WinNt32.dll TR/Crupt.XPACK.Gen (AVIRA пишит)

Printable View

15.05.2008, 15:59
Semyk

Вложений: 3

WinNt32.dll TR/Crupt.XPACK.Gen (AVIRA пишит)

Антивирусник постоянно кричит что в WinNt32.dll (WinNt32.dll TR/Crupt.XPACK.Gen) пробовал удалят этот фаил с LiveCD но он появляется сново. ovrscn.dll (BDS/Haxdoor.KZ.5) если его удалить то стоит зайти в свойства рабочего стола или немного поработать в проводнике то фаил снова образуется
логи по правилам прилогаю
Помогите пожалуйста в решении данной проблемы
15.05.2008, 16:09
Гриша

Отключите антивирус и интернет!

[URL="http://mail.ustc.edu.cn/~jfpan/download/IceSword122en.zip"]Скачать[/URL],меню,File,появится аналог проводника,найти:WinNt32.dll,(если будет такой WinNt32.dl_ его тоже удалить),Agl40.sys,правая кнопка мыши Force Delete на запрос о перезагрузке ответьте положительно.

[URL="http://virusinfo.info/showthread.php?t=7239"]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".[/URL]

[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('ovrscn.dll','');
QuarantineFile('WinNt32.dll','');
QuarantineFile('C:\WINDOWS\system32\ntos.exe','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Yej16.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Xdi05.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Wch40.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Uaf62.sys','');
QuarantineFile('C:\WINDOWS\System32\drivers\tcpsr.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Taf05.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Qvb40.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Pua16.sys','');
QuarantineFile('C:\WINDOWS\system32\ovwscn.sys','');
QuarantineFile('C:\WINDOWS\system32\ovrscn.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Oua40.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Oty38.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Mrw40.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Mrw27.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Jpu84.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Jpu38.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Ins40.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Hmr27.sys','');
QuarantineFile('C:\WINDOWS\system32\drivers\grande48.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Ejo73.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Agl40.sys','');
QuarantineFile('C:\WINDOWS\system32\WinNt32.dll','');
DeleteService('ovwscn');
DeleteService('ovrscn');
DeleteService('Oua40');
DeleteService('Qvb40');
DeleteService('Pua16');
DeleteService('Wch40');
DeleteService('tcpsr');
DeleteService('Uaf62');
DeleteService('Yej16');
DeleteService('Xdi05');
DeleteService('Oty38');
DeleteService('Mrw40');
DeleteService('Mrw27');
DeleteService('Agl40');
DeleteService('Ins40');
DeleteService('Hmr27');
DeleteService('grande48');
DeleteService('Ejo73');
DeleteFile('C:\WINDOWS\system32\WinNt32.dll');
DeleteFile('C:\WINDOWS\System32\Drivers\Agl40.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Ejo73.sys');
DeleteFile('C:\WINDOWS\system32\drivers\grande48.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Hmr27.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Ins40.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Jpu38.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Jpu84.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Mrw27.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Mrw40.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Oty38.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Oua40.sys');
DeleteFile('C:\WINDOWS\system32\ovrscn.sys');
DeleteFile('C:\WINDOWS\system32\ovwscn.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Pua16.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Qvb40.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Taf05.sys');
DeleteFile('C:\WINDOWS\System32\drivers\tcpsr.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Uaf62.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Wch40.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Xdi05.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Yej16.sys');
DeleteFile('C:\WINDOWS\system32\ntos.exe');
DeleteFile('WinNt32.dll');
DeleteFile('ovrscn.dll');
BC_ImportALL;
ExecuteSysClean;
BC_DeleteSvc('ovwscn');
BC_DeleteSvc('ovrscn');
BC_DeleteSvc('Oua40');
BC_DeleteSvc('Qvb40');
BC_DeleteSvc('Pua16');
BC_DeleteSvc('Wch40');
BC_DeleteSvc('tcpsr');
BC_DeleteSvc('Uaf62');
BC_DeleteSvc('Yej16');
BC_DeleteSvc('Xdi05');
BC_DeleteSvc('Oty38');
BC_DeleteSvc('Mrw40');
BC_DeleteSvc('Mrw27');
BC_DeleteSvc('Agl40');
BC_DeleteSvc('Ins40');
BC_DeleteSvc('Hmr27');
BC_DeleteSvc('grande48');
BC_DeleteSvc('Ejo73');
BC_Activate;
RebootWindows(true);
end.[/CODE]

После выполнения скрипта компьютер перезагрузится.
Прислать карантин согласно приложения 3 правил .
Загружать по ссылке:[url]http://virusinfo.info/upload_virus.php?tid=22910[/url]

Обновите базы AVZи повторите логи.
15.05.2008, 17:27
Semyk

Вложений: 3

Огромная благодарность !!!! СПАСИБО БОЛЬШОЕ на всякий случай высылаю логи и карантин. больше антивирусник пока вирусов не обнаружил.
Еще ращ БЛАГОДАРЮ за отзывчивость и помощь !
15.05.2008, 17:31
Rene-gad

Пофиксите
[CODE]O17 - HKLM\System\CCS\Services\Tcpip\..\{039E0536-C55D-4EA4-976B-683F164895E3}: NameServer = 85.255.114.86,85.255.112.60
O17 - HKLM\System\CS1\Services\Tcpip\Parameters: NameServer = 85.255.114.86 85.255.112.60
O17 - HKLM\System\CS1\Services\Tcpip\..\{039E0536-C55D-4EA4-976B-683F164895E3}: NameServer = 85.255.114.86,85.255.112.60
O17 - HKLM\System\CS2\Services\Tcpip\Parameters: NameServer = 85.255.114.86 85.255.112.60
O17 - HKLM\System\CS2\Services\Tcpip\..\{039E0536-C55D-4EA4-976B-683F164895E3}: NameServer = 85.255.114.86,85.255.112.60
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: NameServer = 85.255.114.86 85.255.112.60
O19 - User stylesheet: C:\WINDOWS\216098.css
O20 - Winlogon Notify: ovrscn - C:\WINDOWS\
O20 - Winlogon Notify: WinNt32 - C:\WINDOWS\[/CODE]
Выполните скрипт
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DelBHO('{150F5264-D92A-46B6-8A84-0F959CF478C0}');
QuarantineFile('C:\WINDOWS\system32\comrep.dll','');
QuarantineFile('C:\WINDOWS\_______.scr','');
DeleteFile('C:\WINDOWS\_______.scr');
DeleteFile('C:\WINDOWS\system32\comrep.dll');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]
После перезагрузки закачайте карантин и принесите логи в студию.
15.05.2008, 17:36
Semyk

Вложений: 3

Сделано ! спасибо !
Скрипт выполню и выложу в течении 5-10 мин
p.s. появилось дикое желание вникнуть в суть вопроса лечения вирусов

логи и карантин выслал
15.05.2008, 18:06
Rene-gad

Скачайте [URL="http://mail.ustc.edu.cn/%7Ejfpan/download/IceSword122en.zip"]IceSword[/URL], запустите, меню File (слева внизу) найдите файлы
[CODE]
C:\WINDOWS\system32\comrep.dll[/CODE]
замаркируйте правым мышем, выберите Force Delete, перегрузитесь, повторите логи.
16.05.2008, 09:05
Semyk

Я подумал что зараза истреблена и отдал компьютер другу обратно домой в гости к нему зайду сделаю все что вы написали
p.s.
до чего отзывчивые люди !!! СПАСИБО за ВАШУ помощь !
22.02.2009, 05:23
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]3[/B][*]Обработано файлов: [B]103[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\windows\\system32\\drivers\\yej16.sys - [B]Trojan-Downloader.Win32.Mutant.aim[/B][*] c:\\windows\\temp\\bn1.tmp - [B]Email-Worm.Win32.Agent.ev[/B][/LIST][/LIST]