PrivacyRemover.M64 и не только

Printable View

28.08.2008, 11:54
Kavr

Win32/Adware.Virtumonde и Win32/PrivacyRemover.M64 и не только

Здравствуйте

При загрузке awast ругается на VBS:Malware-gen и Win32:Trojan-gen. После подключения к интернет ругается на Win32:Agent-VGV[wrm].
Победить не может. Сегодня на экране проявилась заставка с Win32/Adware.Virtumonde и Win32/PrivacyRemover.M64.

Помогите, пожалуйста.
Заранее благодарен.

С уважением,
Виталий.
28.08.2008, 12:51
Rene-gad

[B]Нарушения [URL="http://virusinfo.info/showthread.php?t=1235"]правил[/URL] при сборе информации для раздела Помогите.

[COLOR="Red"]
- Не выключен установленный антивирус.[/COLOR]

Логи выполненные с нарушением правил рассматриваться не будут.
Спасибо за понимание.[/B]

Скачайте [URL="http://virusinfo.info/showthread.php?t=17109"]IceSword [/URL], поищите и скопируйте файлы:
[CODE]C:\WINDOWS\SYSTEM32\WinCtrl32.dll
C:\WINDOWS\SYSTEM32\WinCtrl32.bak
C:\WINDOWS\SYSTEM32\WinCtrl32.dl_
C:\WINDOWS\SYSTEM32\WinDat.cab
[/CODE]
Скопированные с помощью IceSword файлы сохраните в карантине (Приложение 2 правил).
Потом удалите их с помощью [URL="http://virusinfo.info/showthread.php?t=17228"]force delete[/URL]
Если Вы какие-то файлы не обнаружите - переходите к следующему шагу.

Отключите
- ПК от интернета/локалки
- Антивирус и Файрвол.
- Системное восстановление.
- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт[/URL]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteService('WmiApSrvTapiSrv');
DeleteService('upnphostWebClient');
DeleteService('TermService Office Groove Audit Service');
DeleteService('SSDPSRVOracleOraHome92SNMPPeerMasterAgentOracleMTSRecoveryService');
DeleteService('SSDPSRVOracleOraHome92SNMPPeerMasterAgent');
DeleteService('SharedAccessHTTPFilter');
DeleteService('SENSRemoteAccess');
DeleteService('Schedule Mail Scanner');
DeleteService('RemoteAccessRemoteRegistry');
DeleteService('ProtectedStorageWZCSVC');
DeleteService('PolicyAgentDcomLaunch');
DeleteService('oseCiSvc');
DeleteService('odservBrowser');
DeleteService('NtmsSvcsrservice');
DeleteService('NetNla');
DeleteService('MSSQL$TEST_DBWmi');
DeleteService('MSSQL$TEST_DBOracleMTSRecoveryService');
DeleteService('HTTPFilterAlerter');
DeleteService('EventSystemose Driver HPZ12');
DeleteService('EventSystemose');
DeleteService('dmadminALGSpoolerWebClient');
DeleteService('dmadminALGSpooler');
DeleteService('dmadminALG');
DeleteService('COMSysAppstisvc');
DeleteService('COMSysAppRpcLocator');
DeleteService('CiSvcUPS');
DeleteService('Aticlr_optimization_v2.0.50727_32');
DeleteService('AtiClipSrv');
DeleteService('Wwm84');
DeleteService('Winyd78');
DeleteService('Winxx80');
DeleteService('Winxx48');
DeleteService('Winxi01');
DeleteService('Winxd12');
DeleteService('Winwh45');
DeleteService('Winvq78');
DeleteService('Winvb68');
DeleteService('Winsx80');
DeleteService('Winsi46');
DeleteService('Winrc67');
DeleteService('Winqq66');
DeleteService('Winqg67');
DeleteService('Winqb34');
DeleteService('Winot81');
DeleteService('Winoj78');
DeleteService('Winnn25');
DeleteService('Winnd45');
DeleteService('Winku46');
DeleteService('Winkf14');
DeleteService('Winin67');
DeleteService('Wingl01');
DeleteService('Winfp56');
DeleteService('Winff55');
DeleteService('Winfa80');
DeleteService('Winet67');
DeleteService('Winej70');
DeleteService('Winds34');
DeleteService('Windn24');
DeleteService('Wincc57');
QuarantineFile('C:\WINDOWS\System32\Drivers\Wwm84.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Winyd78.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Winxx80.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Winxx48.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Winxi01.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Winxd12.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Winwh45.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Winvq78.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Winvb68.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Winsx80.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Winsi46.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Winrc67.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Winqq66.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Winqg67.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Winqb34.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Winot81.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Winoj78.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Winnn25.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Winnd45.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Winku46.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Winin67.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Wingl01.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Winfp56.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Winff55.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Winfa80.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Winet67.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Winej70.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Winds34.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Windn24.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Wincc57.sys','');
QuarantineFile('C:\WINDOWS\system32\blphc7hfj0e5be.scr','');
QuarantineFile('C:\WINDOWS\system32\lphc7hfj0e5be.exe','');
QuarantineFile('C:\WINDOWS\system32\ntos.exe_','');
DelBHO('{FFFC57DB-1DE3-4303-B24D-CEE6DCDD3D86}');
QuarantineFile('C:\WINDOWS\SYSTEM32\WinCtrl32.dll','');
DeleteFile('C:\WINDOWS\SYSTEM32\WinCtrl32.dll');
DeleteFile('C:\PROGRA~1\MYCENT~1\InfoBar\MYCENT~1.DLL');
DeleteFile('C:\WINDOWS\system32\ntos.exe_');
DeleteFile('C:\WINDOWS\system32\lphc7hfj0e5be.exe');
DeleteFile('C:\WINDOWS\system32\blphc7hfj0e5be.scr');
DeleteFile('C:\WINDOWS\System32\Drivers\Wincc57.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Windn24.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Winds34.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Winej70.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Winet67.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Winfa80.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Winff55.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Winfp56.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Wingl01.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Winin67.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Winkf14.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Winku46.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Winnd45.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Winnn25.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Winoj78.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Winot81.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Winqb34.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Winqg67.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Winqq66.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Winrc67.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Winsi46.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Winsx80.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Winvb68.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Winvq78.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Winwh45.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Winxd12.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Winxi01.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Winxx48.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Winxx80.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Winyd78.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Wwm84.sys');
BC_ImportAll;
ExecuteSysClean;
BC_DeleteSvc('WmiApSrvTapiSrv');
BC_DeleteSvc('upnphostWebClient');
BC_DeleteSvc('TermService Office Groove Audit Service');
BC_DeleteSvc('SSDPSRVOracleOraHome92SNMPPeerMasterAgentOracleMTSRecoveryService');
BC_DeleteSvc('SSDPSRVOracleOraHome92SNMPPeerMasterAgent');
BC_DeleteSvc('SharedAccessHTTPFilter');
BC_DeleteSvc('SENSRemoteAccess');
BC_DeleteSvc('Schedule Mail Scanner');
BC_DeleteSvc('RemoteAccessRemoteRegistry');
BC_DeleteSvc('ProtectedStorageWZCSVC');
BC_DeleteSvc('PolicyAgentDcomLaunch');
BC_DeleteSvc('oseCiSvc');
BC_DeleteSvc('odservBrowser');
BC_DeleteSvc('NtmsSvcsrservice');
BC_DeleteSvc('NetNla');
BC_DeleteSvc('MSSQL$TEST_DBWmi');
BC_DeleteSvc('MSSQL$TEST_DBOracleMTSRecoveryService');
BC_DeleteSvc('HTTPFilterAlerter');
BC_DeleteSvc('EventSystemose Driver HPZ12');
BC_DeleteSvc('EventSystemose');
BC_DeleteSvc('dmadminALGSpoolerWebClient');
BC_DeleteSvc('dmadminALGSpooler');
BC_DeleteSvc('dmadminALG');
BC_DeleteSvc('COMSysAppstisvc');
BC_DeleteSvc('COMSysAppRpcLocator');
BC_DeleteSvc('CiSvcUPS');
BC_DeleteSvc('Aticlr_optimization_v2.0.50727_32');
BC_DeleteSvc('AtiClipSrv');
BC_DeleteSvc('Wwm84');
BC_DeleteSvc('Winyd78');
BC_DeleteSvc('Winxx80');
BC_DeleteSvc('Winxx48');
BC_DeleteSvc('Winxi01');
BC_DeleteSvc('Winxd12');
BC_DeleteSvc('Winwh45');
BC_DeleteSvc('Winvq78');
BC_DeleteSvc('Winvb68');
BC_DeleteSvc('Winsx80');
BC_DeleteSvc('Winsi46');
BC_DeleteSvc('Winrc67');
BC_DeleteSvc('Winqq66');
BC_DeleteSvc('Winqg67');
BC_DeleteSvc('Winqb34');
BC_DeleteSvc('Winot81');
BC_DeleteSvc('Winoj78');
BC_DeleteSvc('Winnn25');
BC_DeleteSvc('Winnd45');
BC_DeleteSvc('Winku46');
BC_DeleteSvc('Winkf14');
BC_DeleteSvc('Winin67');
BC_DeleteSvc('Wingl01');
BC_DeleteSvc('Winfp56');
BC_DeleteSvc('Winff55');
BC_DeleteSvc('Winfa80');
BC_DeleteSvc('Winet67');
BC_DeleteSvc('Winej70');
BC_DeleteSvc('Winds34');
BC_DeleteSvc('Windn24');
BC_DeleteSvc('Wincc57');
BC_Activate;
RebootWindows(true);
end.
[/CODE]

После перезагрузки:
- [url="http://virusinfo.info/showthread.php?t=10025"] Очистите [/url]темп-папки, кэш проводников и корзину.
- Закройте все программы, включая Антивирус и Файрвол, Оставьте запущенным [B]только Internet Explorer[/B]. Если он не запущен - запустите!!!
- Сделайте повторные логи по правилам.
- Включите Антвирус и Файрволл
- Подключите ПК к интернету/локалке
- Закачайте карантин по ссылке [COLOR="Red"][B]Прислать запрошенный карантин[/B][/COLOR] вверху темы (Приложение 3 правил).
- Прикрепите логи к новому сообщению.
28.08.2008, 13:55
Kavr

А какие строки нужно пофиксить?
28.08.2008, 14:38
Rene-gad

[QUOTE=Kavr;275731]А какие строки нужно пофиксить?[/QUOTE]те, что указаны ;), если никакие - значит никакие :)
28.08.2008, 15:55
Kavr

Я антивирус через службы отключал, он отключился но в трае иконка висела надеюсь это не помешает)) Жду дальнейших указаний.
28.08.2008, 16:28
Rene-gad

Отключите
- ПК от интернета/локалки
- Антивирус и Файрвол.
- Системное восстановление.
-[URL="http://virusinfo.info/showthread.php?t=4491"]Пофиксите[/URL]
[CODE]O20 - Winlogon Notify: WinCtrl32 - WinCtrl32.dll (file missing)
[/CODE]
- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт[/URL]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteService('OracleOraHome92SNMPPeerEncapsulator Web Scanner');
DeleteService('MSDTCNetNla');
DeleteService('MessengerNetlogon');
DeleteService('avast!Nla');
BC_ImportAll;
ExecuteSysClean;
BC_DeleteSvc('OracleOraHome92SNMPPeerEncapsulator Web Scanner');
BC_DeleteSvc('MSDTCNetNla');
BC_DeleteSvc('MessengerNetlogon');
BC_DeleteSvc('avast!Nla');
BC_Activate;
RebootWindows(true);
end.
[/CODE]

После перезагрузки:
- [url="http://virusinfo.info/showthread.php?t=10025"] Очистите [/url]темп-папки, кэш проводников и корзину.
- Закройте все программы, включая Антивирус и Файрвол, Оставьте запущенным [B]только Internet Explorer[/B]. Если он не запущен - запустите!!!
- Сделайте повторные логи начиная от п.10 правил.
- Включите Антвирус и Файрволл
- Подключите ПК к интернету/локалке
- Закачайте карантин по ссылке [COLOR="Red"][B]Прислать запрошенный карантин[/B][/COLOR] вверху темы (Приложение 3 правил).
- Прикрепите логи к новому сообщению.
28.08.2008, 17:10
Kavr

всё сделал.
28.08.2008, 17:44
Rene-gad

Отключите
- ПК от интернета/локалки
- Антивирус и Файрвол.
- Системное восстановление.

- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт[/URL]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\System32\Drivers\Wintj47.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Winej26.sys','');
DeleteFile('C:\WINDOWS\System32\Drivers\Winej26.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Wintj47.sys');
BC_ImportAll;
ExecuteSysClean;
BC_DeleteSvc('Wintj47');
BC_DeleteSvc('Winej26');
BC_Activate;
RebootWindows(true);
end.
[/CODE]

После перезагрузки:
- [url="http://virusinfo.info/showthread.php?t=10025"] Очистите [/url]темп-папки, кэш проводников и корзину.
- Закройте все программы, включая Антивирус и Файрвол, Оставьте запущенным [B]только Internet Explorer[/B]. Если он не запущен - запустите!!!
- Сделайте повторные логи начиная от п.10 правил.
- Включите Антвирус и Файрволл
- Подключите ПК к интернету/локалке
- Закачайте карантин по ссылке [COLOR="Red"][B]Прислать запрошенный карантин[/B][/COLOR] вверху темы (Приложение 3 правил).
- Прикрепите логи к новому сообщению.
28.08.2008, 19:16
Kavr

Все сделал.
Тема рабочего стола осталась spyware detected ....
после перезагрузки, включающийся аваст не ругается как раньше
28.08.2008, 21:41
Rene-gad

- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт[/URL]
[CODE]
begin
executerepair(5);
executerepair(6);
executerepair(8);
executerepair(9);
executerepair(11);
executerepair(16);
executerepair(17);
RebootWindows(true);
end.
[/CODE]
После перезагрузки проинформируйте о состоянии ПК.
28.08.2008, 22:42
Kavr

Состояние компьютера очень положительное :) Большое спасибо! Кривая картинка только при загрузке. В реестре в HKEY_USERS S-1-5-18 Desktop три параметра ссылаются на кривую картинку C:\WINDOWS\system32\phc7hfj0e5be.bmp. Может в этом дело?
Открываю новую тему по ноутбуку жены с аналогичной проблемой.

Да еще забыл сказать: после всех операций аваст начал выдавать неустранимую ошибку и его пришлось снести и установить заново.
29.08.2008, 10:21
Rene-gad

[QUOTE=Kavr;276048] В реестре в HKEY_USERS S-1-5-18 Desktop три параметра ссылаются на кривую картинку C:\WINDOWS\system32\phc7hfj0e5be.bmp. [/QUOTE]
Экспортируйте эту ветку реестра, запакуйте и прикрепите к сообщению. Потом можете удалить.
Поищите файл C:\WINDOWS\system32\phc7hfj0e5be.bmp и пришлите по правилам.
29.08.2008, 12:22
Kavr

Вот они:

Ветка удаляться отказалась. "ошибка при удалении раздела". Может обнулить соответствующие параметры? Или просто bmp заменить и дело с концом.
29.08.2008, 13:28
Rene-gad

удалять ничего не надо.
Поставьте картинку какую хотите.
Картинку закачать по ссылке Прислать запрошенные файлы вверху темы.
29.08.2008, 22:42
Kavr

Закачал. Спасибо!
30.08.2008, 00:40
Rene-gad

- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт[/URL]
[CODE]
begin
RegKeyStrParamWrite('HKEY_USERS','.DEFAULT\Control Panel\Desktop','Wallpaper','');
RebootWindows(true);
end.
[/CODE]
После перезагрузки должны вычиститься записи в реестре, картинку можете любую прописать.
30.08.2008, 17:58
Kavr

Помогло!
22.02.2009, 07:36
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]3[/B][*]Обработано файлов: [B]74[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\windows\\system32\\lphc7hfj0e5be.exe - [B]Backdoor.Win32.Frauder.bh[/B] (DrWEB: Trojan.Packed.619)[/LIST][/LIST]