Заражён Worm.Win32.NetBooster

Printable View

04.08.2008, 14:44
SergiySW

Вложений: 3

Заражён Worm.Win32.NetBooster

Часто открываются окно Spyware alert: Security Warning! Worm.Win32.NetBooster detected... Самоустановились программы: Error Cleaner, Privacy Protector, Spyware&Malware Protection. Часто предлагается установить Antivirus 2009 или 2008 PRO. В IE иногда появляется Insecure Internet activity. Threat of virus attack...С рабочего стола удалились многие ярлыки, а в Моём компьютере не отображается диск C. Появилась надпись VIRUS ALERT! в трее рядом с часами. Захвачены права администратора: не запускается диспетчер задач и параметры экрана. В Пуске нет большей части подменю.Как удалить этого червя?
04.08.2008, 15:02
Rene-gad

Отключите
- ПК от интернета/локалки
- Антивирус и Файрвол.
- Системное востановление.
-[URL="http://virusinfo.info/showthread.php?t=4491"]Пофиксите[/URL]
[CODE]R3 - URLSearchHook: (no name) - {9CB65206-89C4-402c-BA80-02D8C59F9B1D} - (no file)
O3 - Toolbar: fdkowvbp - {54EF0797-AF80-4CF5-AB0C-7E87CCEC3E0B} - C:\WINDOWS\fdkowvbp.dll
O4 - HKLM\..\Run: [8c8ac480] rundll32.exe "C:\WINDOWS\system32\jpwigtop.dll",b
O4 - HKLM\..\Run: [BM8fb9f71c] Rundll32.exe "C:\WINDOWS\system32\vkkiwyty.dll",s
O4 - HKCU\..\Run: [amva] C:\WINDOWS\system32\amvo.exe
O4 - HKCU\..\Run: [antispy] C:\Program Files\IEAntiVirus\ANTIVIR.exe
O4 - HKCU\..\Run: [49399012927254594350628087823135] C:\Program Files\AV9\av2009.exe
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Restrictions present
O7 - HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System, DisableRegedit=1
O16 - DPF: {39B0684F-D7BF-4743-B050-FDC3F48F7E3B} (CDownloadCtrl Object) - http://www.fileplanet.com/fpdlmgr/cabs/FPDC_2.3.6.108.cab
O21 - SSODL: eqvwamkl - {7ACCF0AA-2125-4F7B-AD28-C2E2F0CCEB59} - C:\WINDOWS\eqvwamkl.dll
O21 - SSODL: wnslvxtf - {5EBFDC2A-00D7-448D-A9EB-61AC9909844E} - C:\WINDOWS\wnslvxtf.dll
[/CODE]
- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт[/URL]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteService('jgameenp');
DelBHO('{54EF0797-AF80-4CF5-AB0C-7E87CCEC3E0B}');
DelBHO('{F8241C5B-2E8C-41D9-8E88-F97EF505CB79}');
DelBHO('{7EC6F14A-C191-4164-A754-EF5EDAC41951}');
DelBHO('{51DC7A06-2251-4795-A863-421782966EC9}');
DelBHO('{099AC52C-1CD4-434C-9CC6-FF56DABB5010}');
QuarantineFile('C:\WINDOWS\fdkowvbp.dll','');
QuarantineFile('C:\WINDOWS\nfavxwdbvdf.dll','');
QuarantineFile('C:\WINDOWS\system32\iifgGYqN.dll','');
QuarantineFile('C:\WINDOWS\system32\amvo.exe','');
QuarantineFile('C:\Program Files\AV9\av2009.exe','');
QuarantineFile('C:\DOCUME~1\User\LOCALS~1\Temp\jgameenp.sys','');
QuarantineFile('C:\WINDOWS\eqvwamkl.dll','');
QuarantineFile('C:\WINDOWS\system32\jpwigtop.dll','');
QuarantineFile('C:\WINDOWS\system32\ljJYqQGw.dll','');
QuarantineFile('C:\WINDOWS\system32\uhyvospk.dll','');
QuarantineFile('C:\WINDOWS\system32\vkkiwyty.dll','');
QuarantineFile('C:\WINDOWS\wnslvxtf.dll','');
DeleteFile('C:\WINDOWS\wnslvxtf.dll');
DeleteFile('C:\WINDOWS\system32\vkkiwyty.dll');
DeleteFile('C:\WINDOWS\system32\uhyvospk.dll');
DeleteFile('C:\WINDOWS\system32\ljJYqQGw.dll');
DeleteFile('C:\WINDOWS\system32\jpwigtop.dll');
DeleteFile('C:\WINDOWS\eqvwamkl.dll');
DeleteFile('C:\DOCUME~1\User\LOCALS~1\Temp\jgameenp.sys');
DeleteFile('C:\Program Files\AV9\av2009.exe');
DeleteFile('C:\WINDOWS\system32\amvo.exe');
DeleteFile('C:\WINDOWS\system32\iifgGYqN.dll');
DeleteFile('C:\WINDOWS\nfavxwdbvdf.dll');
DeleteFile('C:\WINDOWS\fdkowvbp.dll');
BC_ImportDeletedList;
ExecuteSysClean;
BC_DeleteSvc('jgameenp');
BC_Activate;
RebootWindows(true);
end.
[/CODE]
После перезагрузки:
- [url="http://virusinfo.info/showthread.php?t=10025"] Очистите [/url]темп-папки, кэш проводников и корзину.
- Закройте все программы, включая Антивирус и Файрвол, Оставьте запущенным [B]только Internet Explorer[/B]. Если он не запущен - запустите!!!
- Сделайте повторные логи по правилам.
- Включите Антвирус и Файрволл
- Подключите ПК к интернету/локалке
- Закачайте карантин [COLOR="Red"][B]по красной ссылке[/B][/COLOR] вверху темы.
- Прикрепите логи к новому сообщению.
04.08.2008, 16:32
SergiySW

Вложений: 3

Надеюсь, всё сделано правильно...
Новые логи:
04.08.2008, 16:38
Гриша

[URL="http://virusinfo.info/showthread.php?t=4491"]Пофиксить[/URL]

[CODE]O2 - BHO: (no name) - {294C92E6-0B64-4CC3-8E21-53E3764C5459} - C:\WINDOWS\system32\ljJYqQGw.dll (file missing)
O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) -
O20 - Winlogon Notify: iifgGYqN - iifgGYqN.dll (file missing)[/CODE]

[URL="http://virusinfo.info/showthread.php?t=7239"]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".[/URL]

[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\Drivers\clbdriver.sys','');
QuarantineFile('C:\WINDOWS\system32\clbdll.dll','');
DeleteFile('C:\WINDOWS\system32\Drivers\clbdriver.sys');
DeleteFile('C:\WINDOWS\system32\clbdll.dll');
DelBHO('{294C92E6-0B64-4CC3-8E21-53E3764C5459}');
DeleteFile('\??\globalroot\systemroot\system32\drivers\clbdriver.sys');
DeleteFile('iifgGYqN.dll');
DeleteFile('C:\WINDOWS\system32\ljJYqQGw.dll');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
ExecuteRepair(5 );
ExecuteRepair(6 );
ExecuteRepair(8 );
ExecuteRepair(11 );
RebootWindows(true);
end.[/CODE]

Пришлите карантин по правилам и повторите логи...
04.08.2008, 17:34
SergiySW

Вложений: 3

Выполнил коды. Логи:
04.08.2008, 17:37
Rene-gad

Можете нас насчет этого файлика просветить?
[CODE]C:\Documents and Settings\User\Мои документы\Test_D3D10.exe[/CODE]
Спасибо.
04.08.2008, 17:42
SergiySW

Test_D3D10.exe - программа, проверяющая совместимость оборудования с DirectX10 for WinXP (что-то в этом роде). У меня этот Директ не пойдёт точно, поэтому только что удалил.
04.08.2008, 17:47
Rene-gad

Больше ничего подозрительного. Сервис Пак 3 нужно поставить. Как работает система?
04.08.2008, 17:53
SergiySW

Система работает нормально: не тормозит и не виснет, диски отображаются... Единственное, как убрать надпись VIRUS ALERT! из трея? SP3 поищу.
Спасибо за помощь! :D
04.08.2008, 18:00
Rene-gad

[QUOTE=SergiySW;263189]Единственное, как убрать надпись VIRUS ALERT! из трея?[/QUOTE]
[QUOTE=Bratez;251967]
Как убрать надпись VIRUS ALERT! :
Панель управления - Язык и региональные стандарты - кнопка Настройка - вкладка Время, залезть курсором в графу "Формат времени" и убрать.[/QUOTE]
[QUOTE] SP3 поищу.[/QUOTE]
Ссылку в моей подписи видели? ;)
04.08.2008, 18:08
SergiySW

Надпись удалил. Ссылку видел и раньше, но только сейчас посмотрел, куда она ведёт... Буду устанавливать SP3. Надеюсь, там защита ещё лучше.
Ещё раз спасибо!
04.08.2008, 18:11
Rene-gad

[QUOTE=SergiySW;263207]Ссылку видел и раньше, но только сейчас посмотрел, куда она ведёт... [/QUOTE]У нас все ссылки ведут куда надо : фирма веников не вяжет 8)
22.02.2009, 06:55
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]3[/B][*]Обработано файлов: [B]24[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\windows\\eqvwamkl.dll - [B]Trojan.Win32.Vapsup.jsn[/B] (DrWEB: Trojan.Popuper.7323)[*] c:\\windows\\fdkowvbp.dll - [B]Trojan.Win32.Vapsup.jso[/B] (DrWEB: Trojan.Popuper.7321)[*] c:\\windows\\nfavxwdbvdf.dll - [B]Trojan.Win32.Vapsup.jsp[/B] (DrWEB: Trojan.Fakealert.1180)[*] c:\\windows\\system32\\drivers\\clbdriver.sys - [B]Rootkit.Win32.Agent.bxq[/B] (DrWEB: Trojan.Clb.14)[*] c:\\windows\\system32\\jpwigtop.dll - [B]Trojan.Win32.Monder.cep[/B] (DrWEB: Trojan.Virtumod.based.23)[*] c:\\windows\\system32\\uhyvospk.dll - [B]not-a-virus:AdWare.Win32.BHO.cgs[/B] (DrWEB: Trojan.Virtumod.458)[*] c:\\windows\\system32\\vkkiwyty.dll - [B]Trojan.Win32.Monder.cmm[/B] (DrWEB: Trojan.Virtumod.based.23)[*] c:\\windows\\wnslvxtf.dll - [B]Trojan.Win32.Vapsup.jsq[/B] (DrWEB: Trojan.Popuper.7322)[/LIST][/LIST]