Все тот же Bagle

Printable View

30.05.2008, 09:39
subhuman

Все тот же Bagle

Доброго времени суток!
Подцепил в очередной раз Bagle из eMule. Прочитал все ветки о данной проблеме, но ничего не выходит.
Не запускается IceSword и AVZ, NOD32 упал, CureIT! падает сразу после загрузки, Ad-Aware не помог...
заранее благодарен...
30.05.2008, 09:42
V_Bond

скачайте [URL="http://slil.ru/25800255"]этот [/URL] авз .... он уже переименован(обновлять не нужно) ... и сделайте логи ....
30.05.2008, 10:45
subhuman

Вложений: 3

все логи....
30.05.2008, 10:49
Гриша

[URL="http://virusinfo.info/showthread.php?t=7239"]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".[/URL]

[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\oodtray.exe','');
QuarantineFile('C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\fppdis3a.exe','');
QuarantineFile('C:\Program Files\TechSmith\SnagIt 8\SnagIt32.exe','');
QuarantineFile('C:\Program Files\Microsoft Office\Office12\GrooveShellExtensions.dll','');
QuarantineFile('C:\Program Files\Java\jre1.6.0_06\bin\jusched.exe','');
QuarantineFile('C:\Program Files\Adobe\Reader 8.0\Reader\Reader_sl.exe','');
QuarantineFile('C:\Program Files\Ad Muncher\AdMunch.exe','');
QuarantineFile('C:\Documents and Settings\subhuman\Start Menu\Programs\Startup\delete.bat','');
QuarantineFile('%System32%\drivers\srosa.sys','');
QuarantineFile('%System32%\drivers\hldrrr.exe','');
QuarantineFile('%System32%\wintems.exe','');
QuarantineFile('%System32%\drivers\mdelk.exe','');
QuarantineFile('%System32%\mdelk.exe','');
DeleteFile('%System32%\drivers\hldrrr.exe');
DeleteFile('%System32%\drivers\srosa.sys');
DeleteFile('%System32%\wintems.exe');
DeleteFile('%System32%\drivers\mdelk.exe');
DeleteFile('%System32%\mdelk.exe');
BC_ImportALL;
ExecuteSysClean;
If DirectoryExists('%System32%\drivers\down') then
begin
DeleteFileMask('%System32%\drivers\down', '*.*', true);
DeleteDirectory('%System32%\drivers\down');
If DirectoryExists('%System32%\drivers\down') then
AddToLog('Папка down не удалена') else AddToLog('Папка down удалена');
end
else
AddToLog('Папки down нет');
If DirectoryExists('%System32%\drivers\downld') then
begin
DeleteFileMask('%System32%\drivers\downld', '*.*', true);
DeleteDirectory('%System32%\drivers\downld');
If DirectoryExists('%System32%\drivers\downld') then
AddToLog('Папка downld не удалена') else AddToLog('Папка downld удалена');
end
else
AddToLog('Папки downld нет');
If RegKeyParamExists('HKEY_CURRENT_USER', 'SOFTWARE\Microsoft\Windows\CurrentVersion\Run', 'drvsyskit') then
begin
AddToLog('Обнаружен параметр в реестре drvsyskit');
RegKeyParamDel('HKEY_CURRENT_USER', 'SOFTWARE\Microsoft\Windows\CurrentVersion\Run', 'drvsyskit');
If RegKeyParamExists('HKEY_CURRENT_USER', 'SOFTWARE\Microsoft\Windows\CurrentVersion\Run', 'drvsyskit') then
AddToLog('Ошибка удаления параметра drvsyskit') else
AddToLog('Параметр drvsyskit успешно удален');
end;
If RegKeyParamExists('HKEY_CURRENT_USER', 'SOFTWARE\Microsoft\Windows\CurrentVersion\Run', 'german.exe') then
begin
AddToLog('Обнаружен параметр в реестре german.exe');
RegKeyParamDel('HKEY_CURRENT_USER', 'SOFTWARE\Microsoft\Windows\CurrentVersion\Run', 'german.exe');
If RegKeyParamExists('HKEY_CURRENT_USER', 'SOFTWARE\Microsoft\Windows\CurrentVersion\Run', 'german.exe') then
AddToLog('Ошибка удаления параметра german.exe') else
AddToLog('Параметр german.exe успешно удален');
end;
if RegKeyExists('HKEY_CURRENT_USER', 'Software\FirstRRRun') then
begin
AddToLog('Найден ключ реестра FirstRRRun');
RegKeyDel('HKEY_CURRENT_USER', 'Software\FirstRRRun');
If RegKeyExists('HKEY_CURRENT_USER', 'Software\FirstRRRun') then
AddToLog('Ошибка удаления ключа реестра FirstRRRun') else
AddToLog('ключ реестра FirstRRRun успешно удален');
end;
BC_DeleteSvc('srosa');
BC_LogFile(GetAVZDirectory + 'boot_clr_B_d.log');
If BC_Activate then AddToLog('BootCleaner успешно активирован') else AddToLog('Внимание!!! BootCleaner не активирован!');
SaveLog(GetAVZDirectory + 'B_d.txt');
RebootWindows(true);
end.[/code]

Логи будут сохранены: B_d.txt и boot_clr_B_d.log от Бутклинера в папке AVZ+сделайте 2 лога по правилам и и пришлите карантин.
30.05.2008, 12:37
subhuman

Вложений: 4

логи после скрипта. остался файл flec006.exe, который мне не нравится
30.05.2008, 13:07
kps

c:\documents and settings\subhuman\application data\mozilla\firefox\profiles\4wmxqhza.default\extensions\firebit@firebit\components\firebit.dll - [B]not-a-virus:AdWare.Win32.Kitsune.a[/B]

[url=http://virusinfo.info/showthread.php?t=7239]Выполните скрипт в AVZ[/url]:
[code]begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('c:\documents and settings\subhuman\application data\m\flec006.exe','');
DeleteFile('%System32%\drivers\hldrrr.exe');
DeleteFile('%System32%\drivers\srosa.sys');
DeleteFile('%System32%\wintems.exe');
DeleteFile('%System32%\drivers\mdelk.exe');
DeleteFile('%System32%\mdelk.exe');
DeleteFile('c:\documents and settings\subhuman\application data\m\flec006.exe');
DeleteFile('c:\documents and settings\subhuman\application data\mozilla\firefox\profiles\4wmxqhza.default\extensions\firebit@firebit\components\firebit.dll');
BC_ImportALL;
ExecuteSysClean;
If DirectoryExists('%System32%\drivers\down') then
begin
DeleteFileMask('%System32%\drivers\down', '*.*', true);
DeleteDirectory('%System32%\drivers\down');
If DirectoryExists('%System32%\drivers\down') then
AddToLog('Папка down не удалена') else AddToLog('Папка down удалена');
end
else
AddToLog('Папки down нет');
If DirectoryExists('%System32%\drivers\downld') then
begin
DeleteFileMask('%System32%\drivers\downld', '*.*', true);
DeleteDirectory('%System32%\drivers\downld');
If DirectoryExists('%System32%\drivers\downld') then
AddToLog('Папка downld не удалена') else AddToLog('Папка downld удалена');
end
else
AddToLog('Папки downld нет');
If RegKeyParamExists('HKEY_CURRENT_USER', 'SOFTWARE\Microsoft\Windows\CurrentVersion\Run', 'drvsyskit') then
begin
AddToLog('Обнаружен параметр в реестре drvsyskit');
RegKeyParamDel('HKEY_CURRENT_USER', 'SOFTWARE\Microsoft\Windows\CurrentVersion\Run', 'drvsyskit');
If RegKeyParamExists('HKEY_CURRENT_USER', 'SOFTWARE\Microsoft\Windows\CurrentVersion\Run', 'drvsyskit') then
AddToLog('Ошибка удаления параметра drvsyskit') else
AddToLog('Параметр drvsyskit успешно удален');
end;
If RegKeyParamExists('HKEY_CURRENT_USER', 'SOFTWARE\Microsoft\Windows\CurrentVersion\Run', 'german.exe') then
begin
AddToLog('Обнаружен параметр в реестре german.exe');
RegKeyParamDel('HKEY_CURRENT_USER', 'SOFTWARE\Microsoft\Windows\CurrentVersion\Run', 'german.exe');
If RegKeyParamExists('HKEY_CURRENT_USER', 'SOFTWARE\Microsoft\Windows\CurrentVersion\Run', 'german.exe') then
AddToLog('Ошибка удаления параметра german.exe') else
AddToLog('Параметр german.exe успешно удален');
end;
if RegKeyExists('HKEY_CURRENT_USER', 'Software\FirstRRRun') then
begin
AddToLog('Найден ключ реестра FirstRRRun');
RegKeyDel('HKEY_CURRENT_USER', 'Software\FirstRRRun');
If RegKeyExists('HKEY_CURRENT_USER', 'Software\FirstRRRun') then
AddToLog('Ошибка удаления ключа реестра FirstRRRun') else
AddToLog('ключ реестра FirstRRRun успешно удален');
end;
BC_DeleteSvc('srosa');
BC_LogFile(GetAVZDirectory + 'boot_clr_B_d.log');
If BC_Activate then AddToLog('BootCleaner успешно активирован') else AddToLog('Внимание!!! BootCleaner не активирован!');
SaveLog(GetAVZDirectory + 'B_d.txt');
RebootWindows(true);
end. [/code]

Компьютер перезагрузится.
Пришлите карантин.
Очистите временные папки и кеш браузера.
Сделайте новые логи + прикрепите B_d.txt и boot_clr_B_d.log из папки AVZ.
30.05.2008, 13:29
subhuman

Вложений: 4

снова логи...
30.05.2008, 13:39
kps

[url=http://virusinfo.info/showthread.php?t=7239]Выполните скрипт в AVZ[/url]:
[code]begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\DOCUME~1\subhuman\LOCALS~1\Temp\HNPTT.exe','');
QuarantineFile('C:\WINDOWS\System32\Drivers\aawv6wpi.SYS','');
BC_ImportQuarantineList;
BC_Activate;
RebootWindows(true);
end.[/code]

Компьютер перезагрузится.

Пришлите карантин.
Очистите временные папки и кеш браузера.

Добавлено: Карантин пришел не тот.
Этот скрипт выше выполнялся? Выполните его еще раз, пришлите новый карантин, если туда что-то попадет.
30.05.2008, 15:49
subhuman

спасибо за помощь, но пришлось положить винду
потерялись 2 процесса, которые нужны для работы - переустановил...
22.02.2009, 05:37
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]3[/B][*]Обработано файлов: [B]63[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\documents and settings\\subhuman\\application data\\mozilla\\firefox\\profiles\\4wmxqhza.default\\extensions\\firebit@firebit\\components\\firebit.dll - [B]not-a-virus:AdWare.Win32.Kitsune.a[/B] (DrWEB: Trojan.BitAcc)[*] c:\\program files\\total commander\\utils\\processkiller\\prkiller.exe - [B]not-a-virus:RiskTool.Win32.PsKill.x[/B][*] c:\\windows\\system32\\drivers\\hldrrr.exe - [B]Trojan-Downloader.Win32.Bagle.qt[/B] (DrWEB: Win32.HLLM.Beagle.222)[*] c:\\windows\\system32\\drivers\\mdelk.exe - [B]Trojan-Downloader.Win32.Bagle.qt[/B] (DrWEB: Win32.HLLM.Beagle.222)[*] c:\\windows\\system32\\drivers\\srosa.sys - [B]Trojan-Downloader.Win32.Bagle.mm[/B] (DrWEB: Win32.HLLM.Beagle.219)[*] c:\\windows\\system32\\mdelk.exe - [B]Email-Worm.Win32.Bagle.of[/B] (DrWEB: Win32.HLLM.Beagle)[*] c:\\windows\\system32\\wintems.exe - [B]Email-Worm.Win32.Bagle.of[/B] (DrWEB: Win32.HLLM.Beagle)[/LIST][/LIST]