Кучка троянов и COMres.dll

Printable View

08.04.2009, 10:21
Serpent

Вложений: 3

Кучка троянов и COMres.dll

Прошу помочь справиться с последствиями вирусной атаки.
С помощью Касперского троянов пару десятков вроде повыловил, но есть подозрение, что не всех. К тому же после лечения появилась проблема - при запуске практически любого приложения всплывает окно с таким текстом: "Приложению не удалось запуститься, поскольку COMres.dll не был найден. Повторная установка приложения может исправить эту проблему". После десятка щелчков по кнопке "закрыть" этого сообщения приложения все же запускаются. Насколько я помню, именно в этом файле Каспер нашел один из вирусов и снес его при перезагрузке. Как эту проблему решить - непонятно...
08.04.2009, 10:45
Гриша

[URL="http://virusinfo.info/showthread.php?t=7239"]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".[/URL]

[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DelBHO('{7242A763-6114-4045-9970-07C545D72C45}');
QuarantineFile('C:\WINDOWS\system32\wS0GWMZ.dll','');
QuarantineFile('C:\WINDOWS\system32\XR5nPhu9.dll','');
QuarantineFile('C:\WINDOWS\System32\Drivers\systemxx.sys','');
DeleteFile('C:\WINDOWS\system32\XR5nPhu9.dll');
DeleteFile('C:\WINDOWS\system32\wS0GWMZ.dll');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]

Пришлите карантин по правилам и повторите логи...
08.04.2009, 11:20
Serpent

Вложений: 3

Все сделал, логи и карантин прилагаю. Обратите внимание на файл в карантине javaloader.uno.dll. Его AVZ в который раз подозревает и помещает в карантин, но он все равно постоянно в папке open office присутствует. Это все-таки безвредный файл или нет?
Проблема с ошибкой COMres.dll пока никуда не делась.
08.04.2009, 11:21
Serpent

Оффтоп - привет землякам! Я тоже из Дуста :)
08.04.2009, 11:27
Гриша

По файлам подождем ответа аналитиков...

А вы пока установите SP3+all updates...

[QUOTE]Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)[/QUOTE]

Это самоубийство...
08.04.2009, 11:35
Serpent

Я на этой платформе уже несколько лет сижу, и особых проблем никогда не возникало. Может быть, потому, что в качестве браузера обычно Firefox использую...
В данном случае проблема возникла как раз после захода IE на сайт, который Firefox обозвал неблагонадежным.
SP3 поставить, конечно, пора, вот только вопрос - можно ли его ставить поверх SP1, а не SP2?
08.04.2009, 11:38
Гриша

Можно, после это напишите что получилось+ мы ответ уже получим...
08.04.2009, 12:06
Serpent

Пишут, что без установленного SP2 ставить SP3 все же не рекомендуется.
Так что пока от этого воздержусь, поставлю лучше потом сразу чистую систему с SP3, как только руки дойдут...
08.04.2009, 12:33
Гриша

Кто пишет тетя Мотя на заборе? SP3 нельзя ставить на систему без паков, остальное можно...

[size="1"][color="#666686"][B][I]Добавлено через 25 минут[/I][/B][/color][/size]

javaloader.uno.dll

Вредоносный код в файле не обнаружен.

systemxx.sys - [B]Trojan-GameThief.Win32.OnLineGames.uvdn[/B]

Детектирование файла будет добавлено в следующее обновление.

[URL="http://virusinfo.info/showthread.php?t=7239"]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".[/URL]

[CODE]begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteService('bbbb');
DeleteService('aaaa');
DeleteFile('C:\WINDOWS\System32\Drivers\systemd.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\systemxx.sys');
BC_ImportDeletedList;
ExecuteSysClean;
BC_DeleteSvc('bbbb');
BC_DeleteSvc('aaaa');
BC_Activate;
RebootWindows(true);
end.[/CODE]

Повторите логи AVZ...
08.04.2009, 15:12
Serpent

Вложений: 3

Новые логи прилагаю.
Когда полез за логом HijackThis в папку Program Files, Каспер нашел трояна [B]Trojan-GameThief.Win32.OnLineGames.blto[/B] в файле
C:\Program Files\q13.exe, файл удалил. В той же папке есть файлы:
q02.exe
q08.exe
q24.exe
Явно тоже вири, но Каспер на них не реагирует.

Среагировал после сноса файлов в корзину, откуда удалил.
08.04.2009, 15:22
Гриша

Ничего плохого, хост файл сами правили?

Ставьте SP3+all updates...
08.04.2009, 15:25
Serpent

Из хост файла удалил всякие левые адреса с помощью HijackThis еще до обращения сюда.
Делать нечего, поставлю сервис пак...
Как быть с ошибкой COMres.dll?
08.04.2009, 15:28
Гриша

В AVZ, Файл, Восстановление системы, пункт 13 отметьте и выполните...

[QUOTE]Как быть с ошибкой COMres.dll? [/QUOTE]

После установки поговорим :)
08.04.2009, 16:28
Serpent

Поставил, хотя и с траблами.
После установки и перезагрузки все то же окно "Приложению не удалось запуститься, поскольку COMres.dll не был найден. Повторная установка приложения может исправить эту проблему", для приложения migrate.exe. После примерно 5000 (это не шутка!) нажатий на "Ок" систему ребутнул, загрузился в Safe mode, потом в обычном режиме - на этот раз понадобилось всего лишь около сотни кликов...
Так можно ли что-то сделать с этой задолбавшей ошибкой? Может быть, попробовать sfc /scannow?
08.04.2009, 16:31
Гриша

COMres.dll есть в system32?

[CODE]попробовать sfc /scannow?[/CODE]

У вас дистрибутив с SP3?, если да, то сделайте...
08.04.2009, 16:32
Serpent

В system32 такого файла нет, его, видимо, Каспер снес в самом начале этой эпопеи.
Нет, дистрибутив SP1. SP3 я отдельно качал и ставил.
08.04.2009, 16:34
Гриша

Сделать интеграцию [url]http://www.oszone.net/2750[/url]

А потом sfc /scannow
08.04.2009, 17:44
Serpent

Проблема решилась.
Помогло скачивание comres.dll из сети.
Большое спасибо за помощь!
08.04.2009, 21:23
Гриша

Остальные апдейты после SP3 установите...
09.04.2009, 21:23
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]2[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\windows\system32\drivers\systemxx.sys - [B]Trojan-GameThief.Win32.OnLineGames.uvdn[/B][/LIST][/LIST]