Подхватил несколько троянов :(( [Trojan-Ransom.Win32.Hexzone.gmz, Trojan.Win32.Buzus.byy ]

Printable View

09.01.2009, 17:05
Sergey100

Подхватил несколько троянов :(( [Trojan-Ransom.Win32.Hexzone.gmz, Trojan.Win32.Buzus.byy ]

Подхватил несколько троянов :((
AVG не справляется с ними, после перезагрузки все равно появляются. Курсор мышки при этом постоянно находится в режиме "песочных часов" как при выполнении задачи.
С:\windows\systen32\drivers\93.exe
С:\windows\systen32\drivers\ati64si.sys

Помогите, пожалуйста избавиться.

Заранее благодарен
09.01.2009, 17:57
Гриша

[URL="http://virusinfo.info/showthread.php?t=7239"]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".
[/URL]

[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteService('fips32cup');
QuarantineFile('C:\WINDOWS\system32\drivers\fips32cup.sys','');
DeleteService('ati64si');
QuarantineFile('C:\WINDOWS\system32\drivers\ati64si.sys','');
QuarantineFile('c:\documents and settings\us\us.exe','');
QuarantineFile('c:\docume~1\us\locals~1\temp\rar$ex00.844\christmas.exe','');
DeleteFile('C:\WINDOWS\system32\drivers\ati64si.sys');
DeleteFile('C:\WINDOWS\system32\drivers\fips32cup.sys');
BC_ImportALL;
ExecuteSysClean;
BC_DeleteSvc('fips32cup');
BC_DeleteSvc('ati64si');
BC_Activate;
RebootWindows(true);
end.[/CODE]

Пришлите карантин по правилам и повторите логи...
09.01.2009, 19:08
Sergey100

Запрошенные логи

Отправляю логи и карантин в соответсвии с правилами. Скрипт выполнен.
Спасибо за помощь
09.01.2009, 20:18
Гриша

[URL="http://virusinfo.info/showthread.php?t=7239"]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".[/URL]

[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteService('port135sik');
DeleteService('nicsk32');
DeleteService('i386si');
DeleteService('acpi32');
TerminateProcessByName('c:\documents and settings\us\us.exe');
DeleteFile('c:\documents and settings\us\us.exe');
DeleteFile('C:\WINDOWS\system32\drivers\acpi32.sys');
DeleteFile('C:\WINDOWS\system32\drivers\i386si.sys');
DeleteFile('C:\WINDOWS\system32\drivers\nicsk32.sys');
DeleteFile('C:\WINDOWS\system32\drivers\port135sik.sys');
DeleteFile('C:\WINDOWS\system32\drivers\500.exe');
DeleteFile('C:\WINDOWS\system32\drivers\687.exe');
DeleteFile(' C:\WINDOWS\system32\drivers\718.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_DeleteSvc('port135sik');
BC_DeleteSvc('nicsk32');
BC_DeleteSvc('i386si');
BC_DeleteSvc('acpi32');
BC_Activate;
RebootWindows(true);
end.[/CODE]

Сделайте полную проверку AVPTool и повторите логи...
10.01.2009, 14:53
Sergey100

Логи

Отправляю повторно логи согласно правилам.
Спасибо за помощь
10.01.2009, 15:00
Bratez

Выполните скрипт в AVZ:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\WINDOWS\system32\drivers\375.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]
Компьютер перезагрузится.
Повторите лог syscure.
10.01.2009, 21:04
Sergey100

Запрошенный лог

Выполнил скрипт согласно правилам. Отправляю запрошеный лог
10.01.2009, 21:17
Гриша

[URL="http://virusinfo.info/showthread.php?t=7239"]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".
[/URL]

[CODE]begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteService('securentm');
QuarantineFile('C:\WINDOWS\system32\drivers\securentm.sys','');
DeleteFile('C:\WINDOWS\system32\drivers\securentm.sys');
BC_ImportALL;
ExecuteSysClean;
BC_DeleteSvc('securentm');
BC_Activate;
RebootWindows(true);
end.[/CODE]

Пришлите карантин, сделайте полную проверку AVPTool и повторите логи...
11.01.2009, 16:17
Sergey100

Логи и карантин

Выполнил еще одну проверку AVP Tool. Отправляю запрошенные логи и карантин. В результате проверки Касперсим было найдены следующие вирусы и трояны:

[FONT=Times New Roman]Резервное хранилище[/FONT]
[FONT=Times New Roman] [/FONT]
[FONT=Times New Roman]Заражен: троянская программа Trojan-Downloader.Win32.Agent.bbuv e:\virusinfo\virusinfo\avz4\avz4\quarantine\2009-01-09\bcqr00006.dta 10,0 КБ[/FONT]
[FONT=Times New Roman]Заражен: троянская программа Trojan.Win32.Agent.bfrr c:\documents and settings\us\local settings\temp\bn8.tmp 23,5 КБ[/FONT]
[FONT=Times New Roman]Заражен: троянская программа Trojan.Win32.Agent.bfrr c:\documents and settings\us\local settings\temp\bn3.tmp 23,5 КБ[/FONT]
[FONT=Times New Roman]Заражен: троянская программа Trojan.Win32.Agent.bfrr c:\documents and settings\us\local settings\temp\bn7.tmp 23,5 КБ[/FONT]
[FONT=Times New Roman]Заражен: троянская программа Trojan-Downloader.Win32.Agent.bbuv e:\virusinfo\virusinfo\avz4\avz4\quarantine\2009-01-09\avz00003.dta 10,0 КБ[/FONT]
[FONT=Times New Roman]Заражен: троянская программа Trojan.Win32.Agent.bfrr c:\documents and settings\us\local settings\temp\bn4.tmp 23,5 КБ[/FONT]
[FONT=Times New Roman]Возможно заражен: вирус Heur.Trojan.Generic (модификация) d:\vsye dlya kpk\программы для кпк\clearvue suite\pdf pro\clearvue3_pdf_pro_v3.0.523.exe 4 МБ[/FONT]
[FONT=Times New Roman]Заражен: троянская программа Trojan.Win32.Agent.bfrr c:\documents and settings\us\local settings\temp\bna.tmp 23,5 КБ[/FONT]
[FONT=Times New Roman]Заражен: троянская программа Trojan.Win32.Agent.bfrr c:\documents and settings\us\local settings\temp\bn2.tmp 23,5 КБ[/FONT]
[FONT=Times New Roman]Возможно заражен: вирус Heur.Trojan.Generic (модификация) d:\vsye dlya kpk\программы для кпк\clearvue suite\worksheets\clearvue3_worksheet_pro_v3.0.523.exe 3,0 МБ[/FONT]
[FONT=Times New Roman]Заражен: троянская программа Trojan.Win32.Agent.bfrr c:\documents and settings\us\local settings\temp\bn9.tmp 23,5 КБ[/FONT]
[FONT=Times New Roman]Заражен: троянская программа Trojan.Win32.Agent.bfrr c:\documents and settings\us\local settings\temp\bn6.tmp 23,5 КБ[/FONT]
[FONT=Times New Roman]Заражен: троянская программа Trojan.Win32.Agent.bfrr c:\documents and settings\us\local settings\temp\bn1.tmp 23,5 КБ[/FONT]
[FONT=Times New Roman]Возможно заражен: вирус Heur.Trojan.Generic (модификация) d:\vsye dlya kpk\программы для кпк\clearvue suite\suite pro\clearvue3_suite_pro_v3.0.523.exe 5,2 МБ[/FONT]
[FONT=Times New Roman]Возможно заражен: вирус Heur.Trojan.Generic (модификация) d:\vsye dlya kpk\программы для кпк\clearvue suite\presintation pro\clearvue3_presentation_pro_v3.0.523.exe 3 МБ[/FONT]
[FONT=Times New Roman]Заражен: троянская программа Trojan.Win32.Agent.bfrr c:\documents and settings\us\local settings\temp\bn5.tmp 23,5 КБ[/FONT]
[FONT=Times New Roman]Заражен: троянская программа Trojan.Win32.Agent.bfrr c:\documents and settings\us\local settings\temp\bn4c5.tmp 23,5 КБ[/FONT]
[FONT=Times New Roman]Заражен: троянская программа Trojan-Downloader.Win32.Agent.bbuv e:\virusinfo\virusinfo\avz4\avz4\quarantine\2009-01-09\bcqr00005.dta 10,0 КБ[/FONT]
[FONT=Times New Roman] [/FONT]
[FONT=Times New Roman] [/FONT]
[FONT=Times New Roman]Карантин[/FONT]
[FONT=Times New Roman]Возможно заражен: вирус Heur.Trojan.Generic (модификация) d:\vsye dlya kpk\программы для кпк\clearvue suite\document pro\clearvue3_document_pro_v3.0.523.exe 2,8 МБ 11.01.2009 6:53:22[/FONT]
[FONT=Times New Roman]Возможно заражен: вирус Heur.Trojan.Generic (модификация) d:\vsye dlya kpk\программы для кпк\clearvue suite\office pro\clearvue3_office_pro_v3.0.523.exe 3,5 МБ 11.01.2009 6:53:32[/FONT]
[FONT=Times New Roman]Возможно заражен: вирус Heur.Trojan.Generic (модификация) d:\vsye dlya kpk\программы для кпк\clearvue suite\image pro\clearvue3_image_pro_v3.0.523.exe 2,9 МБ 11.01.2009 6:53:28[/FONT]
12.01.2009, 15:14
Sergey100

Посмотрите, пожалуйста, последние логи после лечения
22.02.2009, 09:50
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]14[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\documents and settings\\all users\\application data\\ayrlib.dll - [B]Trojan-Ransom.Win32.Hexzone.gmz[/B] (DrWEB: Trojan.Blackmailer.728)[*] c:\\documents and settings\\us\\us.exe - [B]Trojan-Downloader.Win32.Agent.bbuv[/B] (DrWEB: Trojan.Inject.5382)[*] c:\\recycler\\s-1-5-21-1482476501-1644491937-682003330-1113\\iuhi32.exe - [B]Trojan.Win32.Buzus.byy[/B] (DrWEB: Trojan.MulDrop.17285)[/LIST][/LIST]