Был Trojan.Virtumod.427 и проблема с Opera

Printable View

19.06.2008, 17:23
Sky_Tech

Был Trojan.Virtumod.427 и проблема с Opera

Ребята, помогите!!!
Невозможно работать в интернете.
Опера совсем непонятно работает, открывает очень мало сайтов. Слава богу хоть virusinfo работает. Опера последняя версия. Интернет Эксплорер работает. Тоесть сайты что неоткрывает опера он открывает. Но и там сидит какойто зловред.
Пожалуйста просмотрите мои логи и дайте рекомендации.
Еще прилагаю карантин AVZ. Файл сохранён как 080619_082450_virus_485a5e22d11ea.zip
19.06.2008, 20:41
Sky_Tech

Буду утром!
20.06.2008, 01:27
V_Bond

выполните скрипт ...
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DelBHO('{AC09AF8B-4597-4F66-A1D3-284789C7C075}');
DelBHO('{0F8F84CF-DCBA-4426-AC18-30A8AB00C526}');
DelBHO('{08a00aed-961a-422c-9d30-2952f5ec6356}');
QuarantineFile('C:\WINDOWS\system32\snqssuls.dll','');
QuarantineFile('C:\WINDOWS\system32\rqRKCUkJ.dll','');
QuarantineFile('C:\WINDOWS\system32\odeudkcm.dll','');
QuarantineFile('C:\WINDOWS\system32\muorylbk.dll','');
QuarantineFile('C:\WINDOWS\system32\fccccCUm.dll','');
DeleteFile('C:\WINDOWS\system32\fccccCUm.dll');
DeleteFile('C:\WINDOWS\system32\muorylbk.dll');
DeleteFile('C:\WINDOWS\system32\odeudkcm.dll');
DeleteFile('C:\WINDOWS\system32\rqRKCUkJ.dll');
DeleteFile('C:\WINDOWS\system32\snqssuls.dll');
DeleteFile('rqRKCUkJ.dll');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
пришлите карантин согласно приложения 3 правил ...
повторите логи ...
20.06.2008, 14:39
Sky_Tech

Спасибо. Скрипт выполнил. Пр выполнении онного запищал Аваст с выявлением в папке Windows\System32\Drivers\ зараженного файла vdm0nti3.sys вирусом Win32:Trojan-Gen {Other}
20.06.2008, 14:42
Sky_Tech

Карантин выслать неполучается. Наверное изза того что уже выслал вначале. Удалите старый файл, я повторю.
20.06.2008, 15:01
Shu_b

[QUOTE=Sky_Tech;243961]Карантин выслать неполучается. Наверное изза того что уже выслал вначале. Удалите старый файл, я повторю.[/QUOTE]

Карантин присылается туда [url]http://virusinfo.info/upload_virus.php?tid=24917[/url] (приложение 3 правил)
20.06.2008, 15:18
Sky_Tech

Уважаемый, я знаю куда он посылается, непервый раз на форуме.
Я туда выслал вначале, может и зря.
Писал: Еще прилагаю карантин AVZ. Файл сохранён как 080619_082450_virus_485a5e22d11ea.zip
Удалите пожалуйста этот файл я залью новый если возможно.
Спасибо.

[size="1"][color="#666686"][B][I]Добавлено через 6 минут[/I][/B][/color][/size]

Пишет:
Соединение закрыто удаленным сервером

Вы попытались получить доступ к адресу [url]http://virusinfo.info/upload_virus.php[/url], который сейчас недоступен. Убедитесь, пожалуйста, что веб-адрес (URL) введен правильно и затем попытайтесь перезагрузить.
Убедитесь, что подключение к Интернету активно и проверьте, работают ли другие приложения, использующие это же подключение к Интернету.

[size="1"][color="#666686"][B][I]Добавлено через 3 минуты[/I][/B][/color][/size]

или мне создать новую тему?
20.06.2008, 15:32
Shu_b

загрузка предыдущего файла не влияет на загрузку последующих.

поделитесь тогда через [url]http://ifolder.ru/[/url]
21.06.2008, 17:30
Sky_Tech

Устал уже бороться. Хочется взять и всю винду переустановить, но сильно геморно все востонавливать. Не могу зайти на ifolder. Сайты почти никакие негрузятся. Рапида тока пошла. Вот выложил карантин на нее.
.....

З.Ы. Все сервера пингуются. Но в браузере неоткрываются.
21.06.2008, 20:22
Rene-gad

[CENTER][SIZE="5"]Кто это Вас надоумил, вирсуы на открытые ресурсы вешать?! Уберите немедленно!!![/SIZE][/CENTER]
[CODE]Файл сохранён как 080621_113327_virus_485d2d570aec0.zip
Размер файла 2254673
MD5 ee4fda70e588b26c60f5f781737aabc2[/CODE]
1.Отключите ПК от сети.
2.Отключите Антивирус.
3.Отключите системное востановление.
[URL="http://virusinfo.info/showthread.php?t=4491"]4. Пофиксите[/URL]
[CODE]F2 - REG:system.ini: UserInit=C:\WINDOWS\System32\userinit.exe
O2 - BHO: (no name) - {0F8F84CF-DCBA-4426-AC18-30A8AB00C526} - C:\WINDOWS\system32\rqRKCUkJ.dll (file missing)
O2 - BHO: (no name) - {2B1B2BB8-7745-4DF7-A8C4-A5D49D88A100} - C:\WINDOWS\system32\fccccCUm.dll (file missing)
O2 - BHO: {89a5d1d8-6aff-f699-7694-4ce3eaa098e5} - {5e890aae-3ec4-4967-996f-ffa68d1d5a98} - C:\WINDOWS\system32\enrogkuv.dll
O4 - HKLM\..\Run: [7430bad9] rundll32.exe "C:\WINDOWS\system32\uuiyclkc.dll",b
O4 - HKLM\..\Run: [BM77038945] Rundll32.exe "C:\WINDOWS\system32\hdpssssu.dll",s
O20 - Winlogon Notify: rqRKCUkJ - C:\WINDOWS\
[/CODE]
[URL="http://virusinfo.info/showthread.php?t=7239"]5. Выполните скрипт[/URL]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\rqRKCUkJ.dll','');
QuarantineFile('C:\WINDOWS\system32\enrogkuv.dll','');
QuarantineFile('C:\WINDOWS\system32\fccccCUm.dll','');
QuarantineFile('C:\WINDOWS\DOWNLO~1\hidinputmonitorx.ocx','');
QuarantineFile('C:\WINDOWS\system32\uuiyclkc.dll','');
QuarantineFile('C:\WINDOWS\system32\hdpssssu.dll','');
DeleteFile('C:\WINDOWS\system32\hdpssssu.dll');
DeleteFile('C:\WINDOWS\system32\uuiyclkc.dll');
DeleteFile('C:\WINDOWS\system32\fccccCUm.dll');
DeleteFile('C:\WINDOWS\system32\enrogkuv.dll');
DeleteFile('C:\WINDOWS\system32\rqRKCUkJ.dll');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/CODE]
После перезагрузки:
6. [url="http://virusinfo.info/showthread.php?t=10025"] Очистите [/url]темп-папки и кэш проводников.
7. Закачайте карантин [COLOR="Red"][B]по красной ссылке[/B][/COLOR] вверху темы
8. Повторите логи.
22.06.2008, 14:26
Sky_Tech

[QUOTE=Shu_b;244001]загрузка предыдущего файла не влияет на загрузку последующих.

поделитесь тогда через [url]http://ifolder.ru/[/url][/QUOTE]

ifolder разве не открытый ресурс?
Я ведь писал что проблемы с оперой и интернет эксплорером. Не могу я прикрепить карантин на вирусинфо. Перепишу на флешку попробую на работе выложить карантин.
22.06.2008, 14:31
Rene-gad

я загрузил Ваш карантин :).
Вы выполнили действия, описаные в сообщении 10? Логи в студию, плиз.
22.06.2008, 18:23
Sky_Tech

Файл сохранён как 080622_091541_virus_485e5e8d8cf93.zip
Размер файла 429665
MD5 8a6e1ea648e6333987dd1e85cdd19619

Повторил логи.
Сайты начали открываться, но потерялись все пароли в Опере.
Подскажите в каких файлах они находятся.
22.06.2008, 18:32
Rene-gad

В логах чисто. Нужно обновить систему до SP3. Насчет Оперы - сказать ничего не могу, т.к. не пользуюсь, но думаю, что пароли Вам всё равно придётся сменить - уж очень много зверья у Вас сидело.
Какие проблемы ещё есть?
22.06.2008, 18:38
Sky_Tech

Да вроде все ок. Спасибо.
Думаю прийдется капитально засесть за комп.
Поставлю SP3. Но перед этим кучу бекапов сделать надо.
22.06.2008, 18:40
Rene-gad

[QUOTE=Sky_Tech;245091]кучу бекапов сделать надо.[/QUOTE]Это всегда полезно ;)
Если проблем не наблюдается, то нам была бы сейчас интересна Ваша оценка нашего ресурса и раздела "Помогите". Вы можете опубликовать её в теме [url= http://virusinfo.info/showthread.php?t=19883]Скажи, что ты думаешь о Virusinfo[/url].
Пострайтесь при ответе придерживаться следующей схемы:
[QUOTE]1. Всё ли Вам было понятно?
2. Устраивает ли Вас форма, в которой проходило лечение?
3. Нашли ли Вы полезные материалы у нас?
4. Чего, по Вашему мнению, нам не хватает?[/QUOTE]
Мы будем Вам очень благодарны за отзыв, он может помочь нам улучшить ресурс.
Советуем так же прочитать электронную [url=http://security-advisory.virusinfo.info/]книгу[/url] "Безопасный Интернет. Универсальная защита для Windows ME - Vista".
22.02.2009, 06:05
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]3[/B][*]Обработано файлов: [B]15[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\windows\\system32\\enrogkuv.dll - [B]Trojan.Win32.Pakes.dfj[/B] (DrWEB: Trojan.Virtumod.428)[*] c:\\windows\\system32\\fcccccum.dll - [B]not-a-virus:AdWare.Win32.Virtumonde.zcy[/B] (DrWEB: Trojan.Virtumod.based.20)[*] c:\\windows\\system32\\hdpssssu.dll - [B]Trojan.Win32.Pakes.dfi[/B] (DrWEB: Trojan.Virtumod.434)[*] c:\\windows\\system32\\muorylbk.dll - [B]Trojan.Win32.Monder.zc[/B] (DrWEB: Trojan.Virtumod.433)[*] c:\\windows\\system32\\odeudkcm.dll - [B]Trojan.Win32.Pakes.dfi[/B] (DrWEB: Trojan.Virtumod.434)[*] c:\\windows\\system32\\rqrkcukj.dll - [B]Trojan.Win32.Monder.zd[/B] (DrWEB: Trojan.Virtumod.based.20)[*] c:\\windows\\system32\\snqssuls.dll - [B]Trojan.Win32.Pakes.dfj[/B] (DrWEB: Trojan.Virtumod.428)[*] c:\\windows\\system32\\uuiyclkc.dll - [B]Trojan.Win32.Monder.ze[/B] (DrWEB: Trojan.Virtumod.based.20)[/LIST][/LIST]