Не могу избавиться от завирусованных файлов!

Printable View

11.06.2008, 08:17
risla

Не могу избавиться от завирусованных файлов!

NOD стал выдавать сообщения, типа: что файл c:\windows\system32\drivers\services.exe пытается скачать файл заражённый Win32/Statik.

В реультате проверок и поисков было обнаружено, что имеются некие файлы ftp34.dll (аж 3 в разных местах) которые при проверке NODом определяются, как трояноносители и отправляются в карантин. Их можно удалить и вручную. Но после перезагрузки - они на месте.
Помогите, пожалуйста!
11.06.2008, 09:12
Bratez

Пофиксите в HijackThis:
[code]
F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,C:\WINDOWS\system32\drivers\services.exe
O2 - BHO: Microsoft copyright - {FFFFFFFF-BBBB-4146-86FD-A722E8AB3489} - (no file)
O4 - HKLM\..\Run: [winlogon] C:\Documents and Settings\vasilieva\svchost.exe
O4 - HKLM\..\Run: [[system]] C:\WINDOWS\system32\drivers\services.exe
O4 - HKCU\..\Run: [winlogon] C:\Documents and Settings\vasilieva\svchost.exe
O4 - HKCU\..\Run: [[system]] C:\WINDOWS\system32\drivers\services.exe
O4 - HKUS\S-1-5-18\..\Run: [[system]] C:\WINDOWS\system32\drivers\services.exe (User 'SYSTEM')
O4 - HKUS\S-1-5-18\..\Run: [winlogon] C:\Documents and Settings\LocalService\svchost.exe (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [[system]] C:\WINDOWS\system32\drivers\services.exe (User 'Default user')
O4 - Startup: userinit.exe
O21 - SSODL: WebProxy - {66186F05-BBBB-4a39-864F-72D84615C679} - (no file)
[/code]
Выполните скрипт в AVZ:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\Documents and Settings\LocalService\Local Settings\Temporary Internet Files\Content.IE5\K9YN0DE3\1[1].exe','');
QuarantineFile('C:\Documents and Settings\vasilieva\svchost.exe','');
QuarantineFile('C:\Documents and Settings\LocalService\svchost.exe','');
QuarantineFile('C:\Program Files\Common Files\System\apcsvra.dll','');
QuarantineFile('C:\WINDOWS\system32\drivers\services.exe','');
QuarantineFile('C:\WINDOWS\system32\ftp34.dll','');
QuarantineFile('C:\Documents and Settings\vasilieva\Главное меню\Программы\Автозагрузка\userinit.exe','');
DeleteFile('C:\Documents and Settings\vasilieva\Главное меню\Программы\Автозагрузка\userinit.exe');
DeleteFile('C:\WINDOWS\system32\ftp34.dll');
DeleteFile('C:\WINDOWS\system32\drivers\services.exe');
DeleteFile('C:\Documents and Settings\LocalService\svchost.exe');
DeleteFile('C:\Documents and Settings\vasilieva\svchost.exe');
DeleteFile('C:\Documents and Settings\LocalService\Local Settings\Temporary Internet Files\Content.IE5\K9YN0DE3\1[1].exe');
BC_ImportDeletedList;
BC_DeleteSvc('Schedule');
BC_DeleteSvc('apcsvra32');
ExecuteSysClean;
ExecuteRepair(1);
BC_Activate;
RebootWindows(true);
end.[/code]
Компьютер перезагрузится.
Пришлите карантин согласно приложению 3 правил
(загружать тут: [url]http://virusinfo.info/upload_virus.php?tid=24394[/url]).

Удалите временные файлы IE через "Свойства обозревателя".
Очистите папку C:\WINDOWS\Temp.
Сделайте новые логи.
11.06.2008, 10:05
risla

Карантин отправил.
Новые логи прилагаю.
Но загрузка уже идёт нормально и файлы пропали.
11.06.2008, 10:09
Rene-gad

Выполните скрипт
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteService('apcsvra');
QuarantineFile('C:\Program Files\Common Files\System\apcsvra.dll','');
DeleteFile('C:\Program Files\Common Files\System\apcsvra.dll');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
end.[/CODE]
Повторите лог по стандартному скрипту 2.
11.06.2008, 10:16
risla

[quote=Rene-gad;239391]
Повторите лог по стандартному скрипту 2.[/quote] Прошу прощения, можно чуточку подробнее.
11.06.2008, 10:26
Rene-gad

[QUOTE=risla;239394]Прошу прощения, можно чуточку подробнее.[/QUOTE]Правила пункт 10 :)
11.06.2008, 10:30
risla

[quote=Rene-gad;239397]Правила пункт 10 :)[/quote] Значит я понял верно, но сомневался:)
11.06.2008, 11:18
Rene-gad

Антивирус во время выполнения скрипта нужно вылкючать.
Найдите с помощью АВЗ (правила приложение 2) файл [B]apcsvra.sys[/B] и пришлите (правила приложение 3)
Еще один скрипт
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('apcsvra.sys','');
DeleteFile('apcsvra.sys');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
end.[/CODE]
Карантин закачайте, лог по п.10 повторите.
11.06.2008, 12:22
Alex_Goodwin

1[1].exe - not-a-virus:FraudTool.Win32.AntiSpySpider.aq
apcsvra.dll - Trojan.Win32.Pakes.cot,
ftp34.dll - Trojan-Downloader.Win32.Agent.nsx
services.exe, svchost.exe1, svchost.exe, userinit.exe - P2P-Worm.Win32.Socks.ea

VNCHooks.dll - чистый
11.06.2008, 12:47
risla

[quote=Rene-gad;239422]Антивирус во время выполнения скрипта нужно вылкючать.[/quote] Выключал :O
[quote] Найдите с помощью АВЗ (правила приложение 2) файл [B]apcsvra.sys[/B] и пришлите (правила приложение 3)[/quote] Не нашёл его. Поиск выдал: ошибка прямого доступа к файлу. Посмотрел в проводнике - нету.
[quote]Карантин закачайте, лог по п.10 повторите.[/quote] Скрипт выполнил. Лог прилагаю. Карантин закачиваю.
11.06.2008, 12:50
Rene-gad

В логах чисто. Какие проблемы остались?
11.06.2008, 12:57
risla

Вроде бы нет:) Спасибо огромное за решение проблемы!
11.06.2008, 13:00
Rene-gad

Систему обновить в ближайшее время необходимо
[QUOTE]Platform: Windows XP[B] SP2[/B] (WinNT 5.01.2600)
MSIE: Internet Explorer [B]v6.00[/B][B] SP2 [/B](6.00.2900.2180)[/QUOTE]
Если проблем не наблюдается, то нам было бы интересно [url=http://virusinfo.info/showthread.php?t=19883]Ваше мнение[/url] о нашем ресурсе. Будем очень благодарны за отзыв, он может помочь нам улучшить ресурс.
Советуем прочитать электронную [url=http://security-advisory.virusinfo.info/]книгу[/url] "Безопасный Интернет. Универсальная защита для Windows ME - Vista".
22.02.2009, 05:51
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]16[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\documents and settings\\localservice\\local settings\\temporary internet files\\content.ie5\\k9yn0de3\\1[1].exe - [B]not-a-virus:FraudTool.Win32.AntiSpySpider.aq[/B] (DrWEB: Trojan.Fakealert.745)[*] c:\\documents and settings\\localservice\\svchost.exe - [B]P2P-Worm.Win32.Socks.ea[/B] (DrWEB: Trojan.DownLoader.63152)[*] c:\\documents and settings\\vasilieva\\svchost.exe - [B]P2P-Worm.Win32.Socks.ea[/B] (DrWEB: Trojan.DownLoader.63152)[*] c:\\documents and settings\\vasilieva\\главное меню\\программы\\автозагрузка\\userinit.exe - [B]P2P-Worm.Win32.Socks.ea[/B] (DrWEB: Trojan.DownLoader.63152)[*] c:\\program files\\common files\\system\\apcsvra.dll - [B]Trojan.Win32.Pakes.cot[/B] (DrWEB: Trojan.Inject.3028)[*] c:\\windows\\system32\\drivers\\services.exe - [B]P2P-Worm.Win32.Socks.ea[/B] (DrWEB: Trojan.DownLoader.63152)[*] c:\\windows\\system32\\ftp34.dll - [B]Trojan-Downloader.Win32.Agent.nsx[/B] (DrWEB: Trojan.DownLoader.63153)[/LIST][/LIST]