winde32.exe [Worm.Win32.AutoRun.shy, Worm.Win32.Agent.ko ]

Printable View

09.01.2009, 11:00
Yuri

Вложений: 3

winde32.exe [Worm.Win32.AutoRun.shy, Worm.Win32.Agent.ko ]

такой вот злодей обосновался на компе и съемных носителях (флешка, фотоаппарат). CureIt его находит , но не удаляет а куда то перемещает. Нод32 вообще не видит. И в последнее время с инета стали автоматически загружаться вирусы (не при каждом подключении), Нод32 на это реагирует сообщением "множественные проникновения". После этого CureIt находил такие вирусы как dead.exe, lool.exe.
Winde32.exe создает файлы "авторан", которые легко удаляются, а сам exe-шник удалить никак не получается. может он связан и с автоматической загрузкой вирусов с инета, не знаю. Надеюсь на вашу помощь.
09.01.2009, 11:11
Макcим

Выполните скрипт[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
SetAVZPMStatus(true);
QuarantineFile('C:\WINDOWS\system32\drivers\oreans32.sys','');
QuarantineFile('c:\windows\svcadmin.exe','');
DeleteFile('C:\Program Files\ASWPro\ASWPro.exe');
DeleteFile('C:\WINDOWS\system32\amvo.exe');
DeleteFile('msfun80.exe');
DeleteFile('msime82.exe');
BC_ImportALL;
BC_DeleteSvc('AntiSpyWareProFilter');
BC_DeleteSvc('ATE_PROCMON');
BC_DeleteSvc('RTCore32');
BC_DeleteSvc('vaxscsi');
BC_DeleteSvc('iteio');
BC_Activate;
ExecuteSysClean;
ExecuteWizard('TSW', 1, 1, true);
ExecuteWizard('BT', 1, 1, true);
RebootWindows(true);
end.[/CODE]Загрузите карантин согласно приложению №3 правил. Повторите логи.
09.01.2009, 17:46
Yuri

Вложений: 3

такое ощущение что флешку и фотоаппарат AVZ не проверял, хотя я ставил там галочки
10.01.2009, 14:20
Yuri

проверил сегодня CureIT-ом. Опять нашел winde32.exe.
какие дальнейшие мои действия?
10.01.2009, 17:31
Aleksandra

1. Отключите восстановление системы и антивирус.
2. [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ:[/URL]

[code]begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
TerminateProcessByName('c:\windows\svcadmin.exe');
TerminateProcessByName('c:\windows\system32\freezescreensaver.exe');
QuarantineFile('C:\WINDOWS\system32\FreezeScreenSaver.exe','');
QuarantineFile('C:\WINDOWS\svcadmin.exe','');
DeleteFile('C:\WINDOWS\svcadmin.exe');
DeleteFile('C:\WINDOWS\system32\FreezeScreenSaver.exe');
BC_ImportAll;
ExecuteSysClean;
ExecuteRepair(13);
BC_DeleteSvc('FreezeScreenSaver');
BC_DeleteSvc('Anyplace Control Security');
BC_Activate;
RebootWindows(true);
end.[/code]После выполнения скрипта компьютер перезагрузится!
Пришлите карантин согласно [B]приложению 3[/B] [URL="http://virusinfo.info/showthread.php?t=1235"]правил.[/URL]
Загружать по ссылке: [URL]http://virusinfo.info/upload_virus.php?tid=36976[/URL]

3. [URL="http://virusinfo.info/showthread.php?t=4491"]Пофиксите в HijackThis:[/URL]

[quote]F2 - REG:system.ini: UserInit=C:\WINDOWS\System32\userinit.exe[/quote]4. Повторите логи.
12.01.2009, 18:47
Yuri

вот выслал карантин, там есть кое-что интересное
12.01.2009, 19:29
Yuri

Вложений: 3

Логи готовы.
Связан ли winde32.exe с автоматической загрузкой вирусов при включении инета? а то это просто доканывает:mad:
12.01.2009, 22:21
Гриша

[URL="http://virusinfo.info/showthread.php?t=7239"]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".[/URL]

[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('J:\autorun.inf');
DeleteFile('K:\autorun.inf');
DeleteFile('K:\RECYCLER\S-1-5-21-1482476501-1644491937-682003330-1013\winde32.exe');
DelCLSID('{28ABC5C0-4FCB-11CF-AAX5-81CX1C735612}');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]

Повторите логи...
13.01.2009, 20:19
Yuri

Вложений: 3

выкладываю свежие логи и карантин. похоже комп идет на поправку
вирусы сегодня уже не загружались:rolleyes:
13.01.2009, 20:29
Гриша

В логах чисто, установите SP3+all updates...
22.02.2009, 09:50
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]3[/B][*]Обработано файлов: [B]13[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] j:\\autorun.inf - [B]Worm.Win32.AutoRun.shy[/B] (DrWEB: Win32.HLLW.Autoruner.3009)[*] j:\\recycler\\s-1-5-21-1482476501-1644491937-682003330-1013\\winde32.exe - [B]Worm.Win32.Agent.ko[/B] (DrWEB: BackDoor.IRC.Flood.8)[*] k:\\autorun.inf - [B]Worm.Win32.AutoRun.shy[/B] (DrWEB: Win32.HLLW.Autoruner.3009)[*] k:\\recycler\\s-1-5-21-1482476501-1644491937-682003330-1013\\winde32.exe - [B]Worm.Win32.Agent.ko[/B] (DrWEB: BackDoor.IRC.Flood.8)[/LIST][/LIST]