Warning ! Spyware detected on your computer.

Printable View

03.10.2008, 10:14
Ilya G

Вложений: 3

Warning ! Spyware detected on your computer.

Здравствуйте,

У меня проблема, которая уже не раз озвучивалась здесь..

Все те же симптомы:

- Антивирус (NOD32) и antispyware Ad-aware (Lavasoft) не могут вычистить компьютер от троянов/вируса.
- на десктопе висит грозное сообщение о том что компьютер заражен и надобно установить антивирусное п/о.
- невозможно поменять wallpaper
- если система была idle недолго, то появляется синий экран с сообщениями ошибок page_fault_in, sysinternals_great_site, unexpected_kernel_mode_trap, kmode_exception_not_handled, bogus_driver, maximum_wait_objects_exceeded и соответствующие им файлы.

Сделал все стэпы о которых говорилось в правилах, надеюсь правильно.

Пожалуйста помогите.
03.10.2008, 11:10
kps

[url=http://virusinfo.info/showthread.php?t=7239]Выполните скрипт в AVZ[/url]:
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('cscdll.dll','');
QuarantineFile('C:\WINDOWS\system32\braviax.exe','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Winvc17.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Winub74.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Winek74.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Winek17.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Winag63.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\dwshd.sys','');
QuarantineFile('C:\WINDOWS\system32\ntoskrnl.exe','');
QuarantineFile('C:\WINDOWS\system32\WinCtrl32.dll','');
QuarantineFile('C:\WINDOWS\system32\lphclppj0epd9.exe','');
QuarantineFile('C:\WINDOWS\system32\blphclppj0epd9.scr','');
QuarantineFile('c:\windows\system32\winlogon.exe','');
QuarantineFile('c:\program files\internet explorer\iexplore.exe','');
QuarantineFile('c:\windows\explorer.exe','');
QuarantineFile('c:\windows\system32\ctfmon.exe','');
DeleteFile('C:\WINDOWS\system32\blphclppj0epd9.scr');
DeleteFile('C:\WINDOWS\system32\lphclppj0epd9.exe');
DeleteFile('C:\WINDOWS\system32\WinCtrl32.dll');
DeleteFile('C:\WINDOWS\system32\WinCtrl32.dl_');
DeleteFile('C:\WINDOWS\System32\Drivers\Winag63.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Winek17.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Winek74.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Winub74.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Winvc17.sys');
DeleteFile('C:\WINDOWS\system32\braviax.exe');
DeleteFile('C:\Documents and Settings\Администратор\Local Settings\Temp\GoogleToolbarInstaller_ru.exe');
DelWinlogonNotifyByKeyName('WinCtrl32');
DeleteService('Winvc17');
DeleteService('Winub74');
DeleteService('Winek74');
DeleteService('Winek17');
DeleteService('Winag63');
DeleteService('wuauservFastUserSwitchingCompatibility');
DeleteService('wscsvcBrowserHTTPFilter');
DeleteService('WmdmPmSNHTTPFilterRSVP');
DeleteService('upnphostWudfSvc');
DeleteService('TrkWksCiSvc');
DeleteService('SwPrvPolicyAgentxmlprov');
DeleteService('SwPrvPolicyAgent');
DeleteService('stisvcmnmsrvc');
DeleteService('SSDPSRVSamSs');
DeleteService('srserviceSamSs');
DeleteService('SENSSpooler');
DeleteService('seclogonScheduleDhcp');
DeleteService('ScheduleDhcpWmiApSrv');
DeleteService('ScheduleDhcp');
DeleteService('SCardSvrSCardSvrwinmgmt');
DeleteService('SCardSvrSCardSvr');
DeleteService('SamSswuauservFastUserSwitchingCompatibility');
DeleteService('SamSsRpcSsMSDTCwscsvc');
DeleteService('SamSsRpcSs');
DeleteService('RpcSsNtmsSvcwscsvc');
DeleteService('RpcSsNtmsSvc');
DeleteService('RasManSchedule');
DeleteService('ProtectedStorageSENS');
DeleteService('PolicyAgentShellHWDetection');
DeleteService('PlugPlayMSIServerwinmgmt');
DeleteService('PlugPlayMSIServer');
DeleteService('NlaHTTPFilter');
DeleteService('Nladmadmin');
DeleteService('NetlogonSwPrvMSIServer');
DeleteService('NetlogonSwPrv');
DeleteService('NetDDESamSs');
DeleteService('NetDDElanmanserver');
DeleteService('MSIServerRemoteRegistryWmdmPmSN');
DeleteService('MSIServerRemoteRegistry');
DeleteService('MSIServerNetlogonSwPrvMSIServer');
DeleteService('MSDTCwscsvc');
DeleteService('MSDTCShellHWDetection');
DeleteService('mnmsrvcSysmonLog');
DeleteService('lanmanserverWZCSVC');
DeleteService('lanmanserverSENS');
DeleteService('ImapiServiceSwPrvPolicyAgentxmlprov');
DeleteService('HTTPFilterRSVP');
DeleteService('helpsvcNetlogon');
DeleteService('gusvcSwPrvPolicyAgent');
DeleteService('EventSystemRSVP');
DeleteService('EventSystemFastUserSwitchingCompatibilitySSDPSRVSamSs');
DeleteService('EventSystemFastUserSwitchingCompatibility');
DeleteService('EventlogEventSystemFastUserSwitchingCompatibilitySSDPSRVSamSs');
DeleteService('DnscacheSamSswuauservFastUserSwitchingCompatibility');
DeleteService('DcomLaunchWebClient');
DeleteService('DcomLaunchRpcSsEventlog');
DeleteService('DcomLaunchRpcSs');
DeleteService('COMSysAppImapiService');
DeleteService('BITSDhcp');
DeleteService('BrowserHTTPFilter');
DeleteService('AudioSrvDcomLaunchRpcSsdmadminBITSDcomLaunch');
DeleteService('AudioSrvDcomLaunchRpcSsdmadminBITS');
DeleteService('AudioSrvDcomLaunchRpcSsdmadmin');
DeleteService('AudioSrvDcomLaunchRpcSs');
DeleteService('ALGWudfSvc');
DeleteService('ALGCOMSysApp');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
ExecuteRepair(6);
ExecuteRepair(8);
ExecuteRepair(5);
RegKeyIntParamWrite( 'HKLM', 'SOFTWARE\Microsoft\Windows\CurrentVersion\policies\NonEnum', '{BDEADF00-C265-11D0-BCED-00A0C90AB50F}', 1);
RebootWindows(true);
end.[/code]

Компьютер перезагрузится.

Пришлите карантин по [url=http://virusinfo.info/showthread.php?t=1235]правилам[/url] (загружать здесь: [url]http://virusinfo.info/upload_virus.php?tid=31359[/url] ).

Очистите временные папки и кеш браузера.
Сделайте новые логи.
03.10.2008, 11:33
Ilya G

Извините, нет ответа - может что то неправильно с моими логами ?

[size="1"][color="#666686"][B][I]Добавлено через 22 минуты[/I][/B][/color][/size]

спасибо - буду продолжать.
03.10.2008, 11:37
drongo

только не забудьте nod и adaware отключить перед исполнением скрипта;)
очень много гадости, на всякий случай надо бы пройтись в сейфмоде кюритом, авптул.
03.10.2008, 15:08
Ilya G

Вложений: 3

Карантин закачал, логи прикладываю.
03.10.2008, 16:02
Rene-gad

Ad-Aware удалите. Если Вы еще сами не поняли, то скажу Вам по секрету: Пользы от него нет.

Закройте/выгрузите все программы кроме AVZ и Internet Explorer.
Отключите
- ПК от интернета/локалки
- Антивирус и Файрвол.
- Системное восстановление.

- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт[/URL]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
StopService('Winpv52');
QuarantineFile('WinCtrl32.dll','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Winpv52.sys','');
QuarantineFile('C:\autorun.inf','');
DeleteFile('WinCtrl32.dll');
DeleteFile('C:\WINDOWS\System32\Drivers\Winpv52.sys');
DeleteFile('C:\autorun.inf');
BC_ImportAll;
ExecuteSysClean;
BC_DeleteSvc('ALGCOMSysApp');
BC_DeleteSvc('ALGWudfSvc');
BC_DeleteSvc('AudioSrvDcomLaunchRpcSs');
BC_DeleteSvc('AudioSrvDcomLaunchRpcSsdmadmin');
BC_DeleteSvc('AudioSrvDcomLaunchRpcSsdmadminBITS');
BC_DeleteSvc('AudioSrvDcomLaunchRpcSsdmadminBITSDcomLaunch');
BC_DeleteSvc('BITSDhcp');
BC_DeleteSvc('BrowserHTTPFilter');
BC_DeleteSvc('ClipSrv');
BC_DeleteSvc('COMSysAppImapiService');
BC_DeleteSvc('DcomLaunchRpcSs');
BC_DeleteSvc('DcomLaunchRpcSsEventlog');
BC_DeleteSvc('DcomLaunchWebClient');
BC_DeleteSvc('DnscacheRpcLocator');
BC_DeleteSvc('DnscacheSamSswuauservFastUserSwitchingCompatibility');
BC_DeleteSvc('ERSvcTlntSvr');
BC_DeleteSvc('EventlogEventSystemFastUserSwitchingCompatibilitySSDPSRVSamSs');
BC_DeleteSvc('EventSystemFastUserSwitchingCompatibility');
BC_DeleteSvc('EventSystemFastUserSwitchingCompatibilitySSDPSRVSamSs');
BC_DeleteSvc('EventSystemRSVP');
BC_DeleteSvc('gusvcSwPrvPolicyAgent');
BC_DeleteSvc('helpsvcNetlogon');
BC_DeleteSvc('HTTPFilterRSVP');
BC_DeleteSvc('ImapiServiceSwPrvPolicyAgentxmlprov');
BC_DeleteSvc('lanmanserverSENS');
BC_DeleteSvc('lanmanserverWZCSVC');
BC_DeleteSvc('mnmsrvcSysmonLog');
BC_DeleteSvc('MSDTC');
BC_DeleteSvc('MSDTCShellHWDetection');
BC_DeleteSvc('MSDTCwscsvc');
BC_DeleteSvc('MSIServerNetlogonSwPrvMSIServer');
BC_DeleteSvc('MSIServerRemoteRegistry');
BC_DeleteSvc('MSIServerRemoteRegistryWmdmPmSN');
BC_DeleteSvc('NetDDElanmanserver');
BC_DeleteSvc('NetDDESamSs');
BC_DeleteSvc('NetlogonSwPrv');
BC_DeleteSvc('NetlogonSwPrvMSIServer');
BC_DeleteSvc('Nladmadmin');
BC_DeleteSvc('NlaHTTPFilter');
BC_DeleteSvc('PlugPlayMSIServer');
BC_DeleteSvc('PlugPlayMSIServerwinmgmt');
BC_DeleteSvc('PolicyAgentShellHWDetection');
BC_DeleteSvc('ProtectedStorageSENS');
BC_DeleteSvc('RasManSchedule');
BC_DeleteSvc('RpcSsNtmsSvc');
BC_DeleteSvc('RpcSsNtmsSvcwscsvc');
BC_DeleteSvc('SamSsRpcSs');
BC_DeleteSvc('SamSsRpcSsMSDTCwscsvc');
BC_DeleteSvc('SamSswuauservFastUserSwitchingCompatibility');
BC_DeleteSvc('SCardSvrSCardSvr');
BC_DeleteSvc('SCardSvrSCardSvrwinmgmt');
BC_DeleteSvc('ScheduleDhcp');
BC_DeleteSvc('ScheduleDhcpWmiApSrv');
BC_DeleteSvc('seclogonScheduleDhcp');
BC_DeleteSvc('SENSSpooler');
BC_DeleteSvc('srserviceSamSs');
BC_DeleteSvc('SSDPSRVSamSs');
BC_DeleteSvc('stisvcmnmsrvc');
BC_DeleteSvc('SwPrvPolicyAgent');
BC_DeleteSvc('SwPrvPolicyAgentxmlprov');
BC_DeleteSvc('TrkWksCiSvc');
BC_DeleteSvc('upnphostWudfSvc');
BC_DeleteSvc('WmdmPmSNHTTPFilterRSVP');
BC_DeleteSvc('WmiApSrvstisvc');
BC_DeleteSvc('wscsvcBrowserHTTPFilter');
BC_DeleteSvc('wuauservFastUserSwitchingCompatibility');
BC_DeleteSvc('WZCSVCProtectedStorageSENS');
BC_DeleteSvc('WZCSVCProtectedStorageSENSupnphost');
BC_DeleteSvc('Winpv52');
BC_Activate;
RebootWindows(true);
end.
[/CODE]

После перезагрузки:
- [url="http://virusinfo.info/showthread.php?t=10025"] Очистите [/url]темп-папки, кэш проводников и корзину.
- Закройте все программы, включая Антивирус и Файрвол, Оставьте запущенным [B]только Internet Explorer[/B]. Если он не запущен - запустите!!!
- Сделайте повторные логи
[CODE]virusinfo_syscure.zip
virusinfo_syscheck.zip
hijackthis.log [/CODE]
- Включите Антвирус и Файрволл
- Подключите ПК к интернету/локалке
- Закачайте карантин по ссылке [COLOR="Red"][B]Прислать запрошенный карантин[/B][/COLOR] вверху темы (Приложение 2 п.4 правил).
- Прикрепите логи к новому сообщению.
03.10.2008, 18:42
Ilya G

Вложений: 2

Удалил Лавасофт, прошел шаги.
АВЗ выдал ошибку когда делал [B]"Скрипт лечения/карантина и сбора информации для раздела "Помогите!" [/B].
Т.е. лог может быть неполный ... (?)

Логи приложил.

Спасибо.

когда закачивал [URL="http://virusinfo.info/attachment.php?attachmentid=82129&stc=1&d=1223041197"][COLOR=#0532aa]virusinfo_syscure.zip[/COLOR][/URL] то аплодер написал что этот файл уже закачан.:O

(Когда включил НОД - он сразу оповестил о троянах).
03.10.2008, 21:15
V_Bond

[URL="http://www.majorgeeks.com/downloadget.php?id=5199&file=15&evp=0d36c3ec48c6373fd5daac78f0c6a417"]скачайте [/URL]C:\WINDOWS\System32\Drivers\Winpv52.sys - force delete
выполните скрипт
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
BC_DeleteSvc('Winpv52');
BC_DeleteSvc('RpcLocatorWZCSVCProtectedStorageSENS');
BC_DeleteSvc('MSIServerEventSystemFastUserSwitchingCompatibility');
QuarantineFile('C:\WINDOWS\system32\Drivers\Winpv52.sys','');
QuarantineFile('C:\WINDOWS\system32\WinCtrl32.dll','');
DeleteFile('C:\WINDOWS\system32\WinCtrl32.dll');
DeleteFile('C:\WINDOWS\system32\Drivers\Winpv52.sys');
DeleteFile('WinCtrl32.dll');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
пришлите карантин согласно приложения 3 правил
повторите логи
22.02.2009, 08:26
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]84[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\windows\\system32\\blphclppj0epd9.scr - [B]Trojan.Win32.FraudPack.ijv[/B] (DrWEB: Trojan.Fakealert.1321)[*] c:\\windows\\system32\\winctrl32.dll - [B]Trojan-Downloader.Win32.Mutant.boi[/B] (DrWEB: BackDoor.Bulknet.225)[/LIST][/LIST]