Какая-то зараза отключила Spider Guard,

Printable View

17.03.2009, 08:32
pensioner

Вложений: 3

Какая-то зараза отключила Spider Guard,

повесила в IE порнуху с сообщениями типа "Отправь СМС-получишь код, чтобы убрать", отключила Mozilla и Opera (слава богу, нашел на компе установочный файл с Мозиллой и переустановил. Spider Guard при этом что-то сканирует, кого-то находит, исцеляет и удаляет. Запуск его вручную увеличивает число найденных и исцеленных. AVPTool в безопасном режиме не запускается, а вчерашняя попытка запустить Curelt вывела на синий экран, перезагрузился кнопкой. DrWeb сканирует, но никого уже не находит. Игровой mail.ru - черный экран.
Высылаю логи
17.03.2009, 08:49
light59

[URL="http://www.virusinfo.info/showthread.php?t=4491"]"Пофиксите"[/URL] в HijackThis
[CODE]
O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)
O9 - Extra button: FlashGet - {D6E814A0-E0C5-11d4-8D29-0050BA6940E3} - C:\Program Files\FlashGet\FlashGet.exe (file missing)
O9 - Extra 'Tools' menuitem: FlashGet - {D6E814A0-E0C5-11d4-8D29-0050BA6940E3} - C:\Program Files\FlashGet\FlashGet.exe (file missing)
O20 - AppInit_DLLs: C:\WINDOWS\system32\mmmtoeds.dll
O20 - Winlogon Notify: crypt - C:\WINDOWS\SYSTEM32\crypts.dll
[/CODE]

[URL="http://virusinfo.info/showthread.php?t=7239"]В AVZ -> файл-> Выполнить скрипт[/URL]

[CODE]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DelBHO('{4F541691-A732-4D3B-AFC6-9011C1A52935}');
QuarantineFile('C:\WINDOWS\system32\mmmtoeds.dll','');
QuarantineFile('C:\WINDOWS\C:\WINDOWS\System32\svchost.exe','');
QuarantineFile('C:\WINDOWS\system32\wpv161237070981.cpx','');
DeleteService('winsecguard');
QuarantineFile('C:\WINDOWS\system32\crypts.dll','');
QuarantineFile('C:\Documents and Settings\All Users\Application Data\gfslib.dll','');
TerminateProcessByName('c:\windows\microsoft.net\zpx2.exe');
QuarantineFile('c:\windows\microsoft.net\zpx2.exe','');
DeleteFile('c:\windows\microsoft.net\zpx2.exe');
DeleteFile('C:\Documents and Settings\All Users\Application Data\gfslib.dll');
DeleteFile('C:\WINDOWS\system32\crypts.dll');
DeleteFile('C:\WINDOWS\system32\wpv161237070981.cpx');
DeleteFile('C:\WINDOWS\system32\drivers\acpi32.sys');
DeleteFile('C:\WINDOWS\system32\drivers\ati64si.sys');
DeleteFile('C:\DOCUME~1\1\LOCALS~1\Temp\cpuz_x32.sys');
DeleteFile('C:\WINDOWS\system32\drivers\fips32cup.sys');
DeleteFile('C:\WINDOWS\system32\drivers\i386si.sys');
DeleteFile('C:\WINDOWS\system32\drivers\ksi32sk.sys');
DeleteFile('C:\WINDOWS\system32\drivers\netsik.sys');
DeleteFile('C:\WINDOWS\system32\drivers\nicsk32.sys');
DeleteFile('C:\WINDOWS\system32\drivers\port135sik.sys');
DeleteFile('C:\WINDOWS\system32\drivers\securentm.sys');
DeleteFile('C:\WINDOWS\system32\drivers\systemntmi.sys');
DeleteFile('C:\WINDOWS\system32\mmmtoeds.dll');
DeleteFile('digeste.dll');
DeleteFile('crypts.dll');
BC_Importall;
BC_DeleteSvc('winsecguard');
BC_DeleteSvc('systemntmi');
BC_DeleteSvc('securentm');
BC_DeleteSvc('port135sik');
BC_DeleteSvc('nicsk32');
BC_DeleteSvc('netsik');
BC_DeleteSvc('Eventlogmnmsrvc');
BC_DeleteSvc('fips32cup');
BC_DeleteSvc('cpuz129');
BC_DeleteSvc('ati64si');
BC_DeleteSvc('acpi32');
BC_DeleteSvc('ksi32sk');
BC_DeleteSvc('i386si');
ExecuteSysClean;
ExecuteRepair(9);
BC_Activate;
RebootWindows(true);
end.
[/CODE]
Компьютер перезагрузится.
Пришлите карантин согласно правил по ссылке [URL="http://virusinfo.info/upload_virus.php?tid=41868"]http://virusinfo.info/upload_virus.php?tid=41868[/URL]
Повторите логи по правилам.

Это ваше?
[CODE]
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = http=127.0.0.1:8600
O17 - HKLM\System\CCS\Services\Tcpip\..\{BE00289C-329C-4DA2-A06E-A130B4C7757F}: NameServer = 85.113.62.227 85.113.63.252[/CODE]
17.03.2009, 09:50
pensioner

Пофиксил, скрипт выполнил. Карантин отправил. Коды R1 и O17 видел в HijackThis, но что это такое -не знаю. Мозилла пишет : "Firefox настроен на использование прокси-сервера, который отказывает в соединении". Опера пишет :"Ошибка!
Невозможно подключиться к прокси-серверу. Доступ запрещён". Spider Guard по-прежнему не включается.
Сейчас логи сделаю.
17.03.2009, 10:05
light59

Это ваше?
[CODE]
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = http=127.0.0.1:8600
O17 - HKLM\System\CCS\Services\Tcpip\..\{BE00289C-329C-4DA2-A06E-A130B4C7757F}: NameServer = 85.113.62.227 85.113.63.252[/CODE]
17.03.2009, 11:17
pensioner

Вложений: 3

Отправляю логи. Да, в IE порнуха пропала
17.03.2009, 11:18
pensioner

[quote=light59;372901]Это ваше?
[code]
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = http=127.0.0.1:8600
O17 - HKLM\System\CCS\Services\Tcpip\..\{BE00289C-329C-4DA2-A06E-A130B4C7757F}: NameServer = 85.113.62.227 85.113.63.252[/code][/quote]

Не совсем понял вопрос, я такого не создавал, не умею
17.03.2009, 11:30
light59

значит фиксим это в HiJackthis.
В настройках сетевого подключения укажите адреса DNS выданные вашим провайдером (если такое должно быть у вас)
17.03.2009, 12:18
pensioner

O17 пофиксил, а вот R1 такого уже не было. В настройках соединения все автоматически (так при подключении объясняли). Spider Guard по-прежнему с крестом на спине, при попытке запустить вручную пишет в статистике, что обнаружил 2 инфицированных, один излечен, другой удален якобы. Мозилла и Опера пишут то же самое, что-то про прокси-сервер(см. выше)

[size="1"][color="#666686"][B][I]Добавлено через 4 минуты[/I][/B][/color][/size]

а ещё Spider Guard сообщает, что он не может быть запущен, служба не ответила на запрос своевременно (1053).
17.03.2009, 12:37
PavelA

После всех Ваших манипуляций сделайте новые логи, полный комплект.
17.03.2009, 13:38
pensioner

Вложений: 3

Отправляю логи. Spider Guard пришлось убить: выгружаться он не хотел, а при выполнении первого скрипта минут 40 они сканировали друг друга, по-моему. Оставшееся время на AVZ при этом менялось от 19 до 18 минут и обратно.
17.03.2009, 13:56
AndreyKa

Зловреды убиты. Для очистки реестра запустите AVZ.
Выполните скрипт через меню Файл:
[code]
begin
DeleteService('nicsk32');
DeleteService('ati64si');
DeleteFile('C:\WINDOWS\system32\mmmedcgb.dll');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
Компьютер перезагрузится.
Переустановите антивирус.
17.03.2009, 14:57
pensioner

Mozilla по-прежнему пишет: Firefox настроен на использование прокси-сервера, который отказывает в соединении.
Opera :Ошибка!
Невозможно подключиться к прокси-серверу. Доступ запрещён
Spider Guard заработал, спасибо!!!
17.03.2009, 15:05
AndreyKa

Отключите использование прокси-сервера в настройках Opera и Firefox.
17.03.2009, 15:24
pensioner

Я уже снес их, сейчас переустанавливать буду. Не нашел в настройках ничего похожего

[size="1"][color="#666686"][B][I]Добавлено через 16 минут[/I][/B][/color][/size]

Переустановка не помогла. Помог более тщательный поиск в настройках). Заработали Опера и Мозилла
20.03.2009, 14:12
pensioner

а вот что-то пропали калькулятор и игры (стандартные от Винды)

[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]

в играх написано "пусто", а калькулятор не запускается даже через Пуск-Выполнить-calc.exe
20.03.2009, 16:20
AndreyKa

Панель управления - Установка и удаление программ - Установка компонентов Windows.
21.03.2009, 16:20
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]16[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\documents and settings\all users\application data\gfslib.dll - [B]Trojan-Ransom.Win32.Hexzone.ahw[/B]( BitDefender: Trojan.Generic.1560742 )[*] c:\windows\microsoft.net\zpx2.exe - [B]Trojan-Proxy.Win32.Agent.bjd[/B]( DrWEB: Trojan.Proxy.5126, BitDefender: Trojan.Generic.1549476 )[*] c:\windows\system32\crypts.dll - [B]Trojan-Downloader.Win32.Agent.bkwd[/B]( DrWEB: Trojan.DownLoad.31900, BitDefender: Trojan.Generic.1556515 )[*] c:\windows\system32\wpv161237070981.cpx - [B]Trojan.Win32.Agent.bvja[/B][/LIST][/LIST]