Trojan + backdoor (run32.dll, System.exe, HBService32, ...)

Printable View

10.11.2008, 01:20
ika

Trojan + backdoor (run32.dll, System.exe, HBService32, ...)

Здравствуйте
Недавно обнаружил, что мой компьютер заражён вирусом (заметил подозрительные файлы в корне каждого диска). Я вручную удалил все подозрительные файлы и очистил реестр (пользовался руководством), после чего Windows вообще перестал загружаться и пришлось выполнить переустановку (+дефрагментация диска С).
Затем я провел 1 день в поиске драйвера для видео карты (она встроена в материнской плате PM9MS) и вирус вновь проявил себя (4 процессы с именем run32.dll).
Новый вирус сильно отличается от старого, хотя оба мешали запустить avz даже с другим именем (оказалось, что вирус перехватывал действия мыши и клавиатуры).
В данный момент я ищу драйвера и любого работоспособного антивируса. Жду от вас ответа. Спасибо заранее!
10.11.2008, 01:51
akok

[URL="http://virusinfo.info/showthread.php?t=7239"]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".[/URL]

[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
SetServiceStart('HBKernel32', 4);
SetServiceStart('d7b49fa', 4);
SetServiceStart('c39e8db', 4);
QuarantineFile('C:\WINDOWS\system32\ntoskrnl.exe','');
QuarantineFile('C:\DOCUME~1\Irakli\LOCALS~1\Temp\s3chipid.sys','');
QuarantineFile('C:\WINDOWS\system32\drivers\HBKernel32.sys','');
QuarantineFile('C:\WINDOWS\system32\d7b49fa.sys','');
QuarantineFile('C:\WINDOWS\system32\c39e8db.sys','');
QuarantineFile('dwshd.sys','');
QuarantineFile('C:\Program Files\Mozilla Firefox\xul.dll','');
QuarantineFile('C:\DOCUME~1\Irakli\LOCALS~1\Temp\wmsetup.dll','');
QuarantineFile('c:\program files\counterpath\x-lite\x-lite.exe','');
QuarantineFile('c:\windows\svchost.exe','');
DeleteFile('C:\DOCUME~1\Irakli\LOCALS~1\Temp\wmsetup.dll');
DeleteFile('C:\WINDOWS\System32\Drivers\dwshd.sys');
DeleteFile('dwshd.sys');
DeleteFile('C:\WINDOWS\system32\c39e8db.sys');
DeleteFile('C:\WINDOWS\system32\d7b49fa.sys');
DeleteFile('C:\WINDOWS\system32\drivers\HBKernel32.sys');
DeleteFile('c:\windows\svchost.exe');
DeleteFile('C:\WINDOWS\svchost.exe');
DeleteService('c39e8db');
DeleteService('HBKernel32');
DeleteService('d7b49fa');
BC_ImportALL;
ClearHostsFile;
BC_Activate;
RebootWindows(true);
end.
[/code]
После выполнения скрипта компьютер перезагрузится.
Пришлите карантин согласно приложению 3 правил

Повторите логи.
10.11.2008, 02:22
ika

1. Получили ли virus.zip?
2. Нужно ли переустановить Windows?
3. Нужно ли переустановить зараженные программы?
4. Explorer не работает. что делать?
5. Нечего, что во время выполнения скриптов, в верхней панели avz было отмечено только C диск?
10.11.2008, 02:24
ika

Только-что очередной раз удалил из процессов run32.dll
10.11.2008, 09:45
AndreyKa

1. Да.
2. Это вам решать.
3. Какие программы и чем зараженные?
4. Для начала попробуйте установить Service Pack 3 на Windows.
5. Это нормально.
10.11.2008, 09:59
AndreyKa

Закройте все программы.
Запустите AVZ.
Выполните скрипт через меню Файл:
[code]
Begin
ClearQuarantine;
SetAVZGuardStatus(True);
ExecuteRepair(8);
ExecuteRepair(16);
ExecuteRepair(13);
BC_DeleteSvc('PowerManager');
BC_DeleteSvc('c39e8db');
BC_DeleteSvc('d7b49fa');
BC_DeleteSvc('HBKernel32');
DeleteFile('C:\WINDOWS\svchost.exe');
DeleteFile('C:\Documents and Settings\Irakli\DoctorWeb\Quarantine\svchost0.exe');
DeleteFile('C:\Documents and Settings\Irakli\DoctorWeb\Quarantine\svchost.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
Компьютер перезагрузится.

Сделайте новый лог по пункту 2 Диагностики и приложите к этой теме.

Установите Adobe Acrobat 9 или удалите старый.
10.11.2008, 12:47
ika

Скрипт выполнен. Acrobat 6 удален.
10.11.2008, 13:44
AndreyKa

[quote=AndreyKa]Какие программы и чем зараженные?[/quote]
Отвечаю на свой вопрос сам.
Win32.HLLP.Jeefo.36352

[B]Ika[/B], вы поставьте какой-нибудь антивирус. А то это никогда не прекратиться.
10.11.2008, 14:08
ika

Давно ждал этого совета, а какой антивирус?
В плане у меня переустановка Windows-а и установка dr.web-а, но во первых пока на дисках D,E,F есть вирусы переустановка Windows-а бессмысленно, а во вторих нужен новый ключ для Dr.Web.
11.11.2008, 00:48
ika

Я ошибался и не делал полную проверку с помощью утилиты cureIt. На этот раз выполнял полную проверку и удалил порядка 500 вирусов. Посмотрите ещё раз логи, пожалуйста.

P.S. Можно ли установить антивирус на зараженном компьютере?
11.11.2008, 02:03
AndreyKa

Установить антивирус для вас единственная альтернатива переустановки системы.
Поставьте один из тех, которые детектируют вирус как Jeefo или Hidrag:
[url]http://www.virustotal.com/ru/analisis/00741128c89456f715022339f6c2e122[/url]
СureIt не проверяет архивы и если есть зараженные файлы на СD или флешке то компьютер без антивируса снова будет заражен.

Закройте все программы.
Запустите AVZ.
Выполните скрипт через меню Файл:
[code]
begin
SetAVZGuardStatus(True);
ClearQuarantine;
QuarantineFile('c:\windows\system32\hbzhuxian.dll','');
QuarantineFile('C:\WINDOWS\system32\upnpsrv.dll','');
QuarantineFile('C:\WINDOWS\system32\HBmhly.dll','');
QuarantineFile('C:\WINDOWS\system32\E4814792.dll','');
QuarantineFile('C:\WINDOWS\system32\66AFCB56.dll','');
QuarantineFile('C:\WINDOWS\system32\01AFE3DC.dll','');
QuarantineFile('C:\WINDOWS\MKMKrnl.dll','');
QuarantineFile('C:\WINDOWS\system32\drivers\HBKernel32.sys','');
DeleteService('HBKernel32');
DeleteService('d7b49fa');
DeleteService('ca99d57');
QuarantineFile('C:\WINDOWS\system32\ca99d57.sys','');
QuarantineFile('C:\WINDOWS\system32\d7b49fa.sys','');
DeleteService('c39e8db');
QuarantineFile('C:\WINDOWS\system32\c39e8db.sys','');
QuarantineFile('C:\WINDOWS\system32\HBZHUXIAN.dll','');
QuarantineFile('C:\WINDOWS\System32\HBmhly.dll','');
QuarantineFile('C:\WINDOWS\system32\F8E07BB2.dll','');
QuarantineFile('C:\WINDOWS\system32\F65BDEC7.dll','');
QuarantineFile('C:\WINDOWS\system32\F2CBFAC4.dll','');
QuarantineFile('C:\WINDOWS\system32\E3367679.dll','');
QuarantineFile('C:\WINDOWS\system32\E0D39066.dll','');
QuarantineFile('C:\WINDOWS\system32\DA63E650.dll','');
QuarantineFile('C:\WINDOWS\system32\D7C79813.dll','');
QuarantineFile('C:\WINDOWS\system32\C8FFD223.dll','');
QuarantineFile('C:\WINDOWS\system32\BA7EDF54.dll','');
QuarantineFile('C:\WINDOWS\system32\B3721C07.dll','');
QuarantineFile('C:\WINDOWS\system32\actxprxy.dll','');
QuarantineFile('C:\WINDOWS\system32\9F684DE8.dll','');
QuarantineFile('C:\WINDOWS\system32\9CA963CA.dll','');
QuarantineFile('C:\WINDOWS\system32\93DEE065.dll','');
QuarantineFile('C:\WINDOWS\system32\70B0129E.dll','');
QuarantineFile('C:\WINDOWS\system32\5934EA2B.dll','');
QuarantineFile('C:\WINDOWS\system32\58FF3024.dll','');
QuarantineFile('C:\WINDOWS\system32\5243F5FA.dll','');
QuarantineFile('C:\WINDOWS\system32\4D023DE9.dll','');
QuarantineFile('C:\WINDOWS\system32\43ACDCC5.dll','');
QuarantineFile('C:\WINDOWS\system32\3F21AA0C.dll','');
QuarantineFile('C:\WINDOWS\system32\2EF0D734.dll','');
QuarantineFile('C:\WINDOWS\system32\122B901E.dll','');
QuarantineFile('C:\WINDOWS\system32\08223B03.dll','');
QuarantineFile('c:\windows\system32\system.exe','');
DeleteFile('c:\windows\system32\system.exe');
DeleteFile('C:\WINDOWS\system32\08223B03.dll');
DeleteFile('C:\WINDOWS\system32\122B901E.dll');
DeleteFile('C:\WINDOWS\system32\2EF0D734.dll');
DeleteFile('C:\WINDOWS\system32\3F21AA0C.dll');
DeleteFile('C:\WINDOWS\system32\43ACDCC5.dll');
DeleteFile('C:\WINDOWS\system32\4D023DE9.dll');
DeleteFile('C:\WINDOWS\system32\5243F5FA.dll');
DeleteFile('C:\WINDOWS\system32\58FF3024.dll');
DeleteFile('C:\WINDOWS\system32\5934EA2B.dll');
DeleteFile('C:\WINDOWS\system32\66AFCB56.dll');
DeleteFile('C:\WINDOWS\system32\70B0129E.dll');
DeleteFile('C:\WINDOWS\system32\93DEE065.dll');
DeleteFile('C:\WINDOWS\system32\9CA963CA.dll');
DeleteFile('C:\WINDOWS\system32\9F684DE8.dll');
DeleteFile('C:\WINDOWS\system32\B3721C07.dll');
DeleteFile('C:\WINDOWS\system32\BA7EDF54.dll');
DeleteFile('C:\WINDOWS\system32\C8FFD223.dll');
DeleteFile('C:\WINDOWS\system32\D7C79813.dll');
DeleteFile('C:\WINDOWS\system32\DA63E650.dll');
DeleteFile('C:\WINDOWS\system32\E0D39066.dll');
DeleteFile('C:\WINDOWS\system32\E3367679.dll');
DeleteFile('C:\WINDOWS\system32\F2CBFAC4.dll');
DeleteFile('C:\WINDOWS\system32\F65BDEC7.dll');
DeleteFile('C:\WINDOWS\system32\F8E07BB2.dll');
DeleteFile('C:\WINDOWS\System32\HBmhly.dll');
DeleteFile('C:\WINDOWS\system32\HBZHUXIAN.dll');
DeleteFile('C:\WINDOWS\system32\c39e8db.sys');
DeleteFile('C:\WINDOWS\system32\d7b49fa.sys');
DeleteFile('C:\WINDOWS\system32\ca99d57.sys');
DeleteFile('C:\WINDOWS\system32\drivers\HBKernel32.sys');
DeleteFile('C:\WINDOWS\MKMKrnl.dll');
DeleteFile('C:\WINDOWS\system32\01AFE3DC.dll');
DeleteFile('C:\WINDOWS\system32\E4814792.dll');
DeleteFile('C:\WINDOWS\system32\HBmhly.dll');
DeleteFile('c:\windows\system32\hbzhuxian.dll');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
Компьютер перезагрузится.
Пришлите файлы из карантина AVZ (см. приложение 3 Правил) используя ссылку [color=red][b][u]Прислать запрошенный карантин[/u][/b][/color] верху этой темы.

Сделайте новый лог из пункта 2 Диагностики и приложите к этой теме.
11.11.2008, 02:46
ika

Вот лог.
11.11.2008, 03:47
AndreyKa

На данный момент чисто.

Запустите AVZ.
Выполните скрипт через меню Файл:
[code]
begin
ClearQuarantine;
SysCleanAddFile('hbzhuxian.dll');
ExecuteSysClean;
end.
[/code]
11.11.2008, 14:05
ika

[quote=AndreyKa;308137]На данный момент чисто.
[/code][/quote]

Скрипт выполнен, жалоб нет. Ещё раз огромное вам спасибо!