PrivacyRemover

Printable View

18.09.2008, 18:59
Kset

Вложений: 3

Win32/adware.virtumonde и Win32/PrivacyRemover

Здравствтуйте. Проблема, аналогичная [url]http://virusinfo.info/showthread.php?t=30318[/url]
[COLOR=black] На моём рабочем столе появилось сообщение "Warning! [/COLOR][COLOR=black]Spyware detected on your computer[/COLOR]
[COLOR=black]Win32/Adware.Virtumonde & Win32/PrivacyRemover.M64"[/COLOR]
Проблема появилась после того, как принёс скопировал информацию с флэшкарты, которая, видимо была заражена(принёс с универа :) ).

Появился расход траффика, появилась заставка в виде перезагрузки и синего экрана смерти(вроде бы, как я понял).
Стоял антивирус нод 2 версии, ничего не нашёл. При проверки им жесткого диска компьютер перезагрузился. Скачал утилиту от Dr.Web - Cure IT!, попытался проверить в безопастном режиме, но при его загрузке компьютер перезагружается. Проверил в обычном режиме - он нашёл что-то, но после перезагрузки видимых результатов это не дало.
Заранее спасибо за оказанную помощь.
18.09.2008, 20:06
V_Bond

выполните скрипт
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINXP\system32\ntos.exe','');
DeleteService('RRRRRRRR');
DeleteService('AppMgmt');
QuarantineFile('C:\DOCUME~1\ПАПА\LOCALS~1\Temp\26.tmp','');
DeleteService('Physical Memory Protector');
QuarantineFile('H:\RECYCLER\S-1-5-21-1482476501-1644491937-682003330-1015\svchost.exe','');
DeleteService('Microsoft Internet Service');
QuarantineFile('C:\WINXP\system32\drivers\RRRRRRRR.sys','');
QuarantineFile('C:\WINXP\system32\itcadvapi.dll','');
QuarantineFile('c:\winxp\system32\msservice.exe','');
DeleteFile('C:\WINXP\system32\drivers\RRRRRRRR.sys');
DeleteFile('c:\winxp\system32\msservice.exe');
DeleteFile('H:\RECYCLER\S-1-5-21-1482476501-1644491937-682003330-1015\svchost.exe');
DeleteFile('C:\DOCUME~1\ПАПА\LOCALS~1\Temp\26.tmp');
DeleteFile('C:\WINXP\system32\ntos.exe');
BC_ImportDeletedList;
ExecuteSysClean;
ExecuteRepair(5);
ExecuteRepair(6);
ExecuteRepair(8);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1001', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
BC_Activate;
RebootWindows(true);
end.
[/code]
пришлите карантин согласно приложения 3 правил
повторите логи
20.09.2008, 05:23
Kset

Вложений: 3

Спасибо.
Прощу прощения за долгий ответ.
Скрипт выполнил, обои\заставка исчезли
Неконтролируемый расход траффика остался + долго грузится антивирус(думаю это лечится его перестановкой).
Прикрепляю логи
Прошлый карантин прислал
Сейчас опять появился. Выслать?
20.09.2008, 10:52
Rene-gad

[B]Нарушения [URL="http://virusinfo.info/showthread.php?t=1235"]правил[/URL] при сборе информации для раздела Помогите.

[COLOR="Red"]
- Не обновлены базы АВЗ. Обновите базы Файл/Обновление баз.
- Не выключено системное восстановление.
[/COLOR]

Логи выполненные с нарушением правил, как не отображающие состояние системы и не дающие возможности, назначить правильное лечение, в дальнейшем рассматриваться не будут.
Повторите 3 лога в соответствии с правилами.
Спасибо за понимание.[/B]
25.09.2008, 12:47
Kset

Вложений: 3

Прошу прощения
Вот логи. Базы сегодняшние, восстановление отключил...

[COLOR="Red"]Ничего не сделано, поэтому сообщение проигнорировано.
- Не обновлены базы АВЗ. Обновите базы Файл/Обновление баз.[/COLOR]
01.10.2008, 13:44
Kset

Вложений: 3

Всё ещё верю в вашу помощь
Свежие логи со свежими базами...
01.10.2008, 13:50
Rene-gad

[QUOTE=Kset;291007]Всё ещё верю в вашу помощь[/QUOTE]Сорри, забыли о Вас.
Вопрос: в какой Галактике Вы живете?
[QUOTE]Сканирование запущено в [B]10.01.2008[/B] 4:11:04 PM[/QUOTE]
Базы АВЗ так и не обновили, так мы работать не можем.
[QUOTE]Загружена база: сигнатуры - 157571, нейропрофили - 2, микропрограммы лечения - 55, база от 06.04.2008 17:09[/QUOTE]

Системную дату установить
Обновить базы
Повторить логи.
01.10.2008, 14:56
Kset

Вложений: 3

Эм, простите, я просто стянул последнюю версию avz с офсайта(указанного у вас в правилах).
Думал что там последние базы. Сейчас всё будет.
Логи

вот
Системная дата вроде правильная о_О
1 октября 08
01.10.2008, 15:19
Rene-gad

[QUOTE=Kset;291025]Думал что там последние базы. [/QUOTE]
Не надо думать :) , достаточно прочитать правила
[QUOTE]3. Распакуйте из архива Антивирусную утилиту AVZ и поместите в новую отдельную папку. Запустите AVZ и [COLOR="Red"]обновите базы ("Файл" => "Обновление баз")[/COLOR], после чего закройте AVZ.[/QUOTE]
[QUOTE]Системная дата вроде правильная 1 октября 08[/QUOTE]
АВЗ дает 10 января 2008. Hijackthis - dito
[QUOTE]Scan saved at 5:49:33 PM, on 10.01.2008[/QUOTE]
Вы дату где устанавливаете?

Закройте все открытые приложения, кроме АVZ и Internet Explorer.
Отключите
- ПК от интернета/локалки
- Антивирус и Файрвол.
- Системное восстановление.

- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт[/URL]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\Program Files\Internet Explorer\SETUPAPI.dll','');
QuarantineFile('C:\WINXP\TEMP\EA.tmp','');
QuarantineFile('C:\WINXP\system32\drivers\amd64si.sys','');
QuarantineFile('C:\WINXP\system32\itcadvapi.dll','');
QuarantineFile('C:\WINXP\Temp\42.tmp','');
QuarantineFile('C:\WINXP\Temp\56.tmp','');
DeleteFile('C:\WINXP\Temp\56.tmp');
DeleteFile('C:\WINXP\Temp\42.tmp');
DeleteFile('C:\WINXP\system32\itcadvapi.dll');
DeleteFile('C:\WINXP\system32\drivers\amd64si.sys');
DeleteFile('C:\WINXP\TEMP\EA.tmp');
DeleteFile('C:\Program Files\Internet Explorer\SETUPAPI.dll');
BC_ImportAll;
ExecuteSysClean;
BC_DeleteSvc('amd64si.sys');
BC_Activate;
RebootWindows(true);
end.
[/CODE]

После перезагрузки:
- [url="http://virusinfo.info/showthread.php?t=10025"] Очистите [/url]темп-папки, кэш проводников и корзину.
- Закройте все программы, включая Антивирус и Файрвол, Оставьте запущенным [B]только Internet Explorer[/B]. Если он не запущен - запустите!!!
- Сделайте повторные логи по правилам.
- Включите Антвирус и Файрволл
- Подключите ПК к интернету/локалке
- Закачайте карантин по ссылке [COLOR="Red"][B]Прислать запрошенный карантин[/B][/COLOR] вверху темы (Приложение 2 правил).
- Прикрепите логи к новому сообщению.
02.10.2008, 15:29
Kset

Вложений: 3

Дату устанавливаю стандартно
Панель управления -> Дата и время(или на значке в трее)

Подозрительные процессы не исчезли, трафик тоже вроде кушает, по немного.

После очищения темпа\кэша перезагружался после появления выбора пользователей при загрузке оси. Помогло выключение компьютера на некоторое время(магия какая-то О_О)

Прикрепляю логи, дальше загружу карантин

загрузил карантин
02.10.2008, 16:35
Rene-gad

Удалите Bonjour - в Чаво есть описание.
- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт[/URL]
[CODE]
begin
SetAVZPMStatus(true);
RebootWindows(true);
end.
[/CODE]
После перезагрузки повторите логи.

[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]

[QUOTE=Kset;291674]Помогло выключение компьютера на некоторое время(магия какая-то О_О)[/QUOTE]Никакой магии - просто при ребуте RAM выгружается не полностью, это происходит только при полном отключении энергоснабжения на мин. 30 сек.
14.10.2008, 16:51
Kset

Вложений: 3

логи
15.10.2008, 18:41
Kset

Меня не забыли как в прошлый раз?:)
15.10.2008, 19:59
V_Bond

выполните скрипт
[code]
begin
ExecuteRepair(9);
RebootWindows(true);
end.
[/code]
[url]http://www.tksinc.us/downloads/WinsockXPFix.exe[/url] - попробуйте сбросить настройки ... затем сетевыйе настройки нужно будет ввести заново
22.02.2009, 08:05
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]17[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\program files\\internet explorer\\setupapi.dll - [B]Trojan.Win32.Agent.aebd[/B] (DrWEB: Trojan.KeyLogger.2466)[*] c:\\winxp\\temp\\ea.tmp - [B]Trojan-Mailfinder.Win32.Small.af[/B] (DrWEB: Trojan.EmailSpy.138)[*] c:\\winxp\\temp\\42.tmp - [B]Trojan-Mailfinder.Win32.Small.ae[/B] (DrWEB: Trojan.EmailSpy.137)[*] c:\\winxp\\temp\\56.tmp - [B]Trojan-Mailfinder.Win32.Small.ae[/B] (DrWEB: Trojan.EmailSpy.137)[/LIST][/LIST]