BackDoor.Bulknet и Ко - часть 2.

Printable View

26.05.2008, 12:09
wintruder

Вложений: 3

BackDoor.Bulknet и Ко - часть 2.

думаю что зараза таже что была и в 1-й части... Dr.Web CureiT не запускается... остальные антивири просто ничего не видят.. вот только еще и восстановление системы не отключается...
высылаю логи.... кстати сделаны в СейфМоде... обычный режим оч трудно работать - сильно все тормозит...
Заранее спасибо...
26.05.2008, 13:16
kps

У Вас куча гадости.
Отключите восстановление системы, как написано в правилах!
Потом в обычном режиме скачайте [url=http://mail.ustc.edu.cn/~jfpan/download/IceSword122en.zip]IceSword[/url].
Запустите его, внизу слева выберите меню File.
Появится аналог проводника. Найдите в нем файл C:\WINDOWS\system32\Drivers\Lmw57.sys и если есть - сначала скопируйте его куда хотите при помощи Copy to..., чтобы прислать нам, а потом удалите с помощью force delete (нажмите по нему правой кнопкой мыши и выберите force delete, на запрос подтверждения ответьте "да").

Затем [url=http://virusinfo.info/showthread.php?t=7239]выполните скрипт в AVZ[/url]:
[code]begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('D:\F0F2D1F5.exe','');
QuarantineFile('D:\autorun.inf','');
QuarantineFile('C:\B07DC180.exe','');
QuarantineFile('C:\autorun.inf','');
QuarantineFile('C:\WINDOWS\Temp\gold.exe','');
QuarantineFile('C:\WINDOWS\Temp\BN2.tmp','');
QuarantineFile('C:\WINDOWS\Temp\BN1.tmp','');
QuarantineFile('C:\WINDOWS\system32\WinData.cab','');
QuarantineFile('C:\Documents and Settings\user\cftmon.exe','');
QuarantineFile('C:\Documents and Settings\user\Application Data\win.exe','');
QuarantineFile('C:\WINDOWS\boqnrwdmkod.dll','');
QuarantineFile('WinNt32.dll','');
QuarantineFile('C:\WINDOWS\vregfwlx.dll','');
QuarantineFile('C:\WINDOWS\vltdfabw.dll','');
QuarantineFile('C:\WINDOWS\system32\сsrss.exe','');
QuarantineFile('C:\WINDOWS\system32\winsos.exe','');
QuarantineFile('C:\WINDOWS\system32\winsn.exe','');
QuarantineFile('C:\WINDOWS\system32\wind32.exe','');
QuarantineFile('C:\WINDOWS\system32\ntos.exe','');
QuarantineFile('C:\WINDOWS\system32\maxpaynow1.exe','');
QuarantineFile('C:\WINDOWS\system32\djki397g.dll','');
QuarantineFile('C:\WINDOWS\mrofinu27.exe','');
QuarantineFile('C:\WINDOWS\TEMP\winlagon.exe','');
QuarantineFile('C:\WINDOWS\TEMP\\stopinject.dll','');
QuarantineFile('C:\Documents and Settings\Администратор\cftmon.exe','');
QuarantineFile('C:\WINDOWS\System32\drivers\tcpsr.sys','');
QuarantineFile('C:\WINDOWS\system32\sywtdxaz.sys','');
QuarantineFile('C:\WINDOWS\system32\drivers\npf.sys','');
QuarantineFile('C:\WINDOWS\system32\Drivers\asc3550p.sys','');
QuarantineFile('C:\Documents and Settings\user\Application Data\ie_updates3r.exe','');
QuarantineFile('C:\WINDOWS\system32\Drivers\Lmw57.sys','');
QuarantineFile('C:\WINDOWS\system32\WinNt32.dll','');
QuarantineFile('c:\windows\system32\drivers\spools.exe','');
DeleteFile('c:\windows\system32\drivers\spools.exe');
DeleteFile('C:\WINDOWS\system32\WinNt32.dll');
DeleteFile('C:\WINDOWS\system32\Drivers\Lmw57.sys');
DeleteFile('C:\Documents and Settings\user\Application Data\ie_updates3r.exe');
DeleteFile('C:\WINDOWS\system32\Drivers\asc3550p.sys');
DeleteFile('C:\WINDOWS\system32\sywtdxaz.sys');
DeleteFile('C:\WINDOWS\System32\drivers\tcpsr.sys');
DeleteFile('C:\Documents and Settings\Администратор\cftmon.exe');
DeleteFile('C:\WINDOWS\TEMP\\stopinject.dll');
DeleteFile('C:\WINDOWS\TEMP\winlagon.exe');
DeleteFile('C:\WINDOWS\mrofinu27.exe');
DeleteFile('C:\WINDOWS\system32\djki397g.dll');
DeleteFile('C:\WINDOWS\system32\maxpaynow1.exe');
DeleteFile('C:\WINDOWS\system32\ntos.exe');
DeleteFile('C:\WINDOWS\system32\wind32.exe');
DeleteFile('C:\WINDOWS\system32\winsn.exe');
DeleteFile('C:\WINDOWS\system32\winsos.exe');
DeleteFile('C:\WINDOWS\system32\сsrss.exe');
DeleteFile('C:\WINDOWS\vltdfabw.dll');
DeleteFile('C:\WINDOWS\vregfwlx.dll');
DeleteFile('WinNt32.dll');
DeleteFile('C:\WINDOWS\boqnrwdmkod.dll');
DeleteFile('C:\Documents and Settings\user\Application Data\win.exe');
DeleteFile('C:\Documents and Settings\user\cftmon.exe');
DeleteFile('C:\WINDOWS\system32\WinData.cab');
DeleteFile('C:\WINDOWS\Temp\BN1.tmp');
DeleteFile('C:\WINDOWS\Temp\BN2.tmp');
DeleteFile('C:\WINDOWS\Temp\gold.exe');
DeleteFile('C:\autorun.inf');
DeleteFile('C:\B07DC180.exe');
DeleteFile('D:\autorun.inf');
DeleteFile('D:\F0F2D1F5.exe');
DelBHO('{B5AF0562-94F3-42BD-F434-2604812C797D}');
DelBHO('{676d8a98-4969-4f8e-9935-e67ab97ca7d8}');
DelWinlogonNotifyByKeyName('WinNt32');
BC_ImportALL;
ExecuteSysClean;
BC_DeleteSvc('asc3550p');
BC_DeleteSvc('sywtdxaz');
BC_DeleteSvc('tcpsr');
BC_DeleteSvc('Lmw57');
BC_DeleteSvc('Schedule');
BC_DeleteSvc('Google Online Services');
BC_Activate;
ExecuteRepair(1);
RebootWindows(true);
end.[/code]

Компьютер перезагрузится.

Пришлите карантин согласно приложению №3 [url=http://virusinfo.info/showthread.php?t=1235]правил[/url] и скопированный Вами файл в архиве с паролем virus (загружать здесь: [url]http://virusinfo.info/upload_virus.php?tid=23429[/url] ).

AVZ => Файл => Мастер поиска и устранения проблем. Категория проблемы - поставьте "Системные проблемы", степень опасности - "Все проблемы". Нажмите "Пуск". Всё найденное следует пометить и исправить. Данную операцию повторить для категории "Настройки и твики браузера".

Сделайте новые логи в обычном режиме.
26.05.2008, 13:51
wintruder

Вложений: 3

огромное спасибо за помощь...
карантин высылаю...
повторные голи высылаю...
оч. интересует какая именно зараза была, если не составляет труда... начальство интересуется...
еще раз спасибо...
26.05.2008, 14:16
kps

Зараза такая (по классификации Лаборатории Касперского):
lmw57sys - [B]Trojan-Dropper.Win32.Agent.rek[/B]
C:\WINDOWS\Temp\gold.exe - [B]Trojan-Downloader.Win32.BHO.cy[/B]
C:\WINDOWS\Temp\BN2.tmp, C:\WINDOWS\Temp\BN1.tmp - [B]Trojan.Win32.Pakes.cwv[/B]
C:\WINDOWS\system32\WinData.cab - [B]Trojan-Downloader.Win32.Agent.ohi[/B]
C:\Documents and Settings\user\cftmon.exe - [B]Trojan-Downloader.Win32.BHO.cy[/B]
C:\WINDOWS\system32\WinNt32.dll - [B]Trojan-Downloader.Win32.Mutant.yq[/B]
C:\WINDOWS\system32\wind32.exe - [B]Trojan-Downloader.Win32.Tibs.aag[/B]
C:\WINDOWS\system32\ntos.exe - [B]Trojan-Spy.Win32.Zbot.bxg[/B]
C:\WINDOWS\system32\maxpaynow1.exe - [B] Trojan-Downloader.Win32.Tibs.aap[/B]
C:\WINDOWS\TEMP\winlagon.exe - [B]Trojan-Downloader.Win32.Small.uxv[/B]
C:\WINDOWS\TEMP\\stopinject.dll - [B]Trojan.Win32.Inject.cfr[/B]
C:\Documents and Settings\Администратор\cftmon.exe, c:\windows\system32\drivers\spools.exe -[B]Trojan-Downloader.Win32.BHO.cy[/B]
и еще некоторые свежие.

[url=http://virusinfo.info/showthread.php?t=7239]Выполните скрипт в AVZ[/url]:
[code]begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\Documents and Settings\LocalService\cftmon.exe','');
QuarantineFile('F:\autorun.inf','');
QuarantineFile('F:\47E6A829.exe','');
QuarantineFile('C:\DOCUME~1\user\LOCALS~1\Temp\csrssc.exe','');
QuarantineFile('C:\WINDOWS\system32\DRIVERS\tcpip.sys','');
DeleteFile('c:\docume~1\user\locals~1\temp\csrssc.exe');
DeleteFile('F:\47E6A829.exe');
DeleteFile('F:\autorun.inf');
DeleteFile('C:\Documents and Settings\LocalService\cftmon.exe');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
ExecuteRepair(6);
ExecuteRepair(8);
RegKeyIntParamWrite( 'HKLM', 'SOFTWARE\Microsoft\Windows\CurrentVersion\policies\NonEnum', '{BDEADF00-C265-11D0-BCED-00A0C90AB50F}', 1);
RebootWindows(true);
end.[/code]

Компьютер перезагрузится.
Пришлите карантин.

Очистите временные папки и кеш браузера.
Сделайте новые логи.
Лучше смените все Ваши пароли.
26.05.2008, 14:41
wintruder

Вложений: 3

карантин выслал...
логи выслал...
ОГРОМНОЕ СПАСИБО за помощь...
26.05.2008, 14:55
kps

Вот это Вам известно - G:\StartPortableApps.exe ?
26.05.2008, 14:59
wintruder

да... прога для загрузки меню с флешки...
убрать????
26.05.2008, 15:02
kps

Как хотите. Если бы он был неизвестнен Вам - тогда другое дело.
В логах чисто. Рекомендую после такого "зоопарка" на компьютере выполнить пункт 2 правил.

Какие-то проблемы остались ?
26.05.2008, 15:10
wintruder

пункт 2 - проверить систему Dr.Web CureiT???
уже сделал...
проблем вроде нету...
еще раз огромное спасибо...
26.05.2008, 15:12
kps

Да, пункт 2 - это CureIt!
Нам интересно [url=http://virusinfo.info/showthread.php?t=19883]Ваше мнение[/url] о нашем ресурсе. Будем очень благодарны за отзыв, он может помочь нам улучшить ресурс.

Советуем прочитать электронную [url=http://security-advisory.virusinfo.info/]книгу[/url] "Безопасный Интернет. Универсальная защита для Windows ME - Vista".
22.02.2009, 05:31
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]3[/B][*]Обработано файлов: [B]30[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\b07dc180.exe - [B]Worm.Win32.AutoRun.dwq[/B] (DrWEB: Trojan.DownLoader.60974)[*] c:\\documents and settings\\localservice\\cftmon.exe - [B]Trojan-Downloader.Win32.BHO.cy[/B] (DrWEB: Trojan.DownLoader.62037)[*] c:\\documents and settings\\user\\application data\\ie_updates3r.exe - [B]Trojan-Downloader.Win32.Winlagons.ks[/B] (DrWEB: Trojan.DownLoader.based)[*] c:\\documents and settings\\user\\cftmon.exe - [B]Trojan-Downloader.Win32.BHO.cy[/B] (DrWEB: Trojan.DownLoader.62037)[*] c:\\documents and settings\\администратор\\cftmon.exe - [B]Trojan-Downloader.Win32.BHO.cy[/B] (DrWEB: Trojan.DownLoader.62037)[*] c:\\windows\\boqnrwdmkod.dll - [B]Trojan.Win32.Vapsup.fsl[/B] (DrWEB: Adware.Supa.69)[*] c:\\windows\\mrofinu27.exe - [B]Trojan-Downloader.Win32.Homles.bq[/B] (DrWEB: Trojan.DownLoader.62385)[*] c:\\windows\\system32\\drivers\\spools.exe - [B]Trojan-Downloader.Win32.BHO.cy[/B] (DrWEB: Trojan.DownLoader.62037)[*] c:\\windows\\system32\\maxpaynow1.exe - [B]Trojan-Downloader.Win32.Tibs.aap[/B] (DrWEB: Trojan.Packed.512)[*] c:\\windows\\system32\\ntos.exe - [B]Trojan-Spy.Win32.Zbot.bxg[/B] (DrWEB: Trojan.Packed.511)[*] c:\\windows\\system32\\windata.cab - [B]Trojan-Downloader.Win32.Agent.ohi[/B] (DrWEB: Trojan.DownLoader.60044)[*] c:\\windows\\system32\\wind32.exe - [B]Trojan-Downloader.Win32.Tibs.aag[/B] (DrWEB: Trojan.Packed.465)[*] c:\\windows\\system32\\winnt32.dll - [B]Trojan-Downloader.Win32.Mutant.yq[/B] (DrWEB: BackDoor.Bulknet.203)[*] c:\\windows\\system32\\winsn.exe - [B]Worm.Win32.AutoRun.dwq[/B] (DrWEB: Trojan.DownLoader.60974)[*] c:\\windows\\system32\\winsos.exe - [B]Worm.Win32.AutoRun.dwq[/B] (DrWEB: Trojan.DownLoader.60974)[*] c:\\windows\\temp\\bn1.tmp - [B]Trojan.Win32.Pakes.cwv[/B] (DrWEB: BackDoor.Bulknet.194)[*] c:\\windows\\temp\\bn2.tmp - [B]Trojan.Win32.Pakes.cwv[/B] (DrWEB: BackDoor.Bulknet.194)[*] c:\\windows\\temp\\gold.exe - [B]Trojan-Downloader.Win32.BHO.cy[/B] (DrWEB: Trojan.DownLoader.62037)[*] c:\\windows\\temp\\\\stopinject.dll - [B]Trojan.Win32.Inject.cfr[/B] (DrWEB: Trojan.Proxy.3280)[*] c:\\windows\\temp\\stopinject.dll - [B]Trojan.Win32.Inject.cfr[/B] (DrWEB: Trojan.Proxy.3280)[*] c:\\windows\\temp\\winlagon.exe - [B]Trojan-Downloader.Win32.Small.uxv[/B] (DrWEB: Trojan.DownLoader.60041)[*] c:\\windows\\vregfwlx.dll - [B]Trojan.Win32.Vapsup.fsm[/B] (DrWEB: Adware.Supa.70)[*] d:\\f0f2d1f5.exe - [B]Worm.Win32.AutoRun.dwq[/B] (DrWEB: Trojan.DownLoader.60974)[*] f:\\47e6a829.exe - [B]Worm.Win32.AutoRun.dwq[/B] (DrWEB: Trojan.DownLoader.60974)[*] \\lmw57sys - [B]Trojan-Downloader.Win32.Mutant.aim[/B] (DrWEB: BackDoor.Bulknet.188)[/LIST][/LIST]