wintems.exe

Printable View

05.11.2008, 04:40
bujuice

Вложений: 3

wintems.exe

Добрый день!

Вирус просочился при работающем bitdefender-e.
Блокирует или закрывает через несколько секунд cureit, avp, avz, hijackthis. стабильно работает только avz с расширением pif.

safe mode не загружается - синий экран.
Пожалуйста помогите вылечить.
05.11.2008, 07:12
NickGolovko

evrika.pif - AVZ?

AVZ - Файл - Выполнить скрипт, скопировать код, вставить и выполнить:

[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\mstask.dll','');
QuarantineFile('c:\windows\system32\drivers\downld\460734.exe','');
QuarantineFile('C:\WINDOWS\system32\txmlutil.dll','');
QuarantineFile('c:\windows\system32\wintems.exe','');
QuarantineFile('c:\windows\system32\drivers\winfilse.exe','');
QuarantineFile('c:\windows\system32\hotfixq0306270.exe','');
QuarantineFile('c:\documents and settings\admin\application data\m\flec006.exe','');
DeleteFile('c:\documents and settings\admin\application data\m\flec006.exe');
DeleteFile('c:\windows\system32\drivers\winfilse.exe');
DeleteFile('c:\windows\system32\wintems.exe');
DeleteFile('c:\windows\system32\drivers\downld\460734.exe');
BC_ImportALL;
BC_DeleteFile('C:\WINDOWS\system32\drivers\srosa.sys');
BC_DeleteSvc('Winpy11');
BC_DeleteSvc('is-HCRCOdrv');
BC_DeleteSvc('Megadrv3');
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]

Система перезагрузится.

После перезагрузки пришлите карантин в соответствии с правилами и повторите логи.
05.11.2008, 13:54
bujuice

Вложений: 2

готово

Спасибо за скрипт, выполнил. Hijack не запускается даже переименованный
05.11.2008, 14:05
bujuice

Вложений: 1

hijack ,log

После еще одной перезагрузки запустился.
и eureka.piv - это avz
05.11.2008, 14:05
kps

Выполните скрипт 2 раза (2-ой раз после перезагрузки):
[code]begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('%System32%\drivers\srosa.sys','');
QuarantineFile('%System32%\drivers\hldrrr.exe','');
QuarantineFile('%System32%\wintems.exe','');
QuarantineFile('%System32%\drivers\mdelk.exe','');
QuarantineFile('%System32%\mdelk.exe','');
QuarantineFile('E:\Program Files\QIP\qip.exe','');
QuarantineFile('C:\WINDOWS\system32\ctfmon.exe','');
QuarantineFile('C:\WINDOWS\system32\HotFixQ0306270.exe','');
QuarantineFile('C:\WINDOWS\system32\CTFMON.EXE','');
QuarantineFile('C:\WINDOWS\PixArt\PAC7311\Monitor.exe','');
QuarantineFile('C:\WINDOWS\PCHealth\HelpCtr\Binaries\MSConfig.exe','');
QuarantineFile('C:\Program Files\Skype\Phone\Skype.exe','');
QuarantineFile('C:\Program Files\Punto Switcher\ps.exe','');
QuarantineFile('C:\Program Files\Hewlett-Packard\HP Quick Launch Buttons\QlbCtrl.exe','');
QuarantineFile('C:\Program Files\BitDefender\BitDefender 2009\bdagent.exe','');
QuarantineFile('C:\Program Files\BitDefender\BitDefender 2009\IEShow.exe','');
QuarantineFile('C:\WINDOWS\system32\DRIVERS\tcpip.sys','');
QuarantineFile('c:\windows\system32\drivers\winfilse.exe','');
DeleteFile('c:\windows\system32\drivers\winfilse.exe');
DeleteFile('%System32%\drivers\hldrrr.exe');
DeleteFile('%System32%\drivers\srosa.sys');
DeleteFile('%System32%\wintems.exe');
DeleteFile('%System32%\drivers\mdelk.exe');
DeleteFile('%System32%\mdelk.exe');
BC_ImportALL;
ExecuteSysClean;
If DirectoryExists('%System32%\drivers\down') then
begin
DeleteFileMask('%System32%\drivers\down', '*.*', true);
DeleteDirectory('%System32%\drivers\down');
If DirectoryExists('%System32%\drivers\down') then
AddToLog('Папка down не удалена') else AddToLog('Папка down удалена');
end
else
AddToLog('Папки down нет');
If DirectoryExists('%System32%\drivers\downld') then
begin
DeleteFileMask('%System32%\drivers\downld', '*.*', true);
DeleteDirectory('%System32%\drivers\downld');
If DirectoryExists('%System32%\drivers\downld') then
AddToLog('Папка downld не удалена') else AddToLog('Папка downld удалена');
end
else
AddToLog('Папки downld нет');
If RegKeyParamExists('HKEY_CURRENT_USER', 'SOFTWARE\Microsoft\Windows\CurrentVersion\Run', 'drvsyskit') then
begin
AddToLog('Обнаружен параметр в реестре drvsyskit');
RegKeyParamDel('HKEY_CURRENT_USER', 'SOFTWARE\Microsoft\Windows\CurrentVersion\Run', 'drvsyskit');
If RegKeyParamExists('HKEY_CURRENT_USER', 'SOFTWARE\Microsoft\Windows\CurrentVersion\Run', 'drvsyskit') then
AddToLog('Ошибка удаления параметра drvsyskit') else
AddToLog('Параметр drvsyskit успешно удален');
end;
If RegKeyParamExists('HKEY_CURRENT_USER', 'SOFTWARE\Microsoft\Windows\CurrentVersion\Run', 'german.exe') then
begin
AddToLog('Обнаружен параметр в реестре german.exe');
RegKeyParamDel('HKEY_CURRENT_USER', 'SOFTWARE\Microsoft\Windows\CurrentVersion\Run', 'german.exe');
If RegKeyParamExists('HKEY_CURRENT_USER', 'SOFTWARE\Microsoft\Windows\CurrentVersion\Run', 'german.exe') then
AddToLog('Ошибка удаления параметра german.exe') else
AddToLog('Параметр german.exe успешно удален');
end;
if RegKeyExists('HKEY_CURRENT_USER', 'Software\FirstRRRun') then
begin
AddToLog('Найден ключ реестра FirstRRRun');
RegKeyDel('HKEY_CURRENT_USER', 'Software\FirstRRRun');
If RegKeyExists('HKEY_CURRENT_USER', 'Software\FirstRRRun') then
AddToLog('Ошибка удаления ключа реестра FirstRRRun') else
AddToLog('ключ реестра FirstRRRun успешно удален');
end;
BC_DeleteSvc('srosa');
BC_LogFile(GetAVZDirectory + 'boot_clr_B_d.log');
If BC_Activate then AddToLog('BootCleaner успешно активирован') else AddToLog('Внимание!!! BootCleaner не активирован!');
SaveLog(GetAVZDirectory + 'B_d.txt');
RebootWindows(true);
end. [/code]

Пришлите карантин по правилам и прикрепите логи: B_d.txt и boot_clr_B_d.log из папки AVZ + новые логи по правилам.
05.11.2008, 22:04
bujuice

Вложений: 2

Логи прилагаю, карантин размером 84 мегабайта - высылать?
05.11.2008, 22:51
V_Bond

скрипт из поста выполнялся 2 раза ?
карантин отсылать ...
05.11.2008, 23:09
kps

Почему такой большой карантин? Очистите всю папку карантина, потом выполните скрипт еще раз. Карантин потом должен быть не такой большой.
06.11.2008, 00:15
bujuice

да, в сжатом состоянии это 17 мб. отослал.

[size="1"][color="#666686"][B][I]Добавлено через 31 минуту[/I][/B][/color][/size]

скрипт выполнял 2 раза и соотв, 2 перезагрузки
06.11.2008, 08:47
NickGolovko

Вы забыли вот эту просьбу:

[QUOTE]прикрепите логи: B_d.txt и boot_clr_B_d.log из папки AVZ [/QUOTE]

Добавьте упомянутые логи, если не сложно. Вредоносное ПО не хочет умирать, нам нужно понять, почему.
06.11.2008, 11:37
bujuice

Вложений: 2

упс...

забыл, прилагаю:
06.11.2008, 12:12
Гриша

Нужно карантин смотреть, но увы с моей скоростью это очень долго, скорее всего подменены файлы в Run...
06.11.2008, 12:44
bujuice

Вложений: 1

вот список файлов карантина

[IMG]http://virusinfo.info/attachment.php?attachmentid=89731&stc=1&d=1225964579[/IMG]
06.11.2008, 13:47
Гриша

Выполните скрипт:

[CODE]begin
ClearQuarantine;
QuarantineFile('C:\WINDOWS\system32\ntbackup.exe','');
QuarantineFile('C:\WINDOWS\system32\cleanmgr.exe','');
QuarantineFile('C:\WINDOWS\system32\HotFixQ0306270.exe','');
QuarantineFile('C:\WINDOWS\system32\CTFMON.EXE','');
QuarantineFile('C:\WINDOWS\System32\wscript.exe','');
QuarantineFile('C:\WINDOWS\System32\cscript.exe','');
QuarantineFile('C:\WINDOWS\PixArt\PAC7311\Monitor.exe','');
QuarantineFile('C:\WINDOWS\PCHealth\HelpCtr\Binaries\MSConfig.exe','');
QuarantineFile('C:\Program Files\Punto Switcher\ps.exe','');
QuarantineFile('C:\Program Files\Hewlett-Packard\HP Quick Launch Buttons\QlbCtrl.exe','');
end.[/CODE]

Загрузите карантин...
06.11.2008, 14:14
bujuice

Сделано
06.11.2008, 14:20
Гриша

ps.exe-[B]Trojan-Downloader.Win32.Bagle.aff[/B]

Выполнит скрипт 2 раза!

[CODE]begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('c:\windows\system32\drivers\winfilse.exe');
DeleteFile('%System32%\drivers\hldrrr.exe');
DeleteFile('%System32%\drivers\srosa.sys');
DeleteFile('%System32%\wintems.exe');
DeleteFile('%System32%\drivers\mdelk.exe');
DeleteFile('%System32%\mdelk.exe');
DeleteFile('C:\Program Files\Punto Switcher\ps.exe');
BC_ImportALL;
ExecuteSysClean;
If DirectoryExists('%System32%\drivers\down') then
begin
DeleteFileMask('%System32%\drivers\down', '*.*', true);
DeleteDirectory('%System32%\drivers\down');
If DirectoryExists('%System32%\drivers\down') then
AddToLog('Папка down не удалена') else AddToLog('Папка down удалена');
end
else
AddToLog('Папки down нет');
If DirectoryExists('%System32%\drivers\downld') then
begin
DeleteFileMask('%System32%\drivers\downld', '*.*', true);
DeleteDirectory('%System32%\drivers\downld');
If DirectoryExists('%System32%\drivers\downld') then
AddToLog('Папка downld не удалена') else AddToLog('Папка downld удалена');
end
else
AddToLog('Папки downld нет');
If RegKeyParamExists('HKEY_CURRENT_USER', 'SOFTWARE\Microsoft\Windows\CurrentVersion\Run', 'drvsyskit') then
begin
AddToLog('Обнаружен параметр в реестре drvsyskit');
RegKeyParamDel('HKEY_CURRENT_USER', 'SOFTWARE\Microsoft\Windows\CurrentVersion\Run', 'drvsyskit');
If RegKeyParamExists('HKEY_CURRENT_USER', 'SOFTWARE\Microsoft\Windows\CurrentVersion\Run', 'drvsyskit') then
AddToLog('Ошибка удаления параметра drvsyskit') else
AddToLog('Параметр drvsyskit успешно удален');
end;
If RegKeyParamExists('HKEY_CURRENT_USER', 'SOFTWARE\Microsoft\Windows\CurrentVersion\Run', 'german.exe') then
begin
AddToLog('Обнаружен параметр в реестре german.exe');
RegKeyParamDel('HKEY_CURRENT_USER', 'SOFTWARE\Microsoft\Windows\CurrentVersion\Run', 'german.exe');
If RegKeyParamExists('HKEY_CURRENT_USER', 'SOFTWARE\Microsoft\Windows\CurrentVersion\Run', 'german.exe') then
AddToLog('Ошибка удаления параметра german.exe') else
AddToLog('Параметр german.exe успешно удален');
end;
if RegKeyExists('HKEY_CURRENT_USER', 'Software\FirstRRRun') then
begin
AddToLog('Найден ключ реестра FirstRRRun');
RegKeyDel('HKEY_CURRENT_USER', 'Software\FirstRRRun');
If RegKeyExists('HKEY_CURRENT_USER', 'Software\FirstRRRun') then
AddToLog('Ошибка удаления ключа реестра FirstRRRun') else
AddToLog('ключ реестра FirstRRRun успешно удален');
end;
BC_DeleteSvc('srosa');
BC_LogFile(GetAVZDirectory + 'boot_clr_B_d.log');
If BC_Activate then AddToLog('BootCleaner успешно активирован') else AddToLog('Внимание!!! BootCleaner не активирован!');
SaveLog(GetAVZDirectory + 'B_d.txt');
ExecuteRepair(10);
RebootWindows(true);
end.[/CODE]

Повторите логи...
07.11.2008, 00:39
bujuice

Вложений: 3

вылечил

похоже все чисто - прошелся cure-it, затем avz:
07.11.2008, 09:17
NickGolovko

Да, на этот раз зачистилось успешно. Оригинальная идея - замаскировать загрузчик под Punto Switcher. :)
07.11.2008, 10:43
kps

[QUOTE=NickGolovko;306762]Да, на этот раз зачистилось успешно. Оригинальная идея - замаскировать загрузчик под Punto Switcher. :)[/QUOTE]

Идея состоит не в конкретной подмене PS, а в том, что данный червь проверяет в автозапуске то, что прописано в ключе Run у пользователя и может подменить любой файл, прописанный в этом ключе автозапуска, своим зловредным файлом. Оригинальный файл при этом удаляется.
07.11.2008, 14:43
bujuice

Спасибо за исцеление компа! :)