системного диска (для второго раздела получается).[*]CureIt переименнованный в aaa.exe находит Win32.HLLM.Beagle в с:\windows\system32\drivers\srosa.sys, который обещает вылечить после перезагрузки, но не лечит.[*]Даже переименованный AVZ не запускается (Ошибка vvv.pif Is not a valid Win32 Application). При этом при попытке распаковать архив с AVZ на системный диск архиваторы выдавали ошибку на файлах вирусных баз: neurald, neuralm, rootkit, scripts, syscheck, susipu. В результате успешно распаковал на второй раздел.[*]Кстати, попытка установить Kaspersky Internet Security успехом не увенчалась.[/LIST]
Прошу совета с запуском AVZ для сбора диагностики.

Если есть возможность - загрузиться с LiveCD, Bart PE или др. загрузочного диска, разыскать и удалить следующие файлы:
[b]windows\system32\drivers\srosa.sys
windows\system32\drivers\hldrrr.exe
windows\system32\wintems.exe[/b]
Скорее всего, после этого AVZ будет нормально работать.

[quote=Bratez;182134]Если есть возможность - загрузиться с LiveCD, Bart PE или др. загрузочного диска, разыскать и удалить следующие файлы.[/quote]

Все оказалось непросто! После удаления переименованный AVZ запускается, но вирусина удаляет scripts.avz и не позволяет скопировать его в каталог из других мест....
Я сделал проверку из пол miniPE, из под которой и удалял файлы. Помогут такие логи или надо все-таки запуститься из под зараженной системы?

Это логи самой PE, они практически бесполезны.

[quote=Bratez;182177]Это логи самой PE, они практически бесполезны.[/quote]

Да, я так и думал...
А можно как-нибудь получить стандартные скрипты в тексте, нескомпилированными?
Просто AVZ я запустить могу, но как только пытаюсь открыть стандартные скрипты через его меню, я получаю ошибку, о том, что файл не найден. Ну и он, естественно, оказывается удален с диска.
Переименованная копия стандартных скриптов у меня есть, но как ее выполнить в AVZ я не могу понять...

Кроме трех перечисленных, поищите еще C:\WINDOWS\system32\mdelk.exe, это из той же компании. Если он есть, возможно его удаление изменит ситуацию. Заодно проверьте, не возродилась ли та троица.

Так вот лог Highjack для зараженной системы. AVPtool запускается, но собрать информацию о системе не может, при запуске сканирования или AVZ_CollectSysInfo stopping... или AVZ_CollectSysInfo partialy running... и ничего не происходит.
Да, в systems32 лежит mdelk.exe - грохать его?

Грохайте, только пришлите нам копию, и еще вот этот:
C:\WINDOWS\system32\csteqchk.dll

[quote=Bratez;182189]Грохайте, только пришлите нам копию, и еще вот этот: C:\WINDOWS\system32\csteqchk.dll[/quote]

Хм, mdelk.exe я удалил раньше, чем прочитал ваше сообщение.
csteqchk.dll послал по правилам.

Есть еще hlddr.exe, ps.exe и srosa.sys. Первые два Bagle.jd, третий - Bagle.iw, если верить AVPTool. Прислать?

[quote=neudachnik;182197]Есть еще hlddr.exe, ps.exe и srosa.sys. Первые два Bagle.jd, третий - Bagle.iw, если верить AVPTool. Прислать?[/quote]
Присылайте и удаляйте! Про srosa.sys я уже говорил в сообщении #2, это именно он противодействует антивирусным программам.

[size="1"][color="#666686"][B][I]Добавлено через 10 минут[/I][/B][/color][/size]

C:\WINDOWS\system32\csteqchk.dll - [b]not-a-virus:AdWare.Win32.BHO.aa [/b]
(тоже фтопку ;))

[quote=Bratez;182198]Присылайте и удаляйте! Про srosa.sys я уже говорил в сообщении #2, это именно он противодействует антивирусным программам.
[/quote]

Дык, уже два раза удалял. Самовосстанавливается!

А стоит пытаться свежим AVPTool их и другое добро лечить?

[quote=neudachnik;182240]А стоит пытаться свежим AVPTool их и другое добро лечить?[/quote]
Разумеется.

[quote=Bratez;182250]Разумеется.[/quote]

Победа! После удаления обсужденных вредоносных файлов и отключения всех элементов автозапуска.
Также отправляю по правилам все вредоносы.

Отключите восстановление системы.
srosa.sys - [b]Trojan-Downloader.Win32.Bagle.cu[/b] (по Касперскому)
Выполните в АВЗ

[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
SetServiceStart('srosa', 4);
StopService('srosa');
QuarantineFile('C:\WINDOWS\system32\drivers\srosa.sys','');
QuarantineFile('D:\ktpcv\setup_7.0.0.180_03.02.2008_14-02.exe','');
DeleteFile('C:\WINDOWS\system32\drivers\srosa.sys');
DeleteService('srosa');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]
После выполнения скрипта компьютер перезагрузится. Загрузите карантин согласно приложения 3 правил. поссылке [url]http://virusinfo.info/upload_virus.php?tid=17471[/url]
Посмотрите есть ли такая папка C:\WINDOWS\exefqd - если да то удалите её вместе со всем содержимым
С хост файлом сами эксперементировали?

[quote]127.0.0.1 localhost
127.0.0.2 sy
127.0.0.10 ebs
127.0.0.15 oldebs
127.0.0.20 oldicas
127.0.0.25 icas
127.0.0.30 arfine
127.0.0.50 bio
127.0.0.60 luettelo
127.0.0.70 ls
127.0.0.75 ls2
127.0.0.80 ovanes
127.0.0.90 tris
127.0.0.255 php5
127.0.0.160 shava
127.0.0.180 termal[/quote]

[quote=wise-wistful;182279]
С хост файлом сами эксперементировали?[/quote]

Да - это все мое. Ничего лишнего нет.

[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]

D:\ktpcv\setup_7.0.0.180_03.02.2008_14-02.exe - это AVPTool :).

Я уберу из срипта, ок?

Убирайте, без проблем.

[size="1"][color="#666686"][B][I]Добавлено через 6 минут[/I][/B][/color][/size]

И повторите логи.

[quote=wise-wistful;182285]Убирайте, без проблем.

[SIZE=1][COLOR=#666686][B][I]Добавлено через 6 минут[/I][/B][/COLOR][/SIZE]

И повторите логи.[/quote]

В карантине только Popcaploader. Новые логи прилагаю.

1

выполните скрипт ....
[code]
begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\System32\drivers\tandpl.sys','');
DeleteFile('C:\WINDOWS\Downloaded Program Files\popcaploader.dll');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
пришлите карантин согласно приложения 3 правил ...

Отправил.