Не могу победить трояны Generic.dx и Cutwail.gen

Printable View

17.12.2008, 20:29
Кромвель

Не могу победить трояны Generic.dx и Cutwail.gen

Добрый день, уважаеме господа. Прошу помощи в борьбе с троянами Generic.dx и Cutwail.gen. Внимательно прочитав Ваши рекомендации селал все как рекомендуется, но не помогло. Сформировал диагностические файлы и предоставляю Вам с надеждой помощи. У меня установлен антивир McAfee и я не знаю как его отключить перед диагностикой. Поэтому всю диагностику делал с включенным. Снести его боюсь, так как он блокирует троянов. Буду очень Вам признателен за помощь.
17.12.2008, 20:51
V_Bond

выполните скрипт
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('netwrp.dll','');
QuarantineFile('WinCtrl32.dll','');
DeleteService('Winul42');
DeleteService('Winqx64');
DeleteService('Winhn31');
DeleteService('Winfn42');
DeleteService('Winem07');
DeleteService('Winel41');
QuarantineFile('C:\WINDOWS\System32\Drivers\Winem07.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Winel41.sys','');
DeleteService('UIUSys');
QuarantineFile('C:\WINDOWS\system32\DRIVERS\UIUSYS.SYS','');
DeleteService('ati8lsxx');
DeleteService('ati8hoxx');
DeleteService('ati8fmxx');
DeleteService('ati8bixx');
DeleteService('ati6jpxx');
DeleteService('ati6hoxx');
DeleteService('ati5ioxx');
DeleteService('ati3wexx');
DeleteService('ati3ryxx');
DeleteService('ati3krxx');
DeleteService('ati3jqxx');
DeleteService('ati0jrxx');
DeleteService('ati0gnxx');
QuarantineFile('C:\WINDOWS\System32\Drivers\ati0jrxx.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\ati0gnxx.sys','');
DeleteFile('C:\WINDOWS\System32\Drivers\ati0gnxx.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\ati0jrxx.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\ati3jqxx.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\ati3krxx.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\ati3ryxx.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\ati3wexx.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\ati5ioxx.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\ati6hoxx.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\ati6jpxx.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\ati6tdxx.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\ati8bixx.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\ati8fmxx.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\ati8hoxx.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\ati8lsxx.sys');
DeleteFile('C:\WINDOWS\system32\DRIVERS\btwdndis.sys');
DeleteFile('C:\WINDOWS\system32\DRIVERS\btwhid.sys');
DeleteFile('C:\WINDOWS\system32\Drivers\btwusb.sys');
DeleteFile('C:\WINDOWS\system32\DRIVERS\UIUSYS.SYS');
DeleteFile('C:\WINDOWS\System32\Drivers\Winel41.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Winem07.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Winfn42.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Winhn31.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Winqx64.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Winul42.sys');
DeleteFile('WinCtrl32.dll');
DeleteFile('netwrp.dll');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
пришлите карантин согласно приложения 3 правил
повторите логи
17.12.2008, 23:01
Кромвель

любезно предоставленный Вами скрипт выполнен без ошибок, карантин я Вам переслал, проблема не исчезла. Повторно логи предоставлю завтра.
18.12.2008, 00:06
Кромвель

предоставляю повторные логи, буду благодарен за дальнейшие рекомендации.
18.12.2008, 09:23
V_Bond

отключите восстановление системы !
выполните скрипт
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteService('Winwe75');
DeleteService('Winry76');
DeleteService('Wingn07');
DeleteService('Windc75');
QuarantineFile('C:\WINDOWS\System32\Drivers\Winwe75.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Winry76.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Wingn07.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Windc75.sys','');
QuarantineFile('c:\documents and settings\dasha\s87ekhv.exe','');
DeleteFile('c:\documents and settings\dasha\s87ekhv.exe');
DeleteFile('C:\WINDOWS\System32\Drivers\Windc75.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Wingn07.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Winry76.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Winwe75.sys');
DeleteFile('WinCtrl32.dll');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
пришлите карантин согласно приложения 3 правил
повторите логи
18.12.2008, 10:06
Кромвель

скрипт выполнен без ошибок, повторные логи готовлю. Прошу Вас указать после выполнения скрипта мне включить восстановление системы или оставить отключенным???
18.12.2008, 10:15
V_Bond

восстановление не включать до конца лечения ...
18.12.2008, 10:23
Кромвель

скажите, пожалуйста, при формировании файлов AVZ выполнять проверку дисков???
18.12.2008, 11:13
V_Bond

какую проверку ?
18.12.2008, 12:32
Кромвель

новые логи
18.12.2008, 12:35
Кромвель

запрашиваемый файл карантина отправлен. Жду дальнейших рекомендаций.
18.12.2008, 12:43
V_Bond

выполните скрипт
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\MSNCHATHOOK.DLL','');
QuarantineFile('C:\Documents and Settings\Dasha\drwvas.exe','');
DeleteService('Winsa20');
DeleteService('Winnu75');
DeleteService('Winhp53');
DeleteFile('C:\WINDOWS\System32\Drivers\Winhp53.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Winnu75.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Winsa20.sys');
DeleteFile('C:\Documents and Settings\Dasha\drwvas.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
пришлите карантин согласно приложения 3 правил
повторите логи
18.12.2008, 14:53
Кромвель

повторные логи
18.12.2008, 16:19
Кромвель

Уважаемый, Сеньйор ХЕЛПЕР, скажите, сегодня еще рекомендации будут??? хотелось бы знать есть шанс излечить комп без переустановки винды и форматирования винта???
18.12.2008, 17:19
V_Bond

пофиксите
[code]
O20 - Winlogon Notify: netwrp - C:\WINDOWS\
O20 - Winlogon Notify: WinCtrl32 - C:\WINDOWS\
[/code]
что с проблемами ?
18.12.2008, 19:41
Кромвель

профиксил по указаным Вами кодам, McAfee троянов пока не обнаруживает, комп самовльно не перегружается. Надеюсь что всё закончилось, но я думаю окончательно это станет понятно в ближайшие несколько дней.
31.01.2009, 00:46
Кромвель

Прошу Вас помочь.
Старые проблемы (или скорее всего уже новые) появились на компе. Буду рад любой Вашей помощи.
01.02.2009, 21:18
AndreyKa

Закройте все программы.
Запустите AVZ.
Выполните скрипт через меню Файл:
[code]
begin
SetAVZGuardStatus(True);
ClearQuarantine;
QuarantineFile('C:\DOCUME~1\Dasha\LOCALS~1\Temp\a.exe','');
QuarantineFile('C:\DOCUME~1\Dasha\LOCALS~1\Temp\~tmpa.exe','');
QuarantineFile('c:\docume~1\dasha\locals~1\temp\~tmpc.exe','');
QuarantineFile('c:\docume~1\dasha\locals~1\temp\a.exe','');
DeleteFile('c:\docume~1\dasha\locals~1\temp\a.exe');
DeleteFile('c:\docume~1\dasha\locals~1\temp\~tmpc.exe');
SysCleanAddFile('C:\Acer\Empowering Technology\eLock\Monitor\LaunchMonitor.exe');
DeleteFile('C:\DOCUME~1\Dasha\LOCALS~1\Temp\~tmpa.exe');
DeleteFile('C:\DOCUME~1\Dasha\LOCALS~1\Temp\a.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
Компьютер перезагрузится.
Пришлите файлы из карантина AVZ (см. приложение 3 Правил) используя ссылку [color=red][b][u]Прислать запрошенный карантин[/u][/b][/color] верху этой темы.
[b]Обновите базы AVZ[/b].
Сделайте новый лог из пункта 2 Диагностики и приложите к этой теме.
02.02.2009, 15:07
Кромвель

Уважаемый Хелпер, я не дождался ответа в этой теме и открыл новую. [URL]http://virusinfo.info/showthread.php?p=342388[/URL]

Но возникли новые проблемы с которыми я не могу справиться.
Помогите пожалуйста.
03.02.2009, 15:07
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]3[/B][*]Обработано файлов: [B]26[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\documents and settings\\dasha\\drwvas.exe - [B]Trojan-Dropper.Win32.Agent.absu[/B] (DrWEB: Trojan.DownLoad.2077)[/LIST][/LIST]