Penetrator [Trojan-Downloader.Win32.VB.bnp, ]

Printable View

01.01.2009, 19:20
IRON PRIEST

Penetrator [Trojan-Downloader.Win32.VB.bnp, ]

На компьютере у знакомой вчера исчезли все аудио файлы, а на фото-файлах и вордовских файлах отображается рисунок Penetrator.

При открытии любого текста появляется вот это:

*НА… ПОСЛАНА, …., ТЕПЕРЬ ТЫ НЕ ВЕРНЁШЬ СВОИ ДАННЫЕ!!А Я БУДУ ХОДИТЬ РЯДОМ И СМЕЯТЬСЯ НАД ТЕМ КАК ТЫ, …., ИШЕШЬ ВИНОВНИКА!! …. …. , …. ….!! ХАХАХАХ \Penetrator\
MY ICQ: 402974020
JB17*
01.01.2009, 20:22
CyberHelper

1. Выполните скрипт AVZ (Файл/выполнить скрипт):
[CODE]
begin
SetAVZGuardStatus(True);
ClearQuarantine;
QuarantineFile('C:\WINDOWS\system32\DETER177\lsass.exe','');
QuarantineFile('C:\WINDOWS\system32\DETER177\smss.exe','');
QuarantineFile('C:\WINDOWS\system32\DETER177\svсhоst.exe','');
QuarantineFile('C:\WINDOWS\system32\DETER177\*.exe','');
QuarantineFile('c:\windows\system32\аhtоmsys19.exe','');
TerminateProcessByName('c:\windows\system32\deter177\smss.exe');
TerminateProcessByName('C:\WINDOWS\system32\DETER177\lsass.exe');
TerminateProcessByName('C:\WINDOWS\system32\DETER177\smss.exe');
QuarantineFile('c:\windows\system32\deter177\smss.exe','');
DeleteFile('c:\windows\system32\deter177\smss.exe');
DeleteFile('C:\WINDOWS\system32\DETER177\smss.exe');
DeleteFile('C:\WINDOWS\system32\DETER177\svсhоst.exe');
DeleteFile('C:\WINDOWS\system32\DETER177\lsass.exe');
DeleteFile('c:\windows\system32\аhtоmsys19.exe');
BC_ImportAll;
ExecuteSysClean;
ExecuteWizard('TSW', 2, 2, true);
BC_Activate;
RebootWindows(true);
end.
[/CODE]
В ходе выполнения скрипта компьютер перезагрузится, после чего пришлите пожалуйста содержимое карантина AVZ согласно правилам

2. Повторите исследование и приложите новые протоколы для контроля, а также сообщите, исчезли проблемы или нет.
01.01.2009, 21:20
IRON PRIEST

Так. скрипт выполнен. Исследование выполнено заново. Логи:

Поведение компьютера осталось без изменений(((
01.01.2009, 21:35
Зайцев Олег

[quote=IRON PRIEST;328522]Так. скрипт выполнен. Исследование выполнено заново. Логи:

Поведение компьютера осталось без изменений((([/quote]
Не удивительно, зверь по прежнему виден в логах.
Выполните скрипт:
[code]
begin
SetAVZGuardStatus(True);
ClearQuarantine;
TerminateProcessByName('c:\windows\system32\аhtоmsys19.exe');
TerminateProcessByName('c:\windows\system32\deter177\smss.exe');
TerminateProcessByName('C:\WINDOWS\system32\DETER177\lsass.exe');
TerminateProcessByName('C:\WINDOWS\system32\DETER177\smss.exe');
SetupAVZ('SCAN='C:\WINDOWS\system32');
SetupAVZ('DelVir=Y');
RunScan;
DeleteFile('c:\windows\system32\deter177\smss.exe');
DeleteFile('C:\WINDOWS\system32\DETER177\smss.exe');
DeleteFile('C:\WINDOWS\system32\DETER177\svсhоst.exe');
DeleteFile('C:\WINDOWS\system32\DETER177\lsass.exe');
DeleteFile('c:\windows\system32\аhtоmsys19.exe');
DeleteFileMask('C:\WINDOWS\system32\DETER177','*.exe', false);
BC_ImportAll;
ExecuteSysClean;
ExecuteWizard('TSW', 2, 2, true);
BC_Activate;
RebootWindows(true);
end.
[/code]
При копировании следует обратить особое внимание на то, что при копировании скрипта в буфер и вставке его в AVZ нужно включить русскую раскладку клавиатуры !! Дело в том, что в именах файлов есть русские буквы, идентичные по начертанию с латинскими.
2. Точно отключены все антивирусы и аналогичное им защитное ПО ?
01.01.2009, 22:30
IRON PRIEST

Что-то ничего не получается
01.01.2009, 22:37
Зайцев Олег

[quote=IRON PRIEST;328532]Что-то ничего не получается[/quote]
У этого зловреда иконка имеет вид папки, поэтому можно запускать его с флешки не замечаяя этого. Но в общем странная ситуация - положенный по правилам DrWEB CureIT его детектит и лечит, AVZ его тоже детектит и лечит, предложенные скрипты его убивают ...
Попробуйте еще раз скрипт:
[CODE]
begin
SetAVZGuardStatus(True);
ClearQuarantine;
TerminateProcessByName('c:\windows\system32\аhtоmsys19.exe');
TerminateProcessByName('c:\windows\system32\deter177\smss.exe');
TerminateProcessByName('C:\WINDOWS\system32\DETER177\lsass.exe');
TerminateProcessByName('C:\WINDOWS\system32\DETER177\smss.exe');
SetupAVZ('SCAN=C:\WINDOWS\system32');
SetupAVZ('DelVir=Y');
RunScan;
DeleteFile('c:\windows\system32\deter177\smss.exe');
DeleteFile('C:\WINDOWS\system32\DETER177\smss.exe');
DeleteFile('C:\WINDOWS\system32\DETER177\svсhоst.exe');
DeleteFile('C:\WINDOWS\system32\DETER177\lsass.exe');
DeleteFile('c:\windows\system32\аhtоmsys19.exe');
DeleteFileMask('C:\WINDOWS\system32\DETER177','*.exe', false);
BC_ImportAll;
ExecuteSysClean;
ExecuteWizard('TSW', 2, 2, true);
BC_Activate;
RebootWindows(true);
end.
[/CODE]
Он должен прибить зловреда с гарантией, я проверил это на полигоне на данном звере
02.01.2009, 03:38
kps

После вышеуказанных рекомедаций, выполните еще такой скрипт:
[code]begin
ClearQuarantine;
SetAVZGuardStatus(True);
QuarantineFile('c:\program files\google\googletoolbar1.dll','');
QuarantineFile('C:\PROGRA~1\MYCENT~1\InfoBar\MYCENT~1.DLL','');
QuarantineFile('C:\Program Files\Common Files\Windows Live\.cache\c5bde6401c9660b\fssclient_x86.msi','');
QuarantineFile('C:\WINDOWS\Installer\125d17.msi','');
QuarantineFile('C:\Program Files\Mozilla Firefox\extensions\[email protected]\components\fftma.dll','');
DeleteFile('C:\Program Files\Mozilla Firefox\extensions\[email protected]\components\fftma.dll');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]

Пришлите карантин по [url=http://virusinfo.info/showthread.php?t=1235]правилам[/url].
Сделайте новые логи.
22.02.2009, 09:43
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]17[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\windows\\system32\\deter177\\lsass.exe - [B]Trojan-Downloader.Win32.VB.bnp[/B] (DrWEB: Win32.HLLW.Kati)[*] c:\\windows\\system32\\deter177\\smss.exe - [B]Trojan-Downloader.Win32.VB.bnp[/B] (DrWEB: Win32.HLLW.Kati)[*] c:\\windows\\system32\\deter177\\svсhоst.exe - [B]Trojan-Downloader.Win32.VB.bnp[/B] (DrWEB: Win32.HLLW.Kati)[*] c:\\windows\\system32\\аhtоmsys19.exe - [B]Trojan-Downloader.Win32.VB.bnp[/B] (DrWEB: Win32.HLLW.Kati)[/LIST][/LIST]