win32/spamtool.blen trojan

Printable View

18.03.2009, 17:11
blackdeth

Вложений: 3

win32/spamtool.blen trojan

Nod32 сообщал, что http:/rec.faderups.com/d/hmach07.exe заражён win32/spamtool.blen trojan. Я нажимал Terminate, но последнее время эти сообщения стали появляться чаще.(Даже сейчас выскочило одно, теперь уже :http:/rec2.federups.com/d/hmunmlcn83.exe) Так же окно NOD32 стало в стиле Windows 98. Видимо вирус покусал и NOD тоже, но AVZ исправил, и NOD сейчас впорядке, хотя окна до сих пор вылетают.
18.03.2009, 17:58
PavelA

Выполнить:
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\Drivers\Lbd.sys','');
QuarantineFile('C:\DOCUME~1\Seroga\LOCALS~1\APPLIC~1\MICROS~1\cisvc.exe','');
QuarantineFile('C:\DOCUME~1\Seroga\APPLIC~1\esentutl.exe','');
DeleteService('WINIO');
QuarantineFile('C:\DOCUME~1\Seroga\LOCALS~1\Temp\Rar$EX00.656\winio.sys','');
TerminateProcessByName('c:\windows\system\sessmgr.exe');
QuarantineFile('c:\windows\system\sessmgr.exe','');
DeleteFile('c:\windows\system\sessmgr.exe');
DeleteFile('C:\DOCUME~1\Seroga\LOCALS~1\Temp\Rar$EX00.656\winio.sys');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]

Сделать заново логи.
Загрузить карантин по Правилам через [url]http://virusinfo.info/upload_virus.php?tid=41971[/url]
18.03.2009, 19:05
blackdeth

Вложений: 3

Логи:
Добавил syscure.zip Извините, что не загрузил сразу, решил, что лечение уже произведено и хватит логов проверки, и лечение делать не надо.
18.03.2009, 19:09
light59

Где лог virusinfo_[B]sys[/B]cure.zip?
18.03.2009, 20:10
blackdeth

Выше добавлено.
18.03.2009, 21:06
Гриша

[URL="http://virusinfo.info/showthread.php?t=7239"]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".[/URL]

[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DelBHO('{7E853D72-626A-48EC-A868-BA8D5E23E045}');
TerminateProcessByName('c:\docume~1\seroga\locals~1\applic~1\micros~1\cisvc.exe');
DeleteFile('c:\docume~1\seroga\locals~1\applic~1\micros~1\cisvc.exe');
DeleteFile('C:\DOCUME~1\Seroga\APPLIC~1\esentutl.exe');
DeleteFile('C:\DOCUME~1\Seroga\LOCALS~1\Temp\esentutl.exe');
DeleteFile('C:\WINDOWS\dllhst3g.exe');
DeleteFileMask('%tmp% ','*.* ',true );
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]

Повторите логи...
18.03.2009, 23:27
blackdeth

Вложений: 3

Логи:
19.03.2009, 11:30
PavelA

Восстановление системы: включено
------> срочно отключить...
19.03.2009, 12:13
blackdeth

Вложений: 3

Извините пожалуйста. Не знаю как умудрился не заметить. Просто на автомате залез в меню восстановления, кликнул там где галка должна стоять нажал ОК и вышел. Оказывается у меня до этого было отключено и я тем самым включил. Сейчас выключил, заново логи.
19.03.2009, 12:47
PavelA

Выполнить:
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\DOCUME~1\Seroga\LOCALS~1\Temp\dllhst3g.exe');
DeleteFile('C:\WINDOWS\System32\drivers\dllhst3g.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]

Сделать заново логи.
От ТрендМикро на машине что-то установлено?
19.03.2009, 22:12
blackdeth

Вложений: 3

Логи. От TrendMicro, врятли что-то важное, я когда-то пользовался их он-лайн сканером. Вирусы гонял. Может быть остались какие-нибудь временные файлы.
20.03.2009, 00:03
Гриша

Сделайте полную проверку AVPTool и повторите логи...
20.03.2009, 20:08
blackdeth

Вложений: 3

Проверка ничего не выявила. Вот логи. Virus Removal tool поставился только в безопасном режиме. Так же, Диспетчер Задач показывает что оперативная память сильно загружена. Постоянно какие-то странные процессы появляются, которые "едят" память.
20.03.2009, 20:31
Rene-gad

Выполнить:
[CODE]begin
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\Drivers\Lbd.sys','');
QuarantineFile('C:\WINDOWS\cmstp.exe','');
BC_ImportDeletedList;
BC_Activate;
RebootWindows(true);
end.[/CODE]
- Закачайте карантин по ссылке [COLOR="Red"][B]Прислать запрошенный карантин[/B][/COLOR] вверху темы (Приложение 3 правил).
20.03.2009, 21:23
blackdeth

Ещё заметил, что logman.exe постепенно увеличивает количество потребляемой памяти. Приходится процесс вырубать. Карантин загрузил в zip. Только пароль не ставится.
21.03.2009, 00:20
Rene-gad

Закройте/выгрузите все программы кроме AVZ и Internet Explorer.
Отключите
- ПК от интернета/локалки
- Антивирус и Файрвол.
- Системное восстановление.

- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт[/URL]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\WINDOWS\cmstp.exe');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/CODE]

После перезагрузки:

- [url="http://virusinfo.info/showthread.php?t=10025"] Очистите [/url]темп-папки, кэш проводников и корзину.
- Закройте все программы, включая Антивирус и Файрвол, Оставьте запущенным [B]только Internet Explorer[/B]. Если он не запущен - запустите!!!
- Сделайте повторные логи
[b]virusinfo_syscure.zip
virusinfo_syscheck.zip
hijackthis.log [/b]
- Включите Антвирус и Файрволл
- Подключите ПК к интернету/локалке
- Закачайте карантин по ссылке [COLOR="Red"][B]Прислать запрошенный карантин[/B][/COLOR] вверху темы (Приложение 3 правил).
- Прикрепите логи к новому сообщению.
21.03.2009, 15:38
blackdeth

Вложений: 3

Логи. А карантина нового нет. Только за 20.03.09 есть. А его я уже загрузил.
21.03.2009, 15:54
Rene-gad

Закройте/выгрузите все программы кроме AVZ и Internet Explorer.
Отключите
- ПК от интернета/локалки
- Антивирус и Файрвол.
- Системное восстановление.

- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт[/URL]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
StopService('sony_ssm.sys');
QuarantineFile('C:\WINDOWS\System32\drivers\clipsrv.exe','');
QuarantineFile('C:\DOCUME~1\Seroga\LOCALS~1\Temp\mstinit.exe','');
QuarantineFile('C:\DOCUME~1\Seroga\LOCALS~1\Temp\sony_ssm.sys','');
DeleteFile('C:\DOCUME~1\Seroga\LOCALS~1\Temp\mstinit.exe');
DeleteFile('C:\WINDOWS\System32\drivers\clipsrv.exe');
DeleteService('sony_ssm.sys');
BC_ImportAll;
ExecuteSysClean;
BC_DeleteSvc('sony_ssm.sys');
BC_Activate;
RebootWindows(true);
end.
[/CODE]

После перезагрузки:
- Удалите [URL="http://virusinfo.info/showthread.php?t=27923"]Bonjour[/URL]
- [url="http://virusinfo.info/showthread.php?t=10025"] Очистите [/url]темп-папки, кэш проводников и корзину.
- Закройте все программы, включая Антивирус и Файрвол, Оставьте запущенным [B]только Internet Explorer[/B]. Если он не запущен - запустите!!!
- Сделайте повторные логи
[b]virusinfo_syscure.zip
virusinfo_syscheck.zip
hijackthis.log [/b]
- Включите Антвирус и Файрволл
- Подключите ПК к интернету/локалке
- Закачайте карантин по ссылке [COLOR="Red"][B]Прислать запрошенный карантин[/B][/COLOR] вверху темы (Приложение 3 правил).
- Прикрепите логи к новому сообщению.
21.03.2009, 21:21
blackdeth

Вложений: 3

Логи. Никакого Bonjour у меня нет. Как я понял, это создатель виртуальной локальной сети. У меня эту функцию выполняет Hamachi. Карантин тоже загрузил.

Большое спасибо всем, кто помогали. Я сделал формат Ц. Так что теперь комп чистый.
22.03.2009, 21:21
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]3[/B][*]Обработано файлов: [B]30[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\docume~1\seroga\applic~1\esentutl.exe - [B]Trojan-Downloader.Win32.Agent.bmye[/B][*] c:\docume~1\seroga\locals~1\applic~1\micros~1\cisvc.exe - [B]Trojan-Downloader.Win32.Agent.bmye[/B][*] c:\docume~1\seroga\locals~1\temp\mstinit.exe - [B]Trojan-Downloader.Win32.Agent.bmye[/B][*] c:\windows\cmstp.exe - [B]Trojan-Downloader.Win32.Agent.bmye[/B][*] c:\windows\system\sessmgr.exe - [B]Trojan-Downloader.Win32.Agent.bmye[/B][*] c:\windows\system32\drivers\clipsrv.exe - [B]Trojan-Downloader.Win32.Agent.bmye[/B][*] \2009-03-18\bcqr00003.dta - [B]Trojan-Downloader.Win32.Agent.bmye[/B][*] \2009-03-18\bcqr00004.dta - [B]Trojan-Downloader.Win32.Agent.bmye[/B][*] \2009-03-18\bcqr00005.dta - [B]Trojan-Downloader.Win32.Agent.bmye[/B][*] \2009-03-18\bcqr00006.dta - [B]Trojan-Downloader.Win32.Agent.bmye[/B][/LIST][/LIST]