Боремся за жизнь после установки сборки от лонера

Printable View

23.03.2009, 20:54
usja

Вложений: 3

Боремся за жизнь после установки сборки от лонера

Поставил win xp sp3 сборка от лонера.
Сразу поставил нод и тут понеслось :furious3::censored:

На данный момент раз 20 фиксел все с помощью hijack this, avz, нодом проганялся многократно, куритом и утилитой от avz.
но все равно :furious3::censored:

Логи прилагаются

UPD: Удалил xj*** немного легче стало.
23.03.2009, 21:25
light59

Ну и нахватали вы всякой дряни...

[CODE]Опасно - файл avz.exe изменен, его CRC не прошла контроль по базе безопасных
[/CODE]
Заархивируйте файлик avz.exe с паролем virus .
Пришлите его по ссылке [URL="http://virusinfo.info/upload_virus.php?tid=42348"]http://virusinfo.info/upload_virus.php?tid=42348[/URL].
Сделайте то, что написано тут [URL="http://virusinfo.info/showthread.php?t=15927"]http://virusinfo.info/showthread.php?t=15927[/URL] (Желательно использовать вариант с LiveCD).
Повторите логи.
23.03.2009, 21:58
usja

Вложений: 3

[QUOTE]Заархивируйте файлик avz.exe с паролем virus .[/QUOTE]
Залил.
[CODE]
Файл сохранён как090323_213003_avz_49c7d52b72d2b.zipРазмер файла714404MD590a0ff41e46bbd20ca9d7d55b5cb0d39
[/CODE]
[QUOTE]Сделайте то, что написано тут [url]http://virusinfo.info/showthread.php?t=15927[/url] (Желательно использовать вариант с LiveCD).[/QUOTE]
Было сделано с помощью cureit затем rmvirut от AVP.

rmvirut ругался почти на все .exe

Логи прилагаются.
Немного полегчало после удаления файла [B]xjxljye32.exe[/B] нод его назвал [B]win32.Injector.CT[/B]
Благодарю за столь быстрый ответ
23.03.2009, 23:18
AndreyKa

Закройте все программы.
Запустите AVZ.
Выполните скрипт через меню Файл:
[code]
begin
SetAVZGuardStatus(True);
QuarantineFile('F:\WINDOWS\system32\svchost.exe:ext.exe:$DATA','');
QuarantineFile('xjxljye.dll','');
QuarantineFile('F:\WINDOWS\system32\webcheck.dll','');
QuarantineFile('F:\WINDOWS\system32\pdbcopy.exe','');
QuarantineFile('F:\WINDOWS\system32\makehm.exe','');
QuarantineFile('F:\WINDOWS\system32\idaw64.exe','');
QuarantineFile('F:\WINDOWS\system32\i386kd.exe','');
QuarantineFile('F:\WINDOWS\system32\gcc.exe','');
QuarantineFile('F:\WINDOWS\system32\7z.exe','');
QuarantineFile('F:\WINDOWS\services.exe','');
QuarantineFile('F:\Documents and Settings\andrey\reader_s.exe','');
BC_DeleteSvc('tcpsr');
QuarantineFile('F:\WINDOWS\System32\drivers\tcpsr.sys','');
BC_DeleteSvc('sptd');
BC_DeleteSvc('ICF');
BC_DeleteSvc('IPSECNDISBRIDGE');
BC_DeleteSvc('protect');
QuarantineFile('F:\WINDOWS\system32\ipsecndis.sys','');
BC_DeleteSvc('ati0srxx');
BC_DeleteSvc('ati0udxx');
BC_DeleteSvc('ati0yqxx');
BC_DeleteSvc('ati1wexx');
BC_DeleteSvc('ati3afxx');
BC_DeleteSvc('ati3hxxx');
BC_DeleteSvc('ati5rrxx');
BC_DeleteSvc('ati6oexx');
BC_DeleteSvc('ati6tqxx');
BC_DeleteSvc('ati7gmxx');
QuarantineFile('F:\WINDOWS\system32\Drivers\NDIS.sys','');
QuarantineFile('F:\WINDOWS\System32\Drivers\ati1hoxx.sys','');
BC_DeleteSvc('ati1hoxx');
QuarantineFile('F:\WINDOWS\system32\DRIVERS\dlkfet5b.sys','');
QuarantineFile('f:\windows\system32\rs32net.exe','');
DeleteFile('f:\windows\system32\rs32net.exe');
DeleteFile('F:\WINDOWS\system32\ipsecndis.sys');
DeleteFile('F:\WINDOWS\System32\drivers\tcpsr.sys');
DeleteFile('F:\Documents and Settings\andrey\reader_s.exe');
DeleteFile('F:\WINDOWS\services.exe');
DeleteFile('F:\WINDOWS\system32\7z.exe');
DeleteFile('F:\WINDOWS\system32\gcc.exe');
DeleteFile('F:\WINDOWS\system32\i386kd.exe');
DeleteFile('F:\WINDOWS\system32\idaw64.exe');
DeleteFile('F:\WINDOWS\system32\makehm.exe');
DeleteFile('F:\WINDOWS\system32\pdbcopy.exe');
DeleteFile('F:\WINDOWS\system32\windres.exe');
DeleteFile('xjxljye.dll');
DeleteFile('F:\WINDOWS\system32\svchost.exe:ext.exe:$DATA');
DeleteFile('F:\WINDOWS\Temp\VRT22.tmp');
DeleteFile('f:\windows\system32\svchost.exe:ext.exe:$DATA');
DeleteFile('F:\WINDOWS\system32\dctool32.sys');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
Компьютер перезагрузится.
Пришлите файлы из карантина AVZ (см. приложение 3 Правил), используя ссылку [color=red][b][u]Прислать запрошенный карантин[/u][/b][/color], вверху этой темы.
Обновите базы AVZ.
Сделайте новый лог из пункта 2 Диагностики и приложите к этой теме.
24.03.2009, 20:12
usja

Вложений: 1

[B]Карантин:[/B]

Файл сохранён как 090324_200758_virus_49c9136ebdf42.zip
Размер файла 646976
MD5 24debb88920cb43f95c7fbebfa2da6c6
24.03.2009, 20:21
light59

[URL="http://rapidshare.com/files/133061044/IceSword122en.zip.html "]Скачайте IceSword[/URL]
-Запустите программу.
-Внизу слева выберите меню File.Появится аналог проводника.
-Найдите в нём файл
[code]
F:\WINDOWS\system32\Drivers\[B]ati0clxx.sys[/B]
[/code]
-Нажмите по нему правой кнопкой мыши и выберите force delete.
-На запрос потверждения ответьте "да".
[URL="http://virusinfo.info/showthread.php?t=7239"]В AVZ -> файл-> Выполнить скрипт[/URL]

[CODE]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteService('ati0clxx');
QuarantineFile('F:\WINDOWS\system32\userinit.exe','');
QuarantineFile('f:\windows\system32\xjxljye.dll','');
DeleteFile('F:\WINDOWS\system32\Drivers\ati0clxx.sys');
DeleteFile('F:\WINDOWS\System32\Drivers\ati1mixx.sys');
DeleteFile('F:\WINDOWS\System32\Drivers\ati7bfxx.sys');
DeleteFile('F:\WINDOWS\System32\Drivers\ati8xwxx.sys');
DeleteFile('F:\Documents and Settings\andrey\reader_s.exe');
DeleteFile('F:\WINDOWS\System32\reader_s.exe');
DeleteFile('F:\WINDOWS\System32\rs32net.exe');
DeleteFile('f:\windows\system32\xjxljye.dll');
BC_Importall;
BC_DeleteSvc('ati0clxx');
BC_DeleteSvc('ati8xwxx');
BC_DeleteSvc('ati7bfxx');
BC_DeleteSvc('ati1mixx');
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/CODE]
Компьютер перезагрузится.
Пришлите карантин.
1.Сделайте полную проверку CureIt (запишите его на CD на незаражённом компьютере).
2.Замените файл [CODE]F:\WINDOWS\system32\[B]userinit.exe[/B][/CODE] на чистый из дистрибутива.
3.Скачайте заново AVZ.
4.Повторите логи по правилам.
25.03.2009, 20:21
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]10[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] \avz.exe - [B]Virus.Win32.Virut.ce[/B] ( DrWEB: Win32.Virut.56 )[*] f:\documents and settings\andrey\reader_s.exe - [B]Trojan.Win32.Agent2.fsa[/B] ( DrWEB: Trojan.DownLoad.29459, BitDefender: Trojan.PWS.Papras.N )[*] f:\windows\system32\drivers\ndis.sys - [B]Rootkit.Win32.Agent.ijn[/B] ( DrWEB: Trojan.NtRootKit.2670, BitDefender: Trojan.Kobcka.HN )[*] f:\windows\system32\i386kd.exe - [B]Virus.Win32.Virut.ce[/B] ( DrWEB: Win32.Virut.56, BitDefender: Trojan.Agent.AGSP )[*] f:\windows\system32\rs32net.exe - [B]Trojan.Win32.Agent2.gjr[/B] ( DrWEB: BackDoor.Bulknet.320, BitDefender: Trojan.Kobcka.HP )[*] f:\windows\system32\svchost.exe:ext.exe:$data - [B]Trojan-Downloader.Win32.Agent.bmrg[/B] ( BitDefender: Gen:Trojan.Heur.P20708FDFDF )[*] f:\windows\system32\xjxljye.dll - [B]Backdoor.Win32.Hijack.an[/B] ( BitDefender: Trojan.FakeAlert.ABZ )[/LIST][/LIST]