Printable View
Добрый день! Помогите, пожалуйста, справиться с данной гадостью, отличительные особенности: резкое увеличение трафика (как входящего, так и исходящего) и появление в автозагрузке и, соответственно, в процессах spools.exe. Dr. Web определяет его как backdoor. bulknet.160, nod 32 - заблокирован.
Выполните скрипт в AVZ:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
StopService('Bje65');
SetServiceStart('Bje65', 4);
QuarantineFile('C:\Documents and Settings\alexei\Local Settings\Temp\4DFE.tmp','');
QuarantineFile('C:\Documents and Settings\alexei\Local Settings\Temporary Internet Files\Content.IE5\49M527OB\sys32[1].exe','');
QuarantineFile('C:\Documents and Settings\LocalService.NT AUTHORITY\ftpdll.dll','');
QuarantineFile('C:\Documents and Settings\LocalService.NT AUTHORITY\Local Settings\Temporary Internet Files\Content.IE5\UDWFANOP\sys32[1].exe','');
QuarantineFile('C:\Documents and Settings\LocalService.NT AUTHORITY\Local Settings\Application Data\cftmon.exe','');
QuarantineFile('C:\WINDOWS\system32\Drivers\Bje65.sys','');
QuarantineFile('C:\WINDOWS\system32\WLCtrl32.dll','');
QuarantineFile('C:\WINDOWS\system32\drivers\spools.exe','');
QuarantineFile('C:\Documents and Settings\alexei\Local Settings\Application Data\cftmon.exe','');
DeleteFile('C:\Documents and Settings\alexei\Local Settings\Application Data\cftmon.exe');
DeleteFile('C:\WINDOWS\system32\drivers\spools.exe');
DeleteFile('C:\WINDOWS\system32\WLCtrl32.dll');
DeleteFile('C:\WINDOWS\system32\Drivers\Bje65.sys');
DeleteFile('C:\Documents and Settings\LocalService.NT AUTHORITY\Local Settings\Application Data\cftmon.exe');
DeleteFile('C:\Documents and Settings\alexei\Local Settings\Temp\4DFE.tmp');
DeleteFile('C:\Documents and Settings\alexei\Local Settings\Temporary Internet Files\Content.IE5\49M527OB\sys32[1].exe');
DeleteFile('C:\Documents and Settings\LocalService.NT AUTHORITY\ftpdll.dll');
DeleteFile('C:\Documents and Settings\LocalService.NT AUTHORITY\Local Settings\Temporary Internet Files\Content.IE5\UDWFANOP\sys32[1].exe');
BC_ImportDeletedList;
BC_DeleteSvc('Bje65');
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]
Компьютер перезагрузится.
Пришлите карантин согласно приложению 3 правил
(загружать тут: [url]http://virusinfo.info/upload_virus.php?tid=18776[/url]).
Сделайте новые логи.
Высылаю логи, спасибо!
[b]Backdoor.Win32.Agent.eso[/b] C:\Documents and Settings\LocalService.NT AUTHORITY\Local Settings\Application Data\cftmon.exe
[b]Backdoor.Win32.Agent.eso[/b] C:\Documents and Settings\alexei\Local Settings\Application Data\cftmon.exe
[b]Backdoor.Win32.Agent.eso[/b] C:\WINDOWS\system32\drivers\spools.exe
[size="1"][color="#666686"][B][I]Добавлено через 2 минуты[/I][/B][/color][/size]
[URL="http://mail.ustc.edu.cn/~jfpan/download/IceSword122en.zip"]Скачайте [/URL] .... меню File - файл C:\WINDOWS\system32\Drivers\Bje65.sys -force delete ...
затем выполните скрипт авз ...
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
QuarantineFile('C:\WINDOWS\system32\DRIVERS\Ip6Fw.sys','');
QuarantineFile('C:\WINDOWS\system32\Drivers\Bje65.sys','');
QuarantineFile('C:\WINDOWS\system32\WLCtrl32.dll','');
DeleteFile('C:\WINDOWS\system32\WLCtrl32.dll');
DeleteFile('C:\WINDOWS\system32\Drivers\Bje65.sys');
BC_ImportAll;
BC_DeleteSvc('Bje65');
BC_Activate;
ExecuteSysClean;
RebootWindows(true);
end.[/code]
Пришлите новый карантин, с п.10 Правил повторите логи
сделано, логи высылаю, спасибо!!!
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
RegKeyDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\WLCtrl32');
DeleteFile('C:\WINDOWS\system32\WLCtrl32.dll');
BC_ImportDeletedList;
BC_Activate;
ExecuteSysClean;
RebootWindows(true);
end.[/code]
Повторите лог virusinfo_syscheck
отправляю....
SanitarDiska - а это Вам зачем???
[size="1"][color="#666686"][B][I]Добавлено через 2 минуты[/I][/B][/color][/size]
Удаляем "каку"
[url=http://virusinfo.info/showthread.php?t=7239]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".[/url]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
DeleteFile('C:\Program Files\SanitarDiska\secure_del.dll');
BC_ImportDeletedList;
BC_Activate;
ExecuteSysClean;
RebootWindows(true);
end.[/CODE]
После выполнения скрипта компьютер перезагрузится.
Скрипт выполнен, а вот откуда взялась эта дрянь - хоть убей не могу сказать... Спасибо за уделенное внимание и потраченное на меня время! СПАСИБО ОГРОМНОЕ!!!
[QUOTE=Inane;194341] а вот откуда взялась эта дрянь - хоть убей не могу сказать... [/QUOTE]
"не виноватая я, он сам ко мне пришел ..." (с) :)
Хоть кто-то мне поверил... Да-да, именно так все и было, с этого все и началось... А получилось - вот... я у Вас в гостях)) Не буду отвлекать Вас от более насущных дел - СПАСИБО Вам за помощь!
Советуем прочитать [URL="http://security-advisory.virusinfo.info/"]электронную книгу[/URL] "Безопасный Интернет. Универсальная защита для Windows ME - Vista".
Вы можете нас отблагодарить, [URL="http://www.virusinfo.info/showthread.php?t=3519"]оказав нам помощь в сборе базы безопасных файлов[/URL]. Мы будем Вам очень благодарны!
Удачи!
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]16[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\documents and settings\\alexei\\local settings\\application data\\cftmon.exe - [B]Worm.Win32.Socks.j[/B] (DrWEB: Trojan.DownLoader.61971)[*] c:\\documents and settings\\localservice.nt authority\\local settings\\application data\\cftmon.exe - [B]Worm.Win32.Socks.j[/B] (DrWEB: Trojan.DownLoader.61971)[*] c:\\windows\\system32\\drivers\\spools.exe - [B]Worm.Win32.Socks.j[/B] (DrWEB: Trojan.DownLoader.61971)[/LIST][/LIST]