Вирус на рабочей машине [Backdoor.Win32.Zdoogu.j, Backdoor.Win32.Agent.abhn ]

Printable View

15.01.2009, 13:56
ddv79

Вложений: 3

Вирус на рабочей машине [Backdoor.Win32.Zdoogu.j, Backdoor.Win32.Agent.abhn ]

Рабочая машина работает с защифроваными сообщениями входит в корпаративную сеть. На машине установлен клиент Symantec. 2 дня назад в трее появилось системное сообщение об опасности после чего появился Антивирус 2009 следом симантек выдал сообщение вирус. Процес антивируса 2009 был оставлен. При перезагрузке был отключем из автозагрузки. Симантек выдает предупреждение об обноружении Hacktool.Rootkit и Trojan Horse после лечения и перезагрузки обнаруживает снова. Машина перегружалась в безопасный режим и проверялась Symantec и Dr.Web CureIt так же в безопасном режиме проверялась AVZ. Наследующий день опять появился Антивирус 2009 который был изолирован. После проверки машины зараженных фаилов найдено небыло. На данном этапе после каждой перезагрузке Symantec выдает также об обнаружении Hacktool.Rootkit и Trojan Horse в процесах диспечера задач от пользователя запущено очень большое количество процессов и присутствует процесс меняющий постоянно свой pid- Demyanov.exe. Установлена операционная система Windows XP SP2. Помогите нейтрализовать вирусы для дальнейшего безопасного переноса документации и программ на другую машину.
15.01.2009, 14:01
Гриша

[URL="http://virusinfo.info/showthread.php?t=7239"]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".[/URL]

[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('c:\windows\system32\userinit.exe','');
QuarantineFile('C:\WINDOWS\system32\twext.exe','');
QuarantineFile('C:\WINDOWS\system32\digeste.dll','');
QuarantineFile('C:\Documents and Settings\Demyanov\Demyanov.exe','');
DeleteService('Winac50');
QuarantineFile('C:\WINDOWS\System32\Drivers\Winac50.sys','');
DeleteService('tcpsr');
QuarantineFile('C:\WINDOWS\System32\drivers\tcpsr.sys','');
DeleteService('Hmb52');
QuarantineFile('C:\WINDOWS\System32\Drivers\Hmb52.sys','');
QuarantineFile('acpi32.sys','');
DeleteService('wuauservdmadmin');
DeleteService('WebClientVSSsrservice');
DeleteService('VSSsrserviceUMWdf');
DeleteService('VSSsrservice');
DeleteService('SharedAccessDefWatch');
DeleteService('SharedAccessaspnet_state');
DeleteService('RpcSsusprserv');
DeleteService('RpcLocatorRasMan');
DeleteService('RasManSCardSvr');
DeleteService('PlugPlayNtmsSvc');
DeleteService('NtmsSvcSCardSvr');
DeleteService('NtmsSvcImapiService');
DeleteService('NetlogonBITSSSDPSRV');
QuarantineFile('C:\WINDOWS\system32\adsnwo.exe','');
DeleteService('NetDDEstisvc');
DeleteService('NetDDEdsdmDnscache');
DeleteService('MSDTCRasAutoAudioSrv');
DeleteService('MSDTCRasAuto');
DeleteService('mnmsrvcCryptSvcWebClient');
DeleteService('mnmsrvcCryptSvcERSvc');
DeleteService('mnmsrvcCryptSvc');
DeleteService('HidServ Licensing Service');
DeleteService('helpsvcSharedAccess');
DeleteService('ETOKSRVlanmanserver');
DeleteService('ERSvcImapiService');
DeleteService('CiSvcRpcLocator');
DeleteService('AppleNetDDEdsdmDnscacheShellHWDetection');
DeleteService('AppleNetDDEdsdmDnscache');
DeleteService('AppleEventSystem');
QuarantineFile('srv.exe','');
QuarantineFile('c:\windows\services.exe','');
TerminateProcessByName('c:\windows\services.exe');
DeleteFile('c:\windows\services.exe');
DeleteFile('srv.exe');
DeleteFile('C:\WINDOWS\System32\drivers\acpi32.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Hmb52.sys');
DeleteFile('C:\WINDOWS\System32\drivers\tcpsr.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Winac50.sys');
DeleteFile('C:\Documents and Settings\Demyanov\Demyanov.exe');
DeleteFile('C:\WINDOWS\system32\digeste.dll');
DeleteFile('C:\WINDOWS\system32\twext.exe');
DeleteFile('C:\file.bat ');
DeleteFile('crypts.dll');
DeleteFile('msansspc.dll');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]

Пришлите карантин по правилам и повторите логи...
15.01.2009, 14:56
ddv79

Карантин выслал. Выложил логи.
15.01.2009, 15:00
ddv79

Вложений: 3

логи
15.01.2009, 15:28
Гриша

[URL="http://virusinfo.info/showthread.php?t=7239"]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".
[/URL]

[CODE]begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('digeste.dll');
DeleteFile('C:\System Volume Information\_restore{0CFBA80E-7F33-48C8-940B-B6694088CDC2}\RP87\A0035468.dll');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]

Этот файл adsnwo.exe пришлите согласно приложению 2 правил, повторите пункт 2 диагностики...
15.01.2009, 15:58
ddv79

Вложений: 1

Выслать файл adsnwo.exe не получаеться выдает следующие:
Ошибка карантина файла, попытка прямого чтения (adsnwo.exe)
Карантин с использованием прямого чтения - ошибка
Ошибка карантина файла, попытка прямого чтения (C:\WINDOWS\adsnwo.exe)
Карантин с использованием прямого чтения - ошибка
Ошибка карантина файла, попытка прямого чтения (C:\WINDOWS\system32\adsnwo.exe)
Карантин с использованием прямого чтения - ошибка
15.01.2009, 22:05
Гриша

А ручками его в указанных директориях можете найти?
15.01.2009, 22:19
ddv79

Ручками могу посмотреть - как его вам переслать если он там есть? Тока это будет завтра.
15.01.2009, 22:24
Гриша

Запаковать в архив с паролем "virus" и прислать по красной ссылке вверху темы...
16.01.2009, 09:02
ddv79

Файл найти не получилось ((.
16.01.2009, 13:43
Гриша

[URL="http://virusinfo.info/showthread.php?t=7239"]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".[/URL]

[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteService('NetlogonBITS');
DeleteFile('C:\WINDOWS\system32\adsnwo.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_DeleteSvc('NetlogonBITS');
BC_Activate;
RebootWindows(true);
end.[/CODE]

Повторите пункт 2 диагностики...
17.01.2009, 15:01
ddv79

Вложений: 1

Скрипт выпонил.
17.01.2009, 15:12
Гриша

[URL="http://virusinfo.info/showthread.php?t=7239"]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".[/URL]

[CODE]begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('c:\windows\system32\userinit.exe','');
QuarantineFile('C:\WINDOWS\system32\svschost.exe','');
DeleteFile('C:\WINDOWS\system32\svschost.exe');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]

Пришлите карантин по правилам и повторите логи...
17.01.2009, 16:14
ddv79

Вложений: 3

Выполнил.
20.01.2009, 11:42
ddv79

:rolleyes:
20.01.2009, 11:50
Гриша

В логах чисто, установите SP3+all updates...
20.01.2009, 11:54
ddv79

Спасибо огромное за помощь
22.02.2009, 10:03
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]73[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\documents and settings\\demyanov\\demyanov.exe - [B]Trojan-Downloader.Win32.Small.aioy[/B] (DrWEB: Trojan.DownLoad.23598)[*] c:\\system volume information\\_restore{0cfba80e-7f33-48c8-940b-b6694088cdc2}\\rp87\\a0035468.dll - [B]Trojan.Win32.Pakes.mmo[/B] (DrWEB: Trojan.Botnetlog.3)[*] c:\\windows\\services.exe - [B]Backdoor.Win32.Agent.abhn[/B] (DrWEB: Trojan.Spambot.3584)[*] c:\\windows\\system32\\digeste.dll - [B]Trojan.Win32.Pakes.mmo[/B] (DrWEB: Trojan.Botnetlog.3)[/LIST][/LIST]