Trojan.Iframe(забавы с services)

Printable View

27.02.2009, 19:37
ZAP!

Trojan.Iframe(забавы с services)

Zдравствуйте!Каким-то образом словил со своего же сайта эту дрянь.Антивир сайта молчал.Был в скрипте в Index.html . Dr.web удалил успешно инфицированный архив.Но теперь забавляет процесс services - никак не вылазит из автозагрузки,иногда пытается подсосать с нета нечто и долбит флопик. Высылаю логи и карантин.
27.02.2009, 20:25
V_Bond

выполните скрипт
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\Program Files\Microsoft Common\svchost.exe','');
QuarantineFile('C:\WINDOWS\system32\userinit.exe','');
QuarantineFile('C:\WINDOWS\system32\twext.exe','');
QuarantineFile('C:\WINDOWS\system32\digeste.dll','');
QuarantineFile('C:\WINDOWS\services.exe','');
DeleteService('ethsayfw');
QuarantineFile('C:\WINDOWS\system32\drivers\ethsayfw.sys','');
QuarantineFile('\??\C:\WINDOWS\system32\drivers\ehfspdcu.sys','');
DeleteFile('\??\C:\WINDOWS\system32\drivers\ehfspdcu.sys');
DeleteFile('C:\WINDOWS\system32\drivers\ethsayfw.sys');
DeleteFile('C:\WINDOWS\services.exe');
DeleteFile('C:\WINDOWS\system32\digeste.dll');
DeleteFile('C:\WINDOWS\system32\twext.exe');
DeleteFile('C:\Program Files\Microsoft Common\svchost.exe');
ExecuteRepair(9);
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
пришлите карантин согласно приложения 3 правил
повторите логи
27.02.2009, 22:53
ZAP!

Логи:
27.02.2009, 23:33
Гриша

userinit.exe-[B]Trojan-Dropper.Win32.Agent.ahnl [/B] его нужно заменить на чистый из дистрибутива...

[URL="http://virusinfo.info/showthread.php?t=7239"]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".[/URL]

[CODE]begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DelBHO('{02478D38-C3F9-4EFB-9B51-7695ECA05670}');
DeleteService('mpwjtrqaurnwumr');
DeleteFile('C:\WINDOWS\system32\drivers\ehfspdcu.sys');
DeleteFile('C:\WINDOWS\services.exe');
DeleteFile('digeste.dll');
BC_ImportDeletedList;
ExecuteSysClean;
BC_DeleteSvc('mpwjtrqaurnwumr');
BC_Activate;
RebootWindows(true);
end.[/CODE]

Повторите логи...
28.02.2009, 13:53
ZAP!

Логи:
28.02.2009, 14:11
Гриша

[URL="http://virusinfo.info/showthread.php?t=4491"]Пофиксить[/URL]

[CODE]O2 - BHO: (no name) - {02478D38-C3F9-4EFB-9B51-7695ECA05670} - (no file)
O4 - HKCU\..\Run: [services] C:\WINDOWS\services.exe
O16 - DPF: {87BE3784-6977-4E84-AA08-55A96B9CEAC5} -
O16 - DPF: {F6ACF75C-C32C-447B-9BEF-46B766368D29} - [/CODE]

Повторите пункт 2 диагностики...
28.02.2009, 15:03
ZAP!

Новый лог:
28.02.2009, 15:36
V_Bond

Spybot - деинсталировать...
выполните скрипт
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\WINDOWS\services.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
пришлите карантин согласно приложения 3 правил
повторите логи
28.02.2009, 16:53
ZAP!

Карантин выслал.Вот логи:
28.02.2009, 16:58
V_Bond

ничего плохого ...
28.02.2009, 17:58
ZAP!

Всем очередной раZ огромное СПАСИБО! = )
01.03.2009, 17:58
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]3[/B][*]Обработано файлов: [B]18[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\program files\microsoft common\svchost.exe - [B]Worm.Win32.AutoRun.faw[/B] (DrWEB: Trojan.Packed.393)[*] c:\windows\system32\digeste.dll - [B]Trojan.Win32.Agent.bspx[/B] (DrWEB: Trojan.Inject.5512)[*] c:\windows\system32\drivers\ehfspdcu.sys - [B]Rootkit.Win32.Pakes.mm[/B][*] c:\windows\system32\drivers\ethsayfw.sys - [B]Backdoor.Win32.IEbooot.ro[/B][*] c:\windows\system32\twext.exe - [B]Trojan-Spy.Win32.Zbot.nkc[/B] (DrWEB: Trojan.PWS.Panda.30)[*] c:\windows\system32\userinit.exe - [B]Trojan-Dropper.Win32.Agent.ahnl[/B] (DrWEB: Trojan.DownLoad.26770)[/LIST][/LIST]
Рекомендации:
[LIST=1][*]Обнаружены троянские программы класса Trojan-PSW/Trojan-Spy - настоятельно рекомендуется поменять все пароли ![/LIST]