Сообщения Application Error

Printable View

14.03.2008, 11:31
ghostil

Сообщения Application Error

Здравствуйте!
Начали выскакивать сообщения о некорректной работе приложений и ошибке в них. В связи с этим компьютер перезагружался. В безопасном режиме проверил CureIt, затем сделал логи и сообщений перестали выскакивать, но посмотрите, пожалуйста, логи - мало ли, вдруг что-то осталось.
Заранее благодарен!:)
14.03.2008, 11:43
wise-wistful

1.[url=http://virusinfo.info/showthread.php?t=7239]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Надать кнопку "Запустить".[/url]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
SetServiceStart('ZZZdrv_lich', 4);
StopService('ZZZdrv_lich');
TerminateProcessByName('d:\windows\winlogon.exe');
QuarantineFile('D:\WINDOWS\system32\svshost.dll','');
QuarantineFile('kdtfl.exe','');
QuarantineFile('D:\WINDOWS\system32\wininet.exe','');
QuarantineFile('D:\WINDOWS\system32\drivers\spools.exe','');
QuarantineFile('D:\WINDOWS\system32\ntos.exe','');
QuarantineFile('D:\Documents and Settings\LocalService\Local Settings\Application Data\cftmon.exe','');
QuarantineFile('D:\Documents and Settings\B\Local Settings\Application Data\cftmon.exe','');
QuarantineFile('D:\lich.sys','');
QuarantineFile('D:\WINDOWS\System32\Drivers\Ejo16.sys','');
QuarantineFile('D:\WINDOWS\System32\drivers\Din05.sys','');
QuarantineFile('C:\Temp\sv32_4.exe','');
QuarantineFile('D:\WINDOWS\system32\WLCtrl32.dll','');
QuarantineFile('d:\windows\winlogon.exe','');
DeleteFile('d:\windows\winlogon.exe');
DeleteFile('D:\WINDOWS\system32\WLCtrl32.dll');
DeleteFile('C:\Temp\sv32_4.exe');
DeleteFile('D:\WINDOWS\System32\Drivers\Ejo16.sys');
DeleteFile('D:\lich.sys');
DeleteFile('D:\Documents and Settings\B\Local Settings\Application Data\cftmon.exe');
DeleteFile('D:\Documents and Settings\LocalService\Local Settings\Application Data\cftmon.exe');
DeleteFile('D:\WINDOWS\system32\ntos.exe');
DeleteFile('D:\WINDOWS\system32\drivers\spools.exe');
DeleteFile('D:\WINDOWS\system32\wininet.exe');
DeleteFile('D:\WINDOWS\system32\svshost.dll');
BC_ImportAll;
BC_DeleteSvc('ZZZdrv_lich');
BC_DeleteSvc('FCI');
BC_DeleteSvc('MDM');
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]
После выполнения скрипта компьютер перезагрузится.
Прислать карантин согласно [b]приложения 3 [url=http://virusinfo.info/showthread.php?t=1235]правил [/url][/b].
Загружать по ссылке: [url]http://virusinfo.info/upload_virus.php?tid=19786[/url]

2.Пофиксить в HijackThis следующие строчки ( [url]http://virusinfo.info/showthread.php?t=4491[/url] )
[CODE]F2 - REG:system.ini: UserInit=d:\windows\system32\userinit.exe,D:\WINDOWS\system32\ntos.exe,
O4 - HKLM\..\Run: [runwinlogon] D:\WINDOWS\winlogon.exe
O4 - HKLM\..\Run: [autoload] D:\Documents and Settings\B\Local Settings\Application Data\cftmon.exe
O4 - HKLM\..\Run: [ntuser] D:\WINDOWS\system32\drivers\spools.exe
[/CODE]
Повторите логи
14.03.2008, 11:52
ghostil

Да, много оказалось всякого "добра"! Карантин я закачал, сейчас пофиксю и логи выполню!

[size="1"][color="#666686"][B][I]Добавлено через 2 минуты[/I][/B][/color][/size]

Пофиксить не смог, поскольку ни одной Вами указанной строчки я не нашёл. =)
14.03.2008, 12:03
wise-wistful

Если после того, как выполнили скрипт в АВЗ строчек не нашлось - то АВЗ должна прибить. Давайте логи посмотрим.

[size="1"][color="#666686"][B][I]Добавлено через 7 минут[/I][/B][/color][/size]

В карантине wininet.exe - [b]Backdoor.Win32.Small.cup[/b], winlogon.exe - [b]SpamTool.Win32.Agent.gf[/b], WLCtrl32.dll - [b]Trojan-Downloader.Win32.Agent.ldb[/b], ntos.exe - свежая разновидность, пока имя не придумали, но скоро квалифицируют. Остальные в карантин не захотели.
14.03.2008, 12:41
ghostil

Так что я словил новинку сезона, хех!:) Вот выкладываю логи, жду вашего заключения!:)
14.03.2008, 13:00
akok

[url=http://virusinfo.info/showthread.php?t=7239]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".[/url]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
SetServiceStart('Din05', 4);
SetServiceStart('ZZZsvc_lich', 4);
SetServiceStart('CcEvtSvc', 4);
StopService('CcEvtSvc');
StopService('ZZZsvc_lich');
QuarantineFile('kdtfl.exe','');
QuarantineFile('WLCtrl32.dll','');
QuarantineFile('D:\WINDOWS\system32\imapi.exe','');
QuarantineFile('D:\WINDOWS\ATKKBService.exe','');
QuarantineFile('D:\WINDOWS\System32\CcEvtSvc.exe','');
QuarantineFile('D:\lich.exe','');
QuarantineFile('D:\WINDOWS\system32\Drivers\Din05.sys','');
QuarantineFile('D:\WINDOWS\system32\WLCtrl32.dll','');
DeleteFile('D:\WINDOWS\system32\WLCtrl32.dll');
DeleteFile('D:\WINDOWS\system32\Drivers\Din05.sys');
DeleteFile('D:\lich.exe');
DeleteFile('D:\WINDOWS\System32\CcEvtSvc.exe');
DeleteFile('WLCtrl32.dll');
DeleteFile('kdtfl.exe');
DeleteService('CcEvtSvc');
DeleteService('ZZZsvc_lich');
BC_ImportALL;
BC_DeleteSvc('Din05');
BC_Activate;
ExecuteSysClean;
RebootWindows(true);
end.[/CODE]
После выполнения скрипта компьютер перезагрузится.
Прислать карантин согласно [b]приложения 3 [url=http://virusinfo.info/showthread.php?t=1235]правил [/url][/b].
Загружать по ссылке: [url]http://virusinfo.info/upload_virus.php?tid=19786[/url]

[size="1"][color="#666686"][B][I]Добавлено через 2 минуты[/I][/B][/color][/size]

Повторите логи
14.03.2008, 15:12
ghostil

Карантин закачал. Вот выкладываю логи. :)
14.03.2008, 16:20
wise-wistful

Скачайте [url=http://mail.ustc.edu.cn/~jfpan/download/IceSword122en.zip]IceSword[/url].
Внизу слева выберите меню File.
Появится аналог проводника. Найдите в нем файл D:\WINDOWS\system32\Drivers\Din05.sys.
Нажмите по нему правой кнопкой мыши и выберите force delete.
На запрос потверждения ответьте "да".
Перезагрузите компьютер.
Затем выполните скрипт в авз от [b]akoK[/b]. Повторите логи.
14.03.2008, 16:38
ghostil

спасибо, сейчас сделаю!:-)
14.03.2008, 17:12
ghostil

Вот выкладываю логи, которые получились в результате проделанных операций!:)
14.03.2008, 17:25
wise-wistful

Почти все умерли. Попробуйте в АВЗ
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('D:\WINDOWS\System32\Drivers\Din05.sys');
BC_ImportDeletedList;
BC_DeleteSvc('Din05');
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]
Профиксите
[quote]O20 - Winlogon Notify: WLCtrl32 - D:\WINDOWS\[/quote]
Вы IceSword сносили Din05.sys?
Повторите логи.
14.03.2008, 17:48
ghostil

да, сносил, конечно, сделал всё так, как Вы сказали
14.03.2008, 18:06
ghostil

Вот выкладываю новые логи!
14.03.2008, 20:15
V_Bond

в логах ничего подозрительного ....
14.03.2008, 21:01
wise-wistful

Советуем прочитать [url="http://security-advisory.virusinfo.info/"]электронную книгу[/url] "Безопасный Интернет. Универсальная защита для Windows ME - Vista".

Удачи;)!
17.03.2008, 12:05
ghostil

:)Спасибо за помощь! Книгу обязательно прочитаю!