Не удаляется файл (monderb.goa?)

Printable View

25.03.2009, 09:16
wtd

Вложений: 3

Не удаляется файл (monderb.goa?)

Добрый день!

Завелся файл C:\WINDOWS\system32\nnnkKBut.dll , который не удаляется никакими средствами.

Касперский подозревает в файле monderb.goa, ДрВеб -- virtumod.based.23 . Удалить не тот, ни другой не могут -- после перезагрузки файл возвращается.
25.03.2009, 10:44
Bratez

Выполните скрипт в AVZ:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\fgqouafc.dll','');
QuarantineFile('C:\Documents and Settings\artol\Local Settings\Temporary Internet Files\Content.IE5\CR5OPFOB\3077ahntdksr[1].dll','');
QuarantineFile('C:\WINDOWS\system32\twex.exe','');
QuarantineFile('C:\WINDOWS\RavMonE.exe','');
QuarantineFile('C:\WINDOWS\system32\xdqsqi.dll','');
QuarantineFile('C:\WINDOWS\system32\wxreed.dll','');
QuarantineFile('C:\WINDOWS\system32\vtUNeeCr.dll','');
QuarantineFile('C:\WINDOWS\system32\nnnkKBut.dll','');
QuarantineFile('C:\WINDOWS\system32\ggtuaodq.dll','');
DeleteFile('C:\WINDOWS\system32\ggtuaodq.dll');
DeleteFile('C:\WINDOWS\system32\nnnkKBut.dll');
DeleteFile('C:\WINDOWS\system32\vtUNeeCr.dll');
DeleteFile('C:\WINDOWS\system32\wxreed.dll');
DeleteFile('C:\WINDOWS\system32\xdqsqi.dll');
DeleteFile('C:\WINDOWS\RavMonE.exe');
DeleteFile('C:\WINDOWS\system32\twex.exe');
DeleteFile('C:\Documents and Settings\artol\Local Settings\Temporary Internet Files\Content.IE5\CR5OPFOB\3077ahntdksr[1].dll');
DeleteFile('C:\WINDOWS\system32\fgqouafc.dll');
DelBHO('{F6A9C779-4730-42F7-9142-432860D0B778}');
DelBHO('{ee5adef0-d1ca-44d2-b88f-5f0e6a305523}');
DelBHO('{53F790A4-191C-41D2-8890-F73FFF04F811}');
DelBHO('{3DE82B7E-C3CD-4CE8-8CEC-53FBC6DC8BDF}');
DelBHO('{24612422-8A1A-46FA-93F9-8A3C651B2118}');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]
Компьютер перезагрузится.
Пришлите карантин согласно приложению 3 правил
(загружать тут: [url]http://virusinfo.info/upload_virus.php?tid=42461[/url]).
Сделайте новые логи (только п.2 и 3 раздела Диагностика).
25.03.2009, 11:22
wtd

Вложений: 2

[QUOTE=Bratez;377284]
Пришлите карантин согласно приложению 3 правил[/QUOTE]

Сделано.

[QUOTE=Bratez;377284]Сделайте новые логи (только п.2 и 3 раздела Диагностика).[/QUOTE]

Приложены.
25.03.2009, 12:54
Bratez

Пофиксите в HijackThis:
[code]
O2 - BHO: (no name) - {1D30FCE1-02F5-44F1-A62F-D9A4A08A8DC4} - C:\WINDOWS\system32\vtUNeeCr.dll (file missing)
O2 - BHO: {c021253e-0b21-8d4a-eba4-efb481ca4d92} - {29d4ac18-4bfe-4abe-a4d8-12b0e352120c} - C:\WINDOWS\system32\vufjdt.dll
O2 - BHO: (no name) - {FC65958F-16D6-487D-8323-1AC1855ACE44} - (no file)
O4 - HKLM\..\Run: [40c14abf] rundll32.exe "C:\WINDOWS\system32\keakggsn.dll",b
O9 - Extra button: ICQ Lite - {E59EB121-F339-4851-A3BA-FE49C35617C2} - ICQ.exe (file missing)
O9 - Extra 'Tools' menuitem: ICQ Lite - {E59EB121-F339-4851-A3BA-FE49C35617C2} - ICQ.exe (file missing)
O20 - AppInit_DLLs: vufjdt.dll
O20 - Winlogon Notify: nnnkKBut - nnnkKBut.dll (file missing)
[/code]
Выполните скрипт в AVZ:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
ClearQuarantine;
QuarantineFile('C:\WINDOWS\system32\vufjdt.dll','');
QuarantineFile('C:\WINDOWS\system32\keakggsn.dll','');
DeleteFile('C:\WINDOWS\system32\keakggsn.dll');
DeleteFile('C:\WINDOWS\system32\vufjdt.dll');
DelBHO('{29d4ac18-4bfe-4abe-a4d8-12b0e352120c}');
DelBHO('{1D30FCE1-02F5-44F1-A62F-D9A4A08A8DC4}');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]
Компьютер перезагрузится.

Пришлите новый карантин согласно приложению 3 правил.

Удалите [URL="http://virusinfo.info/showthread.php?t=27923"]Bonjour[/URL].
Сделайте новые логи (только п.2 и 3 раздела Диагностика).
25.03.2009, 13:27
wtd

Вложений: 2

[QUOTE=Bratez;377347]Пофиксите в HijackThis:[/QUOTE]

Сделано.

[QUOTE=Bratez;377347]Выполните скрипт в AVZ:[/QUOTE]

Сделано.

[QUOTE=Bratez;377347]Пришлите новый карантин согласно приложению 3 правил.
Удалите [URL="http://virusinfo.info/showthread.php?t=27923"]Bonjour[/URL].
Сделайте новые логи (только п.2 и 3 раздела Диагностика).[/QUOTE]

Карантин выложен, Bonjour удален, логи приложены.
25.03.2009, 13:49
Bratez

Мы победили :)
Какие-то проблемы остались?
25.03.2009, 13:53
wtd

[QUOTE=Bratez;377396]Мы победили :)
Какие-то проблемы остались?[/QUOTE]Все отлично, гигантское спасибо!
26.03.2009, 13:53
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]13[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\windows\system32\girmcc.bak - [B]Trojan.Win32.Monder.buyr[/B] ( BitDefender: Gen:Trojan.Heur.Vundo.6039C6E6E6 )[*] c:\windows\system32\keakggsn.dll - [B]Trojan.Win32.Monder.buuh[/B] ( BitDefender: Gen:Trojan.Heur.Vundo.4019E6C6C6 )[*] c:\windows\system32\ktswkfiq.dll - [B]not-a-virus:AdWare.Win32.Virtumonde.auzp[/B] ( BitDefender: Gen:Trojan.Heur.Vundo.4019E6C6C6 )[*] c:\windows\system32\nnnkkbut.dll - [B]Trojan.Win32.Monderb.goa[/B] ( DrWEB: Trojan.Virtumod.based.23, BitDefender: Trojan.Vundo.FLU )[*] c:\windows\system32\vaszvi.dll - [B]Trojan.Win32.Agent.bwuo[/B] ( BitDefender: Gen:Trojan.Heur.Vundo.6039C6E6E6 )[*] c:\windows\system32\vtuneecr.dll - [B]Trojan.Win32.Monder.buyn[/B] ( BitDefender: Gen:Trojan.Heur.Vundo.E0B9466666 )[*] c:\windows\system32\vufjdt.dll - [B]Trojan-Downloader.Win32.Obfuscated.qxd[/B] ( BitDefender: Gen:Trojan.Heur.Vundo.6039C6E6E6 )[*] c:\windows\system32\wxreed.dll - [B]Trojan.Win32.Agent.bwuo[/B] ( BitDefender: Gen:Trojan.Heur.Vundo.6039C6E6E6 )[*] c:\windows\system32\xdqsqi.dll - [B]Trojan.Win32.Agent.bwuo[/B] ( BitDefender: Gen:Trojan.Heur.Vundo.6039C6E6E6 )[/LIST][/LIST]