И снова Virtumonde и PrivacyRemover )

Printable View

22.08.2008, 11:45
Амстердам

Вложений: 3

И снова Virtumonde и PrivacyRemover )

День добрый :)
Как вижу, судя по названиям топиков проблема очень распространенная.
Симптомы такие же как и у всех: вместо обоев на рабочем столе табличка: Warning spyware detected on your computer. Соответственно, Вредоносные программы Win32/Adware Virtumonde и Win32/PrivacyRemover.M64.
Если не ошибаюсь, Virtumonde регулярно открывает кучу поп-ап окон с разной рекламой и т.д. Этот симптом также в наличии :)

Судя по логам, кроме этих двух паразитов есть еще проблемы, буду очень рад, если поможете :)
22.08.2008, 12:27
Rene-gad

Читайте правила
[QUOTE]Пожалуйста, помните, что помощь Вам оказывается бесплатно, и на добровольной основе. Не требуйте помощи в категоричной форме.[/QUOTE]обработка заявок в порядке поступления.

[B]Нарушения [URL="http://virusinfo.info/showthread.php?t=1235"]правил[/URL] при сборе информации для раздела Помогите.

[COLOR="Red"]
- Не выключено системное восстановление
[/COLOR]

Логи выполненные с нарушением правил рассматриваться не будут.
Повторите 3 лога в соответствии с правилами.
Спасибо за понимание.[/B]
22.08.2008, 12:54
Амстердам

Вложений: 3

ок

понял, прошу извинить )
странно, точно помню, что выключал.
новые логи вложил
22.08.2008, 13:01
Rene-gad

А базы АВЗ почему старые в повторных логах??? :O
Работайте аккуратнее плиз - Ваше и наше время идет!!!
Базы АВЗ обновить прежде чем дальше лечиться будем.

Отключите
- ПК от интернета/локалки
- Антивирус и Файрвол.
- Системное восстановление.
- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт[/URL]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
TerminateProcessByName('c:\windows\svchost.exe');
QuarantineFile('C:\WINDOWS\system32\colbaft.dll','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Mmw46.sys','');
QuarantineFile('C:\WINDOWS\system32\drivers\runtime2.sys','');
QuarantineFile('C:\WINDOWS\system32\Drivers\Mmw46.sys','');
QuarantineFile('C:\WINDOWS\system32\sysfldr.dll','');
QuarantineFile('c:\windows\svchost.exe','');
DeleteFile('c:\windows\svchost.exe');
DeleteFile('C:\WINDOWS\system32\sysfldr.dll');
DeleteFile('C:\WINDOWS\system32\Drivers\Mmw46.sys');
DeleteFile('C:\WINDOWS\system32\drivers\runtime2.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Mmw46.sys');
DeleteFile('C:\WINDOWS\system32\blphcrusj0ep4v.scr');
DeleteFile('C:\WINDOWS\system32\colbaft.dll');
DeleteFile('C:\PROGRA~1\MEGAUP~1\MEGAUP~1.DLL');
BC_ImportAll;
ExecuteSysClean;
BC_DeleteSvc('Mmw46');
BC_DeleteSvc('PowerManager');
BC_Activate;
RebootWindows(true);
end.
[/CODE]

После перезагрузки:
- [url="http://virusinfo.info/showthread.php?t=10025"] Очистите [/url]темп-папки, кэш проводников и корзину.
- Закройте все программы, включая Антивирус и Файрвол, Оставьте запущенным [B]только Internet Explorer[/B]. Если он не запущен - запустите!!!
- Сделайте повторные логи по правилам.
- Включите Антвирус и Файрволл
- Подключите ПК к интернету/локалке
- Закачайте карантин по ссылке [COLOR="Red"][B]Прислать запрошенный карантин[/B][/COLOR] вверху темы (Приложение 3 правил).
- Прикрепите логи к новому сообщению.
22.08.2008, 13:54
Амстердам

Вложений: 3

ок

про базы забыл, извините.
вроде все готово, карантин отправил, новые логи тут.

табличка с предупреждением так и осталась, но общий фон сменился с белого на синий.

+ 2 закладки в свойствах экрана так и остались заблокированными...
22.08.2008, 14:41
Rene-gad

Повторите выполнение скрипта из сообщения 4.
Потом сделайте новые логи.
С закладками разберемся после удаления зловредов.
22.08.2008, 15:19
Амстердам

Вложений: 3

ок

готово.

сменил обои - при перезагрузке картинка не слетела, так и осталась висеть, табличка не вылезает
22.08.2008, 15:24
Rene-gad

Отключите
- ПК от интернета/локалки
- Антивирус и Файрвол.
- Системное восстановление.

-[URL="http://virusinfo.info/showthread.php?t=4491"]Пофиксите[/URL]
[CODE]O2 - BHO: Megaupload Toolbar - {4E7BD74F-2B8D-469E-CCB0-B130EEDBE97C} - C:\PROGRA~1\MEGAUP~1\MEGAUP~1.DLL (file missing)
O2 - BHO: ConnectionServices module - {6D7B211A-88EA-490c-BAB9-3600D8D7C503} - C:\Program Files\ConnectionServices\ConnectionServices.dll
O3 - Toolbar: Megaupload Toolbar - {4E7BD74F-2B8D-469E-CCB0-B130EEDBE97C} - C:\PROGRA~1\MEGAUP~1\MEGAUP~1.DLL (file missing)
O4 - HKLM\..\Run: [startdrv] C:\WINDOWS\Temp\startdrv.exe
O17 - HKLM\System\CCS\Services\Tcpip\..\{6A177C74-F263-4918-A454-7123D03D021F}: NameServer = 85.255.114.75,85.255.112.212
O17 - HKLM\System\CCS\Services\Tcpip\..\{B8745675-791D-4C65-B8A4-360234FE7566}: NameServer = 85.255.114.75 85.255.112.212
O17 - HKLM\System\CS1\Services\Tcpip\Parameters: NameServer = 85.255.116.117 85.255.112.203
O17 - HKLM\System\CS2\Services\Tcpip\Parameters: NameServer = 85.255.114.75 85.255.112.212
O17 - HKLM\System\CS3\Services\Tcpip\Parameters: NameServer = 85.255.114.75 85.255.112.212
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: NameServer = 85.255.114.75 85.255.112.212
O20 - Winlogon Notify: sysfldr - sysfldr.dll (file missing)
[/CODE]

- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт[/URL]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteService('PowerManager');
QuarantineFile('C:\Program Files\SimpleCenter\bin\win\sclauncher.dll','');
DelBHO('{4E7BD74F-2B8D-469E-CCB0-B130EEDBE97C}');
DelBHO('{6D7B211A-88EA-490c-BAB9-3600D8D7C503}');
QuarantineFile('C:\WINDOWS\Temp\startdrv.exe','');
QuarantineFile('C:\WINDOWS\svchost.exe','');
DeleteFile('C:\WINDOWS\svchost.exe');
DeleteFile('C:\PROGRA~1\MEGAUP~1\MEGAUP~1.DLL');
DeleteFile('C:\WINDOWS\Temp\startdrv.exe');
DeleteFile('C:\Program Files\ConnectionServices\ConnectionServices.dll');
BC_ImportAll;
ExecuteSysClean;
BC_DeleteSvc('PowerManager');
BC_Activate;
RebootWindows(true);
end.
[/CODE]

После перезагрузки:
- [url="http://virusinfo.info/showthread.php?t=10025"] Очистите [/url]темп-папки, кэш проводников и корзину.
- Закройте все программы, включая Антивирус и Файрвол, Оставьте запущенным [B]только Internet Explorer[/B]. Если он не запущен - запустите!!!
- Сделайте повторные логи по правилам.
- Включите Антвирус и Файрволл
- Подключите ПК к интернету/локалке
- Закачайте карантин по ссылке [COLOR="Red"][B]Прислать запрошенный карантин[/B][/COLOR] вверху темы (Приложение 3 правил).
- Прикрепите логи к новому сообщению.
22.08.2008, 16:29
Амстердам

Вложений: 3

ок

пофиксил все, кроме:
O17 - HKLM\System\CCS\Services\Tcpip\..\{B8745675-791D-4C65-B8A4-360234FE7566}: NameServer = 85.255.114.75 85.255.112.212
такой строки в логе хайджека просто не было...

все остальное сделано )
22.08.2008, 16:51
Rene-gad

- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт[/URL]
[CODE]begin
RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\System','kdimj.exe');
RebootWindows(true);
end.
[/CODE]

После перезагрузки сделайте повторный лог по стандартному скрипту 2 правил.
- Прикрепите лог к новому сообщению.
22.08.2008, 17:21
Амстердам

Вложений: 1

ок

готово.

судя по логу, со зловредами покончено? :)
а как теперь разлочить закладки в свойствах экрана?
22.08.2008, 17:26
Rene-gad

Запустите редактор реестра, пройдите к [B]HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\[/B], щелкните дважды по ключу [B]System[/B], удалите параметр [B]kdimj.exe[/B], закройте редактор реестра.

- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт[/URL]
[CODE]
begin
executerepair(5);
executerepair(6);
executerepair(8);
executerepair(9);
executerepair(11);
executerepair(16);
executerepair(17);
RebootWindows(true);
end.
[/CODE]
После перезагрузки сделайте лог по стандартному скрипту 2 и проинформируйте о состоянии ПК.
22.08.2008, 17:39
Амстердам

Вложений: 1

все сделал, закладки появились, правда параметр kdimj.exe у ключа появился вновь после перезагрузки.
а так вроде все отлично )
спасибо вам огромное, без вас бы не осилил :)
22.08.2008, 17:42
Rene-gad

[QUOTE=Амстердам;272599]параметр kdimj.exe у ключа появился вновь после перезагрузки.[/QUOTE]
Это не есть хорошо. Поищите файл kdimj.exe и пришлите по приложениям 2 и 3 правил.
[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт[/URL]
[CODE]
begin
executerepair(7);
RebootWindows(true);
end.
[/CODE]
После перезагрузки сделайте лог по стандартному скрипту 2.
22.08.2008, 18:47
Амстердам

Вложений: 1

ок

в общем файл нигде не нашел,даже в скрытых и системных папках. Все остальное сделал, но после ребута почему-то пропал инет, огонек дсл на модеме погас. При попытке установить соединение пишет про какую-то службу. Поискал в локальных службах,вроде ничего не нашел. При этом подключение по локальной сети есть,т.е. сетевая карта и модем работают. Пишу с телефона. Лог тоже тоже умудрился вложить с телефона )
25.08.2008, 01:40
pig

[QUOTE=Амстердам;272649]При попытке установить соединение пишет про какую-то службу.[/QUOTE]
Процитируйте дословно.
22.02.2009, 07:23
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]28[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\program files\\connectionservices\\connectionservices.dll - [B]Trojan.Win32.ConnectionServices.w[/B] (DrWEB: Trojan.BhoSpy.2)[*] c:\\program files\\trend micro\\hijackthis\\backups\\backup-20080822-153622-711.dll - [B]Trojan.Win32.ConnectionServices.w[/B] (DrWEB: Trojan.BhoSpy.2)[*] c:\\windows\\svchost.exe - [B]Virus.Win32.Hidrag.a[/B] (DrWEB: Win32.HLLP.Jeefo.36352)[*] c:\\windows\\system32\\comaddi.dll - [B]Rootkit.Win32.Podnuha.aln[/B] (DrWEB: Trojan.DownLoad.4182)[*] c:\\windows\\temp\\data.exe - [B]Trojan.Win32.Pakes.bmj[/B] (DrWEB: Trojan.Inject.464)[*] c:\\windows\\temp\\loader.exe - [B]Trojan.Win32.Pakes.sb[/B] (DrWEB: Trojan.MulDrop.9300)[*] c:\\windows\\temp\\load.exe - [B]Trojan.Win32.Pakes.aoe[/B] (DrWEB: BackDoor.Bulknet.84)[*] c:\\windows\\temp\\startdrv.exe - [B]Trojan-Downloader.Win32.Injecter.an[/B] (DrWEB: Trojan.MulDrop.9752)[/LIST][/LIST]