Вирус который не дает покоя фаерволу (ICS)

Printable View

19.01.2009, 18:19
kdsnice

Вложений: 3

Вирус который не дает покоя фаерволу (ICS)

Вроде и антивирус все время обновляется, но гад, просочился, и теперь никак не могу его выжить. По этому прошу помощи. А вирус постоянно сносит ветку в реестре касающуюся службы ShareAccess. После чего брандмауэр виндосовский не запускается.... Приходится вручную ветку востанавливать. И, может это не с этим свзанно, но интернет после этого вируса, начал сильно тормозить, а вот в безопасном режиме с поддрежкой сети, интернет летает!

Зарание Спасибо!!
19.01.2009, 19:12
PavelA

У Вас китайские программы установлены?
Пока вот так:
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\taskkill.exe','');
QuarantineFile('C:\WINDOWS\system32\winos.exe','');
QuarantineFile('C:\WINDOWS\system32\Helper32.exe','');
QuarantineFile('C:\WINDOWS\system32\WinHelp32.exe','');
QuarantineFile('C:\WINDOWS\system32\gFxBk\S001.exe','');
QuarantineFile('C:\WINDOWS\system32\svchoat.exe','');
QuarantineFile('C:\WINDOWS\system32\DuBa.exe','');
DeleteService('KingDuuBc');
DeleteService('jtgk');
DeleteService('jlgk');
DeleteService('NetSharing');
StopService('NetSharing');
QuarantineFile('c:\windows\system32\zzpjxx.dll','');
QuarantineFile('c:\windows\system32\xbcxlz.dll','');
QuarantineFile('c:\windows\system32\performance\smss.exe','');
QuarantineFile('c:\windows\system32\safetest.exe','');
QuarantineFile('c:\windows\system32\performance\csrss.exe','');
DeleteFile('c:\windows\system32\performance\csrss.exe');
DeleteFile('c:\windows\system32\performance\smss.exe');
DeleteFile('c:\windows\system32\xbcxlz.dll');
DeleteFile('c:\windows\system32\zzpjxx.dll');
// DeleteFile('C:\WINDOWS\system32\svchoat.exe');
// DeleteFile('C:\WINDOWS\system32\winos.exe');
// DeleteFile('C:\WINDOWS\system32\Helper32.exe');
// DeleteFile('C:\WINDOWS\system32\WinHelp32.exe');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]

Загрузить карантин по [url]http://virusinfo.info/upload_virus.php?tid=37750[/url]

Сделать новые логи
19.01.2009, 22:34
kdsnice

Вложений: 2

Разве что только китайские вирусы )))
После выполнения скрипта система стала перезагружаться каждые пять минут. По этому из новых логов успевает сделаться virusinfo_syscheck.zip и hijackthis.log. Карантин отправил.
19.01.2009, 22:42
PavelA

Далее жестоко. Удаление всего непонятного:
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
BC_DeleteSvc('jlgk');
BC_DeleteSvc('jtgk');
BC_DeleteSvc('KingDuuBa');
BC_DeleteSvc('KingDuuBc');
BC_DeleteSvc('Storm DDOS Service');
BC_DeleteSvc('Seagate Sync Service');
QuarantineFile('C:\WINDOWS\system32\fEPIp\S002.exe','');
BC_DeleteSvc('WinHelp30');
BC_DeleteSvc('WinHelp323444');
BC_DeleteSvc('WINS');
DeleteFile('C:\WINDOWS\system32\winos.exe');
DeleteFile('C:\WINDOWS\system32\Helper32.exe');
DeleteFile('C:\WINDOWS\system32\WinHelp32.exe');
BC_DeleteFile('C:\WINDOWS\system32\WinHelp.exe');
BC_DeleteFile('C:\WINDOWS\system32\gFxBk\S001.exe');
DeleteFile('C:\WINDOWS\system32\svchoat.exe');
DeleteFile('C:\WINDOWS\system32\DuBa.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]
После этого новые логи.
20.01.2009, 14:34
kdsnice

Вложений: 3

Получилось получить первый лог )
20.01.2009, 14:38
Гриша

[URL="http://virusinfo.info/showthread.php?t=7239"]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".[/URL]

[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteService('RemoteStorages');
DeleteFile('C:\WINDOWS\system32\fEPIp\S002.exe');
DeleteFile('C:\WINDOWS\system32\xojffe.dll');
BC_ImportDeletedList;
ExecuteSysClean;
BC_DeleteSvc('RemoteStorages');
BC_Activate;
RebootWindows(true);
end.[/CODE]

Повторите логи...
20.01.2009, 15:08
PavelA

Вот ответ по карантину:
[QUOTE]Здравствуйте,

AWHK32.dll - Trojan-Spy.Win32.Small.cad,
DuBa.exe_ - Trojan-Downloader.Win32.Small.jcb,
winos.exe_ - Backdoor.Win32.Hupigon.frfo,
xbcxlz.dll - Backdoor.Win32.PcClient.abew,
zzpjxx.dll - Backdoor.Win32.PcClient.abex

Детектирование файлов будет добавлено в следующее обновление.

csrss.exe_ - Trojan.Win32.Agent2.bj,
Helper32.exe_ - Packed.Win32.Krap.c,
safetest.exe_ - Backdoor.Win32.Hupigon.foaa,
smss.exe_ - Trojan-Downloader.Win32.Agent.bdxl,
WinHelp32.exe_ - Backdoor.Win32.Bifrose.akbv

Эти файлы определяются антивирусом. Обновите антивирусные базы.

taskkill.exe_

Вредоносный код в файле не обнаружен.[/QUOTE]
20.01.2009, 15:14
kdsnice

Вложений: 3

Вроде систем начинает чувствовать себя лучше ) Во всяком случае служба ICS не слетает после перезагрузки.
20.01.2009, 15:45
Гриша

[URL="http://virusinfo.info/showthread.php?t=7239"]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".[/URL]

[CODE]begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\WINDOWS\system32\SafeTest.exe');
BC_ImportALL;
ExecuteSysClean;
BC_QrSvc('Esdpdx01');
BC_Activate;
RebootWindows(true);
end.[/CODE]

Пришлите карантин по правилам и повторите логи...
20.01.2009, 16:39
kdsnice

Вложений: 3

Архива в папке Quarantine не оказалось :(
20.01.2009, 16:40
Гриша

Этот файл C:\WINDOWS\system32\Drivers\ESDPDX01.SYS посмотрите на диске, если найдете запакуйте с паролем "virus" и пришлите по правилам...
20.01.2009, 17:00
kdsnice

К сожалению, такого файла на диске нету.
20.01.2009, 17:02
Гриша

[URL="http://virusinfo.info/showthread.php?t=7239"]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".[/URL]

[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteService('Esdpdx01');
DeleteFile('C:\WINDOWS\system32\Drivers\ESDPDX01.SYS');
BC_ImportDeletedList;
ExecuteSysClean;
BC_DeleteSvc('Esdpdx01');
BC_Activate;
RebootWindows(true);
end.[/CODE]

Повторите пункт 2 диагностики...
20.01.2009, 17:26
kdsnice

Вложений: 1

Скрипт выполнил. Лог приложил :xmas:
20.01.2009, 17:30
Гриша

Чисто, установите SP3+all updates...
20.01.2009, 17:36
kdsnice

Пасиба большое! Вы как всегда последняя надежда, и как всегда оправдываете ожидания ;)
22.02.2009, 10:05
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]35[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\program files\\symantec\\pcanywhere\\awhk32.dll - [B]Trojan-Spy.Win32.Small.cad[/B][*] c:\\windows\\system32\\duba.exe - [B]Rootkit.Win32.Agent.gii[/B] (DrWEB: Trojan.NtRootKit.2638)[*] c:\\windows\\system32\\helper32.exe - [B]Packed.Win32.Krap.c[/B][*] c:\\windows\\system32\\performance\\csrss.exe - [B]Trojan.Win32.Agent2.bj[/B][*] c:\\windows\\system32\\performance\\smss.exe - [B]Trojan-Downloader.Win32.Agent.bdxl[/B] (DrWEB: Trojan.DownLoad.27987)[*] c:\\windows\\system32\\safetest.exe - [B]Backdoor.Win32.Hupigon.foaa[/B][*] c:\\windows\\system32\\winhelp32.exe - [B]Backdoor.Win32.Bifrose.akbv[/B][*] c:\\windows\\system32\\winos.exe - [B]Backdoor.Win32.Hupigon.frfo[/B][*] c:\\windows\\system32\\xbcxlz.dll - [B]Backdoor.Win32.PcClient.abew[/B] (DrWEB: BackDoor.PcClient.593)[*] c:\\windows\\system32\\zzpjxx.dll - [B]Backdoor.Win32.PcClient.abex[/B] (DrWEB: BackDoor.PcClient.593)[/LIST][/LIST]