Вирус Net-Worm.Win32.Kido.ih [Trojan.Win32.Pakes.oft ]

Printable View

Показывать 40 сообщений этой темы на одной странице

12.01.2009, 16:57
priMary

Вложений: 3

Вирус Net-Worm.Win32.Kido.ih [Trojan.Win32.Pakes.oft ]

Не так давно, делая полную проверку на компьютере KAV 8.0.0.454 09/01/2009 был обнаружен следующий вирус Net-Worm.Win32.Kido.ih . Его лечение или просто удаление оказалось невозможным. Причина: отсутствие права на запись. Поискал на ВирусЛисте информацию о нем, но ничего не нашел. Лишь вчера наткнулся на статью о нем [URL="http://forum.kaspersky.com/index.php?showtopic=99451"]http://forum.kaspersky.com/index.php?showtopic=99451[/URL] . Пока ничего не заметил, но подозрительным стало то, что у меня автоматически включается/выключается обновление системы, хотя я его отключаю, автоматически включается/выключается Брандмауэр Windows. После этого заметил еще одну вещь, но я не знаю - относится ли это к данному вирусу. В процессах avp.exe стал отображаться 2 раза. Один в использовании память варьируется в пределе 342***KB, другой является постоянным и использует 12252KB. Причем только одна из них отображается в трее. Выключить оба процесса можно только путем выхода из самой программы. По отдельности завершение процессов не идет. Так же в автозапуске отображаются эти 2 процесса. Отключение их так же невозможно. При поставленной галочке - KAV запускается в самом начале при загрузке Windows. При отключенной (но в последующем она ставится сама собой) загрузка происходит после загрузки всех приложений и очень тормозит систему при запуске операционки.
Еще один момент. Похоже этот самый вирус заметил только полный антивирус KAV. При проверке утилитой Kaspersky Virus Removal Tool ничего обнаружено не было. А так же при проверке AVZ и Dr. Web CureIt.

[ATTACH]102554[/ATTACH]

[ATTACH]102555[/ATTACH]

[ATTACH]102556[/ATTACH]
12.01.2009, 17:31
PavelA

вот в этом файле что лежит:
C:\autorun.inf?

avp и должен отображаться два раза.
12.01.2009, 17:38
priMary

[QUOTE=PavelA;332640]вот в этом файле что лежит:
C:\autorun.inf?

avp и должен отображаться два раза.[/QUOTE]

а как посмотреть?
12.01.2009, 17:43
PavelA

При помощи "блокнота" открыть и содержимое скопировать и прислать сюда.
12.01.2009, 17:46
priMary

[QUOTE=PavelA;332648]При помощи "блокнота" открыть и содержимое скопировать и прислать сюда.[/QUOTE]

проблема в том что этот файл не отображается // и не является скрытым
12.01.2009, 17:51
PavelA

Карантин загрузите через [url]http://virusinfo.info/upload_virus.php?tid=37220[/url]
12.01.2009, 18:08
priMary

Хм. Обнаружено вирус Net-Worm.Win32.Kido.ih C:\WINDOWS\system32\olnljgg.dll//PE_Patch.UPX//UPX
Захожу по адресу - такого dll там нет
12.01.2009, 18:11
PavelA

Это кто сказал а/вирус? Он и удалил эту бяку. Странно, но в логах я ее не заметил.
12.01.2009, 18:15
priMary

Тогда почему выводит Обнаружено вредоносное ПО и в событиях Тип: Вирус -указывает на него.
12.01.2009, 18:41
PavelA

Карантина Вашего не вижу.
12.01.2009, 21:26
priMary

[QUOTE=priMary;332651]проблема в том что этот файл не отображается // и не является скрытым[/QUOTE]

хм... оказывается я все-таки не могу просматривать скрытые файлы. В свойствах папки ставлю нужную точку но она снова переключается на неотображение. Такое же поведение как и с выгрузкой avp из автозагрузки. Думаю это как раз из-за этого вируса.

следует что я не могу ни autorun.inf посмотреть ни послать в карантин этот olnljgg.dll . Ищу его через поиск а он мне выдает, мол нельзя его удалить.
12.01.2009, 22:02
Гриша

[URL="http://virusinfo.info/showthread.php?t=7239"]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".[/URL]

[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\autorun.inf');
DeleteFile('C:\WINDOWS\system32\olnljgg.dll');
DeleteFileMask('%tmp% ','*.* ',true );
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]

Повторите логи...
12.01.2009, 22:28
priMary

Выполнение скрипта прошло успешно. Windows еле-еле загрузился. KAV все равно указывает на наличие этого dll. Сейчас выложу логи
12.01.2009, 23:18
priMary

Вложений: 3

А вот и они:

[ATTACH]102670[/ATTACH]

[ATTACH]102671[/ATTACH]

[ATTACH]102672[/ATTACH]
12.01.2009, 23:23
Гриша

Логи нужны из обычного режима...
12.01.2009, 23:28
priMary

Моя ошибка. Лог syscure из безопасного. Остальное из обычного. Переделывать все логи заного или только этот?
12.01.2009, 23:29
Гриша

Только syscure...
12.01.2009, 23:43
priMary

Вложений: 1

Готово

[ATTACH]102684[/ATTACH]
12.01.2009, 23:45
Гриша

В логах его нет, у вас заплатка эта стоит?
[url]http://www.microsoft.com/technet/security/Bulletin/MS08-067.mspx[/url]
13.01.2009, 08:24
priMary

данная заплатка не ставится - конфликт языка самой заплатки с системой. Ставил Language как Russian так и English

[size="1"][color="#666686"][B][I]Добавлено через 36 минут[/I][/B][/color][/size]

Готово.
Хм. Ставится скачанной только через WindowsUpdate через IE.

[size="1"][color="#666686"][B][I]Добавлено через 7 часов 49 минут[/I][/B][/color][/size]

в KAV'е На карантине вирус Net-Worm.Win32.Kido.ih C:\WINDOWS\system32\olnljgg.dll//PE_Patch.UPX//UPX
а еще стал время от времени то удаляться то появляться в карантине просто Net-Worm.Win32.Kido.ih C:\WINDOWS\system32\olnljgg.dll
Это нормально?

Показывать 40 сообщений этой темы на одной странице