Printable View
Доброго времени суток! Никак не получается избавиться от вышеуказанного трояна. Касперский отлавливает файл rhf.rmx постоянно появляющийся в корне C:. Процедура требует перезагрузки - после чего все опять повторяется. Есть подозрение что в системе живут несколько троянов (вроде бы светился *cany).
[b]Отключите восстановление системы![/b] См. Приложение 1 Правил.
Закройте все программы.
Запустите AVZ. Выполните скрипт через меню Файл:
[code]
begin
SetAVZGuardStatus(True);
SetAVZGuardStatus(True);
QuarantineFile('I:\autorun.inf','');
QuarantineFile('C:\WINDOWS\V_Server.exe','');
QuarantineFile('C:\WINDOWS\System32\drivers\tcpsr.sys','');
QuarantineFile('C:\WINDOWS\System32\isdylgje.dll','');
DeleteFile('C:\WINDOWS\System32\isdylgje.dll');
DeleteService('tcpsr');
DeleteService('Drsmva');
DeleteService('DmPnSN');
BC_DeleteSvc('tcpsr');
BC_DeleteSvc('Drsmva');
BC_DeleteSvc('DmPnSN');
QuarantineFile('C:\WINDOWS\system32\Drivers\ati2fjxx.sys','');
BC_QrFile('C:\WINDOWS\system32\Drivers\ati2fjxx.sys');
DeleteFile('C:\WINDOWS\System32\drivers\tcpsr.sys');
SysCleanAddFile('C:\Program Files\Download Master\dmaster.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
Компьютер перезагрузится.
Пришлите файлы из карантина AVZ (см. приложение 3 Правил), используя ссылку [color=red][b][u]Прислать запрошенный карантин[/u][/b][/color], вверху этой темы.
Скачайте файл [url]http://narod.ru/disk/9321269000/avz.exe.html[/url] (это более свежая версия AVZ, но в ней не обновляются базы).
Сохраните в отдельную папку и выполните 2-й стандартный скрипт.
Файл с результатами (virusinfo_syscheck.zip) приложите к теме.
Доброго времени суток! После вышеописанных процедур в карантине оказался только 1 файл (закачал архив на сайт по ссылке). К сожалению вирус не исчез. Прилагаю virusinfo_syscheck.zip после работы AVZ_poly.
P.S. Все время при работе AVZ выскакивает ошибка в "uxtheme.dll"
Выполнить скрипт:
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\Temp\..\shf.rml','');
DeleteService('ati2fjxx');
QuarantineFile('C:\WINDOWS\system32\Drivers\ati2fjxx.sys','');
DeleteFile('C:\WINDOWS\system32\Drivers\ati2fjxx.sys');
DeleteFile('C:\Temp\..\shf.rml');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]
Сделать заново логи после перезагрузки.
Загрузить карантин по Правилам через [url]http://virusinfo.info/upload_virus.php?tid=45957[/url]
Ответ аналитика: V_Server.exe - Backdoor.Win32.Hupigon.gvpk
Так что, в догонку еще один скрипт:
[code]
begin
SetAVZGuardStatus(True);
DelCLSID('3bf41072-b2b1-21c1-b5c1-0305f4155515');
DeleteFile('C:\WINDOWS\V_Server.exe');
BC_DeleteFile('C:\WINDOWS\V_Server.exe');
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
Компьютер перезагрузится.
Сделал все как требовалось. Карантин закачал, логи в аттаче.
P.S. Вроде бы файл shf.rml уже не создается, но периодически возникают ошибки в разных программах (Memory cannot be read и т.д.). Может быть еще что-нибудь осталось?
Не видно ничего подозрительного. Хотя лог надо было в нормальном режиме Windows делать.
Установите обновления безопасности на Windows.
Спасибо большое! Попробую sfc /scannow и затем обновления.
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]2[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\temp\..\shf.rml - [B]Trojan-PSW.Win32.Kates.c[/B] ( DrWEB: Trojan.AuxSpy.13, BitDefender: Trojan.Daonol.D )[*] c:\windows\v_server.exe - [B]Backdoor.Win32.Hupigon.gvpk[/B] ( DrWEB: BackDoor.Pigeon.21602 )[/LIST][/LIST]
Рекомендации:
[LIST=1][*]Обнаружены троянские программы класса Trojan-PSW/Trojan-Spy - настоятельно рекомендуется поменять все пароли ![/LIST]