Невозможно избавиться от вирусов

Printable View

21.02.2008, 13:23
Victor-S

Вложений: 3

Невозможно избавиться от вирусов

На протяжении двух месяцев попытки избавиться от вирусов при помощи антивирусных программ Avast и Panda не привыли к желаемому результату. После перезагрузки опять появляются Win32: Qhost-AYU, Agent-GRW, Boran-J, Cimnus-d ( по Avast) и неисчислимое количество зараженных файлов. Конечно можно все форматнуть, но где гаратия что это не повториться. Прошу помощи.
21.02.2008, 13:36
Bratez

Пофиксите в HijackThis:
[code]
O2 - BHO: Invoke Class - {5FB8C5D4-929F-4870-89E2-7E3EE26EE701} - C:\WINDOWS\system32\2f61.dll (file missing)
O4 - HKLM\..\Policies\Explorer\Run: [MSDWG32] LYLoadbr.exe
O4 - HKLM\..\Policies\Explorer\Run: [MSDCG32 ] LYLeador.exe
O4 - HKLM\..\Policies\Explorer\Run: [MSDOG32] LYLoador.exe
O4 - HKLM\..\Policies\Explorer\Run: [MSDSG32] LYLoadar.exe
O4 - HKLM\..\Policies\Explorer\Run: [MSDHG32] LYLoadhr.exe
O4 - HKLM\..\Policies\Explorer\Run: [MSDQG32] LYLoadqr.exe
O4 - HKLM\..\Policies\Explorer\Run: [vsb3nbsr] rundll32 "C:\WINDOWS\Downlo~1\vsb3nbsr.dll",start
O4 - HKLM\..\Policies\Explorer\Run: [n2xmqi] rundll32 "C:\WINDOWS\Downlo~1\n2xmqi.dll",Run
[/code]
Выполните скрипт в AVZ:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\dqoqc5gxbf.dll','');
QuarantineFile('C:\WINDOWS\system32\drivers\svj0e24.sys','');
QuarantineFile('D:\autorun.inf','');
QuarantineFile('C:\autorun.inf','');
QuarantineFile('C:\WINDOWS\system32\2f61.dll','');
QuarantineFile('LYLoadqr.exe','');
QuarantineFile('LYLoador.exe','');
QuarantineFile('LYLoadhr.exe','');
QuarantineFile('LYLoadbr.exe','');
QuarantineFile('LYLoadar.exe','');
QuarantineFile('LYLeador.exe','');
QuarantineFile('C:\WINDOWS\system32\ntos.exe','');
QuarantineFile('C:\WINDOWS\Downlo~1\vsb3nbsr.dll','');
QuarantineFile('C:\WINDOWS\Downlo~1\n2xmqi.dll','');
QuarantineFile('C:\WINDOWS\system32\f6ce1.exe','');
QuarantineFile('C:\WINDOWS\system32\msplrct.dll','');
QuarantineFile('C:\WINDOWS\system32\flym.dll','');
DeleteFile('C:\WINDOWS\system32\ntos.exe');
DeleteFile('C:\Documents and Settings\Виктор\Local Settings\Temp\zntA835.tmp');
DeleteFile('C:\autorun.inf');
DeleteFile('D:\autorun.inf');
BC_ImportALL;
BC_QrSvc('A3A0F974');
ExecuteSysClean;
RebootWindows(true);
end.[/code]
Компьютер перезагрузится.
Пришлите карантин согласно приложению 3 правил
(загружать тут: [url]http://virusinfo.info/upload_virus.php?tid=18410[/url]).
21.02.2008, 14:37
Victor-S

Задание выполнено
21.02.2008, 14:46
Bratez

Выполните скрипт:
[code]
begin
BC_DeleteSvc('svj0e24');
BC_DeleteSvc('ms_2fax');
BC_DeleteSvc('A3A0F974');
BC_DeleteFile('C:\WINDOWS\system32\Drivers\svj0e24.sys');
BC_Activate;
RebootWindows(true);
end.[/code]
Очистите временные файлы IE и папку
C:\Documents and Settings\Виктор\Local Settings\Temp

Сделайте новые логи.
21.02.2008, 16:44
Victor-S

Вложений: 3

выполнено кроме очистки C:\Documents and Settings\Виктор\Local Settings\Temp папка: Local Settings\Temp мне не видна логи прикрепляю
21.02.2008, 17:04
Bratez

Выполните скрипт в AVZ:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
StopService('svj0e24');
SetServiceStart('svj0e24', 4);
DeleteFile('C:\WINDOWS\system32\flym.dll');
DeleteFile('C:\WINDOWS\system32\msplrct.dll');
DeleteFile('C:\WINDOWS\system32\Drivers\svj0e24.sys');
DelBHO('{BCBD80C9-6AD7-48ed-8DF1-6963414B3649}');
BC_ImportDeletedList;
ExecuteSysClean;
BC_DeleteSvc('svj0e24');
BC_Activate;
RebootWindows(true);
end.[/code]
Компьютер перезагрузится.
Сделайте еще раз лог syscheck (п.10 правил).

[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]

Эти совсем свеженькие:
flym.dll - [b]not-a-virus:AdWare.Win32.BHO.abm[/b]
svj0e24.sys - [b]Trojan-Downloader.Win32.Hmir.aex[/b]

[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]

Чтобы увидеть Local Settings, надо включить показ скрытых и системных.
21.02.2008, 17:12
Victor-S

Вложений: 1

Выполнено лог прикрепляю
21.02.2008, 17:24
Bratez

Результат есть. Остался еще один зловред и пара пустышек.

Выполните следующий скрипт:
[code]
begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
StopService('mxdispdr');
SetServiceStart('mxdispdr', 4);
QuarantineFile('C:\WINDOWS\system32\drivers\mxdispdr.sys','');
QuarantineFile('C:\WINDOWS\system32\msplrct.dll','');
DeleteFile('C:\WINDOWS\system32\drivers\mxdispdr.sys');
DeleteFile('C:\WINDOWS\system32\msplrct.dll');
BC_ImportALL;
BC_DeleteSvc('mxdispdr');
BC_DeleteSvc('Adobe LM Service');
BC_DeleteSvc('gusvc');
BC_DeleteSvc('Pdpmusltih');
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]
Компьютер перезагрузится.
Пришлите карантин согласно приложению 3 правил
Сделайте новые логи, начиная с п.10 правил.
21.02.2008, 17:34
Victor-S

Вложений: 1

сделано и отправлено
21.02.2008, 17:35
Victor-S

минутку забыл 11 12 13 14 пункты
21.02.2008, 17:38
Victor-S

Вложений: 1

Досылаю
21.02.2008, 17:48
Bratez

Вот теперь все нормально.
Остались огрызки от старой версии Касперского и ненужного уже кряка SP1, которые следует подчистить. Также посмотрите, нужно ли вам что-то из этого:
[code]
>> Службы: разрешена потенциально опасная служба RemoteRegistry (Удаленный реестр)
>> Службы: разрешена потенциально опасная служба TermService (Службы терминалов)
>> Службы: разрешена потенциально опасная служба SSDPSRV (Служба обнаружения SSDP)
>> Службы: разрешена потенциально опасная служба Schedule (Планировщик заданий)
>> Службы: разрешена потенциально опасная служба mnmsrvc (NetMeeting Remote Desktop Sharing)
>> Службы: разрешена потенциально опасная служба RDSessMgr (Диспетчер сеанса справки для удаленного рабочего стола)
>> Безопасность: разрешен автозапуск программ с CDROM
>> Безопасность: разрешен административный доступ к локальным дискам (C$, D$ ...)
>> Безопасность: к ПК разрешен доступ анонимного пользователя
>> Безопасность: Разрешена отправка приглашений удаленному помошнику
[/code]

[size="1"][color="#666686"][B][I]Добавлено через 2 минуты[/I][/B][/color][/size]

Еще и от Панды хвосты есть ;)
21.02.2008, 17:51
Victor-S

если только оставить автозапуск программ с CDROM?

[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]

Как убрать хвосты?
21.02.2008, 17:56
Bratez

Вот вам скрипт для очистки от всего ненужного.
Только если есть локалка, уберите первую строчку после begin.
[code]
begin
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Control\LSA','RestrictAnonymous', 2);
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Control\Terminal Server','fAllowToGetHelp', 0);
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'System\CurrentControlSet\Services\LanmanServer\Parameters','AutoShareWks', 0);
SetServiceStart('RDSessMgr', 4);
SetServiceStart('mnmsrvc', 4);
SetServiceStart('Schedule', 4);
SetServiceStart('SSDPSRV', 4);
SetServiceStart('TermService', 4);
SetServiceStart('RemoteRegistry', 4);
SetAVZGuardStatus(True);
DelWinlogonNotifyByKeyName( 'avldr');
DelWinlogonNotifyByKeyName( 'reset5');
BC_DeleteSvc('NETIMFLT');
BC_DeleteSvc('KAVMonitorService');
BC_DeleteSvc('AVPCC');
BC_DeleteFile('C:\WINDOWS\system32\DRIVERS\netimflt.sys');
BC_DeleteFile('C:\WINDOWS\System32\Drivers\klif.sys');
BC_DeleteFile('C:\WINDOWS\SYSTEM32\reset5.dll');
BC_DeleteFile('C:\WINDOWS\SYSTEM32\avldr.dll');
BC_Activate;
RebootWindows(true);
end.[/code]
21.02.2008, 18:09
Victor-S

Все сделал. Даже не вериться что все чисто. Очень благодарен. Большое спасибо.
22.02.2009, 04:06
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]13[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\documents and settings\\виктор\\local settings\\temp\\temporary internet files\\content.ie5\\5w81c5qo\\hbd[1].exe - [B]not-a-virus:AdWare.Win32.BHO.tm[/B] (DrWEB: archive: Trojan.Click.5021)[*] c:\\documents and settings\\виктор\\local settings\\temp\\znta835.tmp - [B]not-a-virus:AdWare.Win32.BHO.tm[/B] (DrWEB: archive: Trojan.Click.5021)[*] c:\\windows\\system32\\drivers\\mxdispdr.sys - [B]Trojan.Win32.Inject.xj[/B] (DrWEB: Trojan.NtRootKit.838)[*] c:\\windows\\system32\\drivers\\svj0e24.sys - [B]Trojan-Downloader.Win32.Hmir.aex[/B] (DrWEB: Trojan.DownLoader.49230)[*] c:\\windows\\system32\\flym.dll - [B]not-a-virus:AdWare.Win32.BHO.abm[/B] (DrWEB: Adware.Baidu.366)[/LIST][/LIST]