Вирусы.Трафик уходит,помогите!

Printable View

17.04.2008, 10:37
Danzzzik

Вирусы.Трафик уходит,помогите!

Пожалуйста помогите.Тема такая : прри подключении к инету появляются какие то вирусы (bn2.tmp bna.tmp bn..tmp Hov75.sys и другие).Хотя антивирусом удалял их,но они снова появляются.В инете всё тормозит.Постоянно что то качается,уходит трафик,хотя я ничего не делаю.В диспетчере задач появляется ещё процесс svchost.exe.Я этот процесс завершал,скачка в инете прекращалась секунд на 10 и потом снова появляется этот процесс и начинается снова какая то скачка.Уже потерял много тафика.Пожалуйста помогите.Please...
17.04.2008, 10:54
PavelA

Почти все ,что можно было поймать - поймали.
Профиксить:
[CODE]
O2 - BHO: ConnectionServices module - {6D7B211A-88EA-490c-BAB9-3600D8D7C503} - C:\Program Files\ConnectionServices\ConnectionServices.dll (file missing)
O2 - BHO: BitAccelerator module - {92860A02-4D69-48c1-82D7-EF6B2C609502} - C:\Program Files\BitAccelerator\BitAccelerator.dll (file missing)
O2 - BHO: C:\WINDOWS\system32\jkd845jg.dll - {B5AC49A2-94F3-42BD-F434-2604812C897D} - C:\WINDOWS\system32\jkd845jg.dll (file missing)
O2 - BHO: C:\WINDOWS\system32\d4ghggf4g.dll - {B5AF0562-94F3-42BD-F434-2604812C297D} - C:\WINDOWS\system32\d4ghggf4g.dll (file missing)
O2 - BHO: FlashFXP Helper for Internet Explorer - {E5A1691B-D188-4419-AD02-90002030B8EE} - C:\PROGRA~1\FlashFXP\IEFlash.dll (file missing)
O20 - Winlogon Notify: partnershipreg - C:\Documents and Settings\All Users\Документы\Settings\partnership.dll (file missing)
O22 - SharedTaskScheduler: sdf4dr4gfdgeetj - {B5AC49A2-94F3-42BD-F434-2604812C897D} - C:\WINDOWS\system32\jkd845jg.dll (file missing)
O22 - SharedTaskScheduler: JGhjddf9dtj - {B5AF0562-94F3-42BD-F434-2604812C297D} - C:\WINDOWS\system32\d4ghggf4g.dll (file missing)
[/CODE]
17.04.2008, 11:06
kps

Отключите антивирус.
Скачайте [url=http://mail.ustc.edu.cn/~jfpan/download/IceSword122en.zip]IceSword[/url] или он у Вас уже есть и Вы его уже запускали?
Запустите его, внизу слева выберите меню File.
Появится аналог проводника. Найдите в нем файл C:\WINDOWS\System32\drivers\Vel53.sys и если есть - удалите с помощью force delete (нажмите по нему правой кнопкой мыши и выберите force delete, на запрос подтверждения ответьте "да").

Затем [url=http://virusinfo.info/showthread.php?t=7239]выполните скрипт в AVZ[/url]:
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\hidec','');
QuarantineFile('WLCtrl32.dll','');
QuarantineFile('C:\WINDOWS\system32\jkd845jg.dll','');
QuarantineFile('C:\WINDOWS\system32\d4ghggf4g.dll','');
QuarantineFile('C:\Downloads\Архивы\Logons\Logons\Aria3.Exe','');
QuarantineFile('C:\WINDOWS\Temp\startdrv.exe','');
QuarantineFile('C:\Documents and Settings\All Users\Документы\Settings\partnership.dll','');
QuarantineFile('C:\DOCUME~1\1F50~1\LOCALS~1\Temp\winsto.exe','');
QuarantineFile('C:\WINDOWS\System32\drivers\Ygo64.sys','');
QuarantineFile('C:\WINDOWS\System32\drivers\Ygn86.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Xho64.sys','');
QuarantineFile('C:\WINDOWS\system32\DRIVERS\smtpdrv.sys','');
QuarantineFile('C:\WINDOWS\System32\drivers\Sah31.sys','');
QuarantineFile('C:\WINDOWS\System32\drivers\Pxf06.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Pwe07.sys','');
QuarantineFile('C:\WINDOWS\System32\drivers\Ovd86.sys','');
QuarantineFile('C:\WINDOWS\System32\drivers\Nuc20.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Nuc18.sys','');
QuarantineFile('C:\WINDOWS\System32\drivers\Ipw20.sys','');
QuarantineFile('C:\WINDOWS\System32\drivers\Hov20.sys','');
QuarantineFile('C:\WINDOWS\System32\drivers\Gov75.sys','');
QuarantineFile('C:\WINDOWS\system32\drivers\ctl_w32.sys','');
QuarantineFile('C:\WINDOWS\System32\drivers\Aho53.sys','');
QuarantineFile('C:\WINDOWS\system32\DRIVERS\HIDKbFlt.sys','');
QuarantineFile('C:\WINDOWS\System32\drivers\Vel53.sys','');
QuarantineFile('C:\WINDOWS\system32\WLCtrl32.dll','');
QuarantineFile('C:\Program Files\Internet Explorer\SETUPAPI.dll','');
QuarantineFile('c:\program files\yandex\online\online.exe','');
QuarantineFile('c:\progra~1\slunak~1\kxt01kb.exe','');
DeleteFile('C:\Program Files\Internet Explorer\SETUPAPI.dll');
DeleteFile('C:\WINDOWS\system32\WLCtrl32.dll');
DeleteFile('C:\WINDOWS\System32\drivers\Vel53.sys');
DeleteFile('C:\WINDOWS\System32\drivers\Aho53.sys');
DeleteFile('C:\WINDOWS\system32\drivers\ctl_w32.sys');
DeleteFile('C:\WINDOWS\System32\drivers\Gov75.sys');
DeleteFile('C:\WINDOWS\System32\drivers\Hov20.sys');
DeleteFile('C:\WINDOWS\System32\drivers\Ipw20.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Nuc18.sys');
DeleteFile('C:\WINDOWS\System32\drivers\Nuc20.sys');
DeleteFile('C:\WINDOWS\System32\drivers\Ovd86.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Pwe07.sys');
DeleteFile('C:\WINDOWS\System32\drivers\Pxf06.sys');
DeleteFile('C:\WINDOWS\System32\drivers\Sah31.sys');
DeleteFile('C:\WINDOWS\system32\DRIVERS\smtpdrv.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Xho64.sys');
DeleteFile('C:\WINDOWS\System32\drivers\Ygn86.sys');
DeleteFile('C:\WINDOWS\System32\drivers\Ygo64.sys');
DeleteFile('C:\DOCUME~1\1F50~1\LOCALS~1\Temp\winsto.exe');
DeleteFile('C:\Documents and Settings\All Users\Документы\Settings\partnership.dll');
DeleteFile('C:\WINDOWS\Temp\startdrv.exe');
DeleteFile('C:\WINDOWS\system32\d4ghggf4g.dll');
DeleteFile('C:\WINDOWS\system32\jkd845jg.dll');
DeleteFile('WLCtrl32.dll');
DelBHO('{2670000A-7350-4f3c-8081-5663EE0C6C49}');
DelBHO('{B5AF0562-94F3-42BD-F434-2604812C297D}');
DelBHO('{B5AC49A2-94F3-42BD-F434-2604812C897D}');
BC_ImportALL;
ExecuteSysClean;
BC_DeleteSvc('Ygo64');
BC_DeleteSvc('Ygn86');
BC_DeleteSvc('Xho64');
BC_DeleteSvc('smtpdrv');
BC_DeleteSvc('Sah31');
BC_DeleteSvc('Pxf06');
BC_DeleteSvc('Pwe07');
BC_DeleteSvc('Ovd86');
BC_DeleteSvc('Nuc20');
BC_DeleteSvc('Nuc18');
BC_DeleteSvc('Ipw20');
BC_DeleteSvc('Hov20');
BC_DeleteSvc('Gov75');
BC_DeleteSvc('ctl_w32');
BC_DeleteSvc('Aho53');
BC_Activate;
ExecuteRepair(9);
RebootWindows(true);
end.[/code]

Компьютер перезагрузится.

Пришлите карантин согласно приложению №3 [url=http://virusinfo.info/showthread.php?t=1235]правил[/url] (загружать здесь: [url]http://virusinfo.info/upload_virus.php?tid=21643[/url] ).

Деинсталлируйте ConnectionServices и BitAccelerator, это гадость.

Сделайте новые логи.
18.04.2008, 00:10
Danzzzik

Ураааааа!Кажется получилось.С П А С И Б О ВАМ ДОБРЫЕ ЛЮДИ !!!
Вы гении.
18.04.2008, 00:12
wise-wistful

Дак а логи то где новые?
18.04.2008, 00:14
Danzzzik

Sorry!Сейчас вышлю
18.04.2008, 04:23
Danzzzik

Всё сделал как вы и написали.Вот новые логи.
18.04.2008, 06:03
Danzzzik

У меня вопросик - У меня обнаружилась троянская программа(Backdoor.Win32.IRCBot.cqu).Описание этой программы нету в энциклопедии вирусов.Это может из-за того что в этой проге много скрипта?
18.04.2008, 07:33
Bratez

Пофиксите в HijackThis:
[code]
O20 - Winlogon Notify: partnershipreg - C:\WINDOWS\
O20 - Winlogon Notify: WLCtrl32 - C:\WINDOWS\
[/code]
Выполните скрипт в AVZ:
[code]
begin
BC_DeleteSvc('Ryg74');
BC_DeleteSvc('Hov75');
BC_DeleteFile('C:\WINDOWS\System32\drivers\Hov75.sys');
BC_DeleteFile('C:\WINDOWS\System32\drivers\Ryg74.sys');
BC_Activate;
RebootWindows(true);
end.[/code]
Компьютер перезагрузится.
Сделайте новые логи, начиная с п.10 правил.
18.04.2008, 11:21
PavelA

[QUOTE=Danzzzik;217129]У меня вопросик - У меня обнаружилась троянская программа(Backdoor.Win32.IRCBot.cqu).Описание этой программы нету в энциклопедии вирусов.Это может из-за того что в этой проге много скрипта?[/QUOTE]
Где и кто обнаружи, что за программа? Логи того, кто обнаружил, желательно в студию.
18.04.2008, 18:45
Danzzzik

троянская программа (Backdoor.Win32.IRCBot.cqu) обнаружилась Касперским,постоянно ругается на этот файл,а AVZ никак не реагирует на его.Сегодня запускал тот файл,процесс называется NoName-3.2.exe/Использую в одной игре.Я сделал его как доверенное приложение,чтобы больше его не проверяло.Мне кажется из -за того что в этой проге много скрипта.Не знаю.Вот сейчас сделал новые логи.
18.04.2008, 20:47
kps

Этот файл пришлите нам на проверку в архиве с паролем virus сюда: [url]http://virusinfo.info/upload_virus.php?tid=21643[/url]
18.04.2008, 21:47
Danzzzik

[quote=kps;217451]Этот файл пришлите нам на проверку в архиве с паролем virus сюда: [URL]http://virusinfo.info/upload_virus.php?tid=21643[/URL][/quote]

Файл отправил на проверку
19.04.2008, 10:31
Гриша

NoName-2.3.exe_

Это ложное срабатывание.
19.04.2008, 19:49
Danzzzik

[quote=Гриша;217606]NoName-2.3.exe_

Это ложное срабатывание.[/quote]

Спасибо.Значит всё нормуль.
19.04.2008, 21:34
Гриша

Нам интересно [URL="http://virusinfo.info/showthread.php?t=19883"]Ваше мнение [/URL]о нашем ресурсе. Будем очень благодарны за отзыв, он может помочь нам улучшить ресурс.

Советуем прочитать [URL="http://security-advisory.virusinfo.info/"]электронную книгу[/URL] "Безопасный Интернет. Универсальная защита для Windows ME - Vista".
22.02.2009, 04:55
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]70[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\program files\\internet explorer\\setupapi.dll - [B]Trojan.Win32.Agent.kio[/B] (DrWEB: Trojan.Setupapi)[*] c:\\windows\\system32\\wlctrl32.dll - [B]Trojan-Downloader.Win32.Mutant.nb[/B] (DrWEB: Trojan.DownLoader.57335)[/LIST][/LIST]