Опять зловредная парочка autorun.inf и ЎЎЎЎЎЎ.exe [Worm.Win32.AutoRun.dvw, Worm.Win32.Fujack.cr ]

Printable View

09.01.2009, 16:04
zavto

Вложений: 3

Опять зловредная парочка autorun.inf и ЎЎЎЎЎЎ.exe [Worm.Win32.AutoRun.dvw, Worm.Win32.Fujack.cr ]

Заразил второй комп! Парочка не удаляется. Поменялись значки дисков, В браузере прилипился какой-то информер с секссайта. Проблемы как в теме по ссылке: [url]http://virusinfo.info/showthread.php?t=36924[/url]
09.01.2009, 17:53
V_Bond

выполните скрипт
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\ЎЎЎЎЎЎ.exe','');
QuarantineFile('C:\autorun.inf','');
TerminateProcessByName('c:\windows\system32\drivers\txplatform.exe');
QuarantineFile('c:\windows\system32\drivers\txplatform.exe','');
TerminateProcessByName('c:\windows\hporclnr.exe');
QuarantineFile('c:\windows\hporclnr.exe','');
DelBHO('{9D64F819-9380-8473-DAB2-702FCB3D7A3E}');
QuarantineFile('%USERPROFILE%\Application Data\bpdata.dll','');
DeleteFile('c:\windows\hporclnr.exe');
DeleteFile('c:\windows\system32\drivers\txplatform.exe');
DeleteFile('C:\autorun.inf');
DeleteFile('C:\ЎЎЎЎЎЎ.exe');
DeleteFile('D:\autorun.inf');
DeleteFile('D:\ЎЎЎЎЎЎ.exe');
DeleteFile('E:\autorun.inf');
DeleteFile('E:\ЎЎЎЎЎЎ.exe');
DeleteFile('%USERPROFILE%\Application Data\bpdata.dll');
ExecuteRepair(6);
ExecuteRepair(8);
ExecuteRepair(9);
ExecuteRepair(16);
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
пришлите карантин согласно приложения 3 правил
повторите логи
09.01.2009, 19:33
zavto

Вложений: 3

[QUOTE=V_Bond;331114]выполните скрипт
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\ЎЎЎЎЎЎ.exe','');
QuarantineFile('C:\autorun.inf','');
TerminateProcessByName('c:\windows\system32\drivers\txplatform.exe');
QuarantineFile('c:\windows\system32\drivers\txplatform.exe','');
TerminateProcessByName('c:\windows\hporclnr.exe');
QuarantineFile('c:\windows\hporclnr.exe','');
DelBHO('{9D64F819-9380-8473-DAB2-702FCB3D7A3E}');
QuarantineFile('%USERPROFILE%\Application Data\bpdata.dll','');
DeleteFile('c:\windows\hporclnr.exe');
DeleteFile('c:\windows\system32\drivers\txplatform.exe');
DeleteFile('C:\autorun.inf');
DeleteFile('C:\ЎЎЎЎЎЎ.exe');
DeleteFile('D:\autorun.inf');
DeleteFile('D:\ЎЎЎЎЎЎ.exe');
DeleteFile('E:\autorun.inf');
DeleteFile('E:\ЎЎЎЎЎЎ.exe');
DeleteFile('%USERPROFILE%\Application Data\bpdata.dll');
ExecuteRepair(6);
ExecuteRepair(8);
ExecuteRepair(9);
ExecuteRepair(16);
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
пришлите карантин согласно приложения 3 правил
повторите логи[/QUOTE]

Выполнил скрипт, но эти звери остались!
Вот логи:
09.01.2009, 20:23
Гриша

Сделайте полную проверку AVPTool...
09.01.2009, 22:32
zavto

Вложений: 3

[quote=Гриша;331212]Сделайте полную проверку AVPTool...[/quote]
Уважаемые ХЕЛПЕРЫ и ЭКСПЕРТЫ! Приношу глукобикие извинения за свои действия и ваше на меня потраченное время, но, по моему , я из-за невнимательности напутал с выполнением скриптов (уменя на 2-х компах одна и та же проблема, соответственно и 2 темы-эта и ссылка:[url]http://virusinfo.info/showthread.php?t=36924[/url]
, и 3-и сутки маюсь!). Пожалуйста, не откажите в помощи! Вот новые логи после теста. Впредь обещаю быть внимательней!
09.01.2009, 22:41
V_Bond

выполните скрипт
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteService('ClipSrv');
QuarantineFile('C:\WINDOWS\java\classes\notepaderd.exe','');
TerminateProcessByName('c:\windows\system32\drivers\txplatform.exe');
DeleteFile('c:\windows\system32\drivers\txplatform.exe');
DeleteFile('C:\WINDOWS\java\classes\notepaderd.exe');
DeleteFile('C:\Documents and Settings\Владимир\Local Settings\Temp\baizi03.exe');
DeleteFile('C:\Documents and Settings\Владимир\Local Settings\Temporary Internet Files\Content.IE5\XTO5XBOV\baizi03[1].exe');
DeleteFile('C:\autorun.inf');
DeleteFile('C:\ЎЎЎЎЎЎ.exe');
DeleteFile('D:\autorun.inf');
DeleteFile('D:\ЎЎЎЎЎЎ.exe');
DeleteFile('E:\autorun.inf');
DeleteFile('E:\ЎЎЎЎЎЎ.exe');
DeleteFileMask('%Tmp%', '*.*', true);
DeleteFileMask('C:\Documents and Settings\Владимир\Local Settings\Temporary Internet Files\Content.IE5\', '*.*', true);
ExecuteRepair(1);
ExecuteRepair(6);
ExecuteRepair(8);
ExecuteRepair(9);
ExecuteRepair(16);
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
пришлите карантин согласно приложения 3 правил
повторите логи
10.01.2009, 01:03
zavto

Вложений: 3

[quote=V_Bond;331294]выполните скрипт
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteService('ClipSrv');
QuarantineFile('C:\WINDOWS\java\classes\notepaderd.exe','');
TerminateProcessByName('c:\windows\system32\drivers\txplatform.exe');
DeleteFile('c:\windows\system32\drivers\txplatform.exe');
DeleteFile('C:\WINDOWS\java\classes\notepaderd.exe');
DeleteFile('C:\Documents and Settings\Владимир\Local Settings\Temp\baizi03.exe');
DeleteFile('C:\Documents and Settings\Владимир\Local Settings\Temporary Internet Files\Content.IE5\XTO5XBOV\baizi03[1].exe');
DeleteFile('C:\autorun.inf');
DeleteFile('C:\ЎЎЎЎЎЎ.exe');
DeleteFile('D:\autorun.inf');
DeleteFile('D:\ЎЎЎЎЎЎ.exe');
DeleteFile('E:\autorun.inf');
DeleteFile('E:\ЎЎЎЎЎЎ.exe');
DeleteFileMask('%Tmp%', '*.*', true);
DeleteFileMask('C:\Documents and Settings\Владимир\Local Settings\Temporary Internet Files\Content.IE5\', '*.*', true);
ExecuteRepair(1);
ExecuteRepair(6);
ExecuteRepair(8);
ExecuteRepair(9);
ExecuteRepair(16);
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
пришлите карантин согласно приложения 3 правил
повторите логи[/quote]
Ситуация прежняя.
10.01.2009, 11:00
PavelA

Не цитируй сообщение полностью. Тяжко читать.

[size="1"][color="#666686"][B][I]Добавлено через 5 минут[/I][/B][/color][/size]

Выплнить:
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
SetAVZPMStatus(true);
TerminateProcessByName('c:\windows\system32\drivers\txplatform.exe');
DeleteFile('c:\windows\system32\drivers\txplatform.exe');
DeleteFile('D:\autorun.inf');
DeleteFile('C:\autorun.inf');
DeleteFile('E:\autorun.inf');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]

Карантин загрузить через [url]http://virusinfo.info/upload_virus.php?tid=36995[/url]

Сделать новые логи AVZ.
10.01.2009, 15:41
zavto

Вложений: 3

[quote=PavelA;331439]Не цитируй сообщение полностью. Тяжко читать.

[SIZE=1][COLOR=#666686][B][I]Добавлено через 5 минут[/I][/B][/COLOR][/SIZE]

Выплнить:
[code]begin........
Карантин загрузить через [URL]http://virusinfo.info/upload_virus.php?tid=36995[/URL]
Сделать новые логи AVZ.[/quote]
Выполнил, на пару секунд изчез только autorun.inf, затем снова появился. Благодаря логам AVZ вручную удалил baizi - вродебы не беспокоит.
10.01.2009, 16:35
V_Bond

выполните полную проверку cureit а лучше [URL="http://www.freedrweb.com/livecd/"]так[/URL]
22.02.2009, 09:50
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]4[/B][*]Обработано файлов: [B]40[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\autorun.inf - [B]Worm.Win32.AutoRun.dvw[/B] (DrWEB: Win32.HLLP.Whboy.19)[*] c:\\documents and settings\\владимир\\application data\\bpdata.dll - [B]Trojan-Ransom.Win32.Hexzone.gob[/B] (DrWEB: Adware.Bho.406)[*] c:\\documents and settings\\владимир\\local settings\\temp\\baizi03.exe - [B]Trojan-PSW.Win32.QQPass.fcg[/B] (DrWEB: Trojan.PWS.Qqpass.2510)[*] c:\\documents and settings\\владимир\\local settings\\temporary internet files\\content.ie5\\xto5xbov\\baizi03[1].exe - [B]Trojan-PSW.Win32.QQPass.fcg[/B] (DrWEB: Trojan.PWS.Qqpass.2510)[*] c:\\documents and settings\\юля\\doctorweb\\quarantine\\cpush.dll - [B]not-a-virus:AdWare.Win32.BHO.fax[/B] (DrWEB: Adware.Sogou.467)[*] c:\\program files\\internet explorer\\signup\\conime.exe - [B]Trojan.Win32.Agent.bfjh[/B] (DrWEB: Trojan.DownLoad.27455)[*] c:\\program files\\remote\\remote.exe - [B]Backdoor.Win32.Agent.abmz[/B] (DrWEB: Trojan.MulDrop.29806)[*] c:\\windows\\fonts\\spoolsv.exe - [B]Trojan.Win32.Agent.bgxv[/B] (DrWEB: Trojan.Siggen.2052)[*] c:\\windows\\java\\classes\\classes.sys - [B]Trojan.Win32.AntiAV.afb[/B] (DrWEB: Trojan.Siggen.2054)[*] c:\\windows\\java\\classes\\clipercvbse.exe - [B]Trojan.Win32.Slefdel.cfr[/B] (DrWEB: Win32.HLLP.Whboy.103)[*] c:\\windows\\java\\classes\\notepaderd.exe - [B]Trojan.Win32.Slefdel.cfs[/B] (DrWEB: Win32.HLLP.Whboy.103)[*] c:\\windows\\system32\\drivers\\msxkie.sys - [B]Rootkit.Win32.Agent.gjo[/B] (DrWEB: Trojan.NtRootKit.2626)[*] c:\\windows\\system32\\drivers\\txplatform.exe - [B]Worm.Win32.AutoRun.wzv[/B] (DrWEB: Win32.HLLP.Whboy.100)[*] c:\\windows\\system32\\e4a7.exe - [B]Trojan-PSW.Win32.Agent.lok[/B] (DrWEB: Trojan.Siggen.2053)[*] c:\\windows\\system32\\takqz.exe - [B]Backdoor.Win32.Agent.aber[/B] (DrWEB: Trojan.AVKill.600)[*] c:\\windows\\system32\\wbem\\zdhmqvzeinrvae.dll - [B]not-a-virus:AdWare.Win32.AdMoke.bwv[/B] (DrWEB: Trojan.Click.23986)[*] c:\\ўўўўўў.exe - [B]Worm.Win32.AutoRun.wzv[/B] (DrWEB: Win32.HLLP.Whboy.100)[*] d:\\autorun.inf - [B]Worm.Win32.AutoRun.dvw[/B] (DrWEB: Win32.HLLP.Whboy.19)[*] d:\\ўўўўўў.exe - [B]Worm.Win32.AutoRun.wzv[/B] (DrWEB: Win32.HLLP.Whboy.100)[*] e:\\autorun.inf - [B]Worm.Win32.AutoRun.dvw[/B] (DrWEB: Win32.HLLP.Whboy.19)[*] e:\\ўўўўўў.exe - [B]Worm.Win32.AutoRun.wzv[/B] (DrWEB: Win32.HLLP.Whboy.100)[/LIST][/LIST]