Вирус перехватывает запуск браузеров Opera и Firefox

27/05/2008
Обнаружил, что перестали запускаться все браузеры, включая только что установленные или запускаемые с флэшки (Opera, Firefox), кроме IE, который подменяет ссылки: запускаю поиск в яндексе - открывается Google, часть ссылок подменяется скриптом, открывающим страницу, начинающуюся на asiuoqgusdbaksd.com/go.php...
Под другим пользователем заходил - то же самое.
На вирусы проверял - ничего не нашел...

AVZ пишет:
[SIZE=2][COLOR=#ff0000]>> Маскировка драйвера: Base=F82F0000, размер=16384, имя = "\??\globalroot\systemroot\system32\drivers\clbdriver.sys"

[COLOR=black]Такого файла не нашел на С:[/COLOR]

[COLOR=#000000]В интернете эта тема уже поднималась ровно в тот же день тут: [/COLOR]
[COLOR=#000000][URL]http://www.caitscoven.co.uk/index.php?topic=16053.msg271164[/URL][/COLOR]
[COLOR=#000000]Решение пока не найдено.[/COLOR]
[COLOR=#000000]Помогите![/COLOR]
[/COLOR][/SIZE]

Нам нужны логи согласно Правил [url]http://virusinfo.info/showthread.php?t=1235[/url] иначе мы не сможем Вам помочь.

[QUOTE=vbabeshko;232903]
Такого файла не нашел на С:
[/QUOTE]
должен быть C:\Windows\system32\drivers\clbdriver.sys. Сделайте логи по правилам, ссылка в сообщении wise-wistful

Начал готовить логи по Вашей инструкции. Не пригодились :)
Вирус убил CrueIt.exe в безопасном режиме
clbdriver.sys c:\windows\system32\drivers Trojan.NtRootKit.1158 Удален.

Странно, что avz не убил его!
Спасибо!

[QUOTE=vbabeshko;233072]Начал готовить логи по Вашей инструкции. Не пригодились :)[/QUOTE]Я бы на Вашем месте все-таки логи сделал. С руткитом шутить не надо.

Хорошо, высылаю логи, полученные после удаления трояна.
К сожалению, Symantec закрыть не удалось - нет доступа (корпоративная политика).

[QUOTE=vbabeshko;233481]
К сожалению, Symantec закрыть не удалось - нет доступа (корпоративная политика).[/QUOTE]
Открою секрет ;): Если у Вас есть права локального Админа, Вы можете остановить [B]службы[/B] Симантека через Управление службами. :>
Пофиксите
[CODE]O20 - Winlogon Notify: fsmgmt - C:\WINDOWS\SYSTEM32\fsmgmt.dll[/CODE]
Выполните скрипт
[CODE]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\sqluhirl.dll','');
QuarantineFile('C:\WINDOWS\SYSTEM32\fsmgmt.dll','');
DeleteFile('C:\WINDOWS\SYSTEM32\fsmgmt.dll');
DeleteFile('C:\WINDOWS\system32\sqluhirl.dll');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]После перезагрузки закачайте карантин по красной ссылке вверху этой страницы и повторите логи.
Опционально, но не обязательно, можете выполнить скрипт для удаления остатков БитДефендера
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteService('BDRsDrv');
DeleteService('BDFsDrv');
DeleteService('Profos');
DeleteService('Trufos');
DeleteFile('C:\PROGRA~1\Softwin\BITDEF~1\trufos.sys');
DeleteFile('C:\PROGRA~1\Softwin\BITDEF~1\profos.sys');
DeleteFile('C:\Program Files\Softwin\BitDefender10\bdfsdrv.sys');
DeleteFile('C:\Program Files\Softwin\BitDefender10\bdrsdrv.sys');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]
после чего дать по шее Вашему сисадмину, за то, что:
а) не сделал этого до установки Симантека и
б) не установил Сервиспак 3 на всех машинах :).

Спасибо за исчерпывающий анализ :)

[QUOTE=vbabeshko;233523]Спасибо за исчерпывающий анализ :)[/QUOTE]Скрипт выполнили? Карантин закачали? Анализ - только полдела. Лечиться еще надо.

Карантин закачал
Скрипт выполнил
Результаты логов прилагаю

Если проблем нет, то пофиксите
[QUOTE]O20 - Winlogon Notify: fsmgmt - fsmgmt.dll (file missing)
[/QUOTE]
Нам интересно [url=http://virusinfo.info/showthread.php?t=19883]Ваше мнение[/url] о нашем ресурсе. Будем очень благодарны за отзыв, он может помочь нам улучшить ресурс.
Советуем прочитать электронную [url=http://security-advisory.virusinfo.info/]книгу[/url] "Безопасный Интернет. Универсальная защита для Windows ME - Vista".

Проблем пока нет, а что значит "пофиксить"? Удалить через avz? Поиск в файловой системе мне его не находит.

[url]http://virusinfo.info/showthread.php?t=4491[/url]

Спасибо! Понял. Сделал!

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]1[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]