не убиваемый WARNING! YOUR'RE IN DANGER!

Printable View

03.06.2009, 15:18
Shaman_

Вложений: 2

не убиваемый WARNING! YOUR'RE IN DANGER!

Ни чем не могу вылечить!
Запускал LiveCD от Dr-Web.
Снимал жесткий диск и сканировал касперским.
Вирус всё равно остаётся.
Делает он следующее.
1) Не запускаются ни какие программы (exe com bat и пр.) стандартным способом - открыть. Однако это удалось обойти создав новую учётную запись и дав ей права администратора. После этого программы стали запускаться через RunAs.
2) Если в списке процессов после убивания вирус восстанавливается.
3) Вирус сам делаю Logout довольно оригинальным способом - мышка САМА! движется по экрану к кнопке пуск, где бы она не находилась и делает LogOut. Помогает только LockScreen на несколько минут.
4) На экране рабочего стола надпись WARNING! YOUR'RE IN DANGER! YOUR COMPUTER IS INFECTED WITH SPYWARE! и тп
5) Через некоторое время около 15 минут система вываливается в синий экран STOP x00021a и перезагрузка.
6) На компьютере стоит лицензионный AVP 2009 хотя подключение и интернету было он видимо не обновлялся, не понятно по какой причине.
7) По причине перезагрузки скрипт AVZ не может до конца выполниться потому файл virusinfo_syscure.zip отсутсвует. Может его как то можно собрать без полного сканирования.

Пожалуйста, помогите ноутбук нужен для работы.
03.06.2009, 16:10
PavelA

профиксить:
[CODE]O20 - AppInit_DLLs: blocker.dll[/CODE]
На всех малваре сил не хватило скрипт генерить.
Выполнить скрипт:
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\z84bspyw9re557.cpl','');
QuarantineFile('C:\WINDOWS\system32\z5695troj34c9.cpl','');
QuarantineFile('C:\WINDOWS\system32\z0699t59j7b4.cpl','');
QuarantineFile('C:\WINDOWS\system32\z054not5a9virus1f7.cpl','');
QuarantineFile('C:\WINDOWS\system32\e9ca9dzare2541.cpl','');
QuarantineFile('C:\WINDOWS\8655troz9b35.cpl','');
QuarantineFile('C:\WINDOWS\7abdzhi95514.cpl','');
QuarantineFile('C:\WINDOWS\7940vir571z.cpl','');
QuarantineFile('C:\WINDOWS\792159r13z9.cpl','');
QuarantineFile('C:\WINDOWS\7719zhi5f1641.cpl','');
QuarantineFile('C:\WINDOWS\75zfth9eat5842.cpl','');
QuarantineFile('C:\WINDOWS\75f6dzw9loader181.cpl','');
QuarantineFile('C:\WINDOWS\6z5as9ars52156.cpl','');
QuarantineFile('C:\WINDOWS\6c5as5eal2697z.cpl','');
QuarantineFile('C:\WINDOWS\69z9addwa5e2889.cpl','');
QuarantineFile('C:\WINDOWS\68cd9pywzre27745.cpl','');
QuarantineFile('C:\WINDOWS\6672z9ambot55.cpl','');
QuarantineFile('C:\WINDOWS\6550thr9at1990z.cpl','');
QuarantineFile('C:\WINDOWS\602395reaz16297.cpl','');
QuarantineFile('C:\WINDOWS\5df4szarse2983.cpl','');
QuarantineFile('C:\WINDOWS\5d58ba9kdozr2929.cpl','');
QuarantineFile('C:\WINDOWS\5a649zr5547.cpl','');
QuarantineFile('C:\WINDOWS\597dspyw5re1z99.cpl','');
QuarantineFile('C:\WINDOWS\57175azk9ool388.cpl','');
QuarantineFile('C:\WINDOWS\55z0downloa9er7185.cpl','');
QuarantineFile('C:\WINDOWS\5597bzckd9or841.cpl','');
QuarantineFile('C:\WINDOWS\55629hief28z4.cpl','');
QuarantineFile('C:\WINDOWS\51d05iz7539.cpl','');
QuarantineFile('C:\WINDOWS\5153th9efz073.cpl','');
QuarantineFile('C:\WINDOWS\4ccaspaz951670.cpl','');
QuarantineFile('C:\WINDOWS\406195t-a-virzs5e7.cpl','');
QuarantineFile('C:\WINDOWS\3z05spars919265.cpl','');
QuarantineFile('C:\WINDOWS\3f85bazkdoor2093.cpl','');
QuarantineFile('C:\WINDOWS\3ccbaddw9ze16965.cpl','');
QuarantineFile('C:\WINDOWS\3565spazse93685.cpl','');
QuarantineFile('C:\WINDOWS\3492backdoor185z.cpl','');
QuarantineFile('C:\WINDOWS\3379sparze2754.cpl','');
QuarantineFile('C:\WINDOWS\3202zt5oj7c9.cpl','');
QuarantineFile('C:\WINDOWS\30399notza-viru5185.cpl','');
QuarantineFile('C:\WINDOWS\2a27v5z9304.cpl','');
QuarantineFile('C:\WINDOWS\29z13wor51679.cpl','');
QuarantineFile('C:\WINDOWS\295705pz5829.cpl','');
QuarantineFile('C:\WINDOWS\26759ackdooz2365.cpl','');
QuarantineFile('C:\WINDOWS\26657wozm779.cpl','');
QuarantineFile('C:\WINDOWS\26236tr5j6z79.cpl','');
QuarantineFile('C:\WINDOWS\25951szy6ae.cpl','');
QuarantineFile('C:\WINDOWS\244zstea51939.cpl','');
QuarantineFile('C:\WINDOWS\23bes9ea51047z.cpl','');
QuarantineFile('C:\WINDOWS\227f59czdoor1243.cpl','');
QuarantineFile('C:\WINDOWS\19802w5rm49z.cpl','');
QuarantineFile('C:\WINDOWS\195zst5al1908.cpl','');
QuarantineFile('C:\WINDOWS\191285pz85.cpl','');
QuarantineFile('C:\WINDOWS\18590hacztool199.cpl','');
QuarantineFile('C:\WINDOWS\1828spambot3z95.cpl','');
QuarantineFile('C:\WINDOWS\1554t5oz129.cpl','');
QuarantineFile('C:\WINDOWS\15458spaz9ot50c.cpl','');
QuarantineFile('C:\WINDOWS\13cdba9kdoo5232z.cpl','');
QuarantineFile('C:\WINDOWS\109719ro52e9z.cpl','');
QuarantineFile('C:\WINDOWS\system32\tempo-setup2.exe','');
QuarantineFile('C:\WINDOWS\system32\io02.sys','');
DeleteFile('C:\WINDOWS\109719ro52e9z.cpl');
DeleteFile('C:\WINDOWS\128z5h5c9tool27a.cpl');
DeleteFile('C:\WINDOWS\13cdba9kdoo5232z.cpl');
DeleteFile('C:\WINDOWS\15458spaz9ot50c.cpl');
DeleteFile('C:\WINDOWS\1554t5oz129.cpl');
DeleteFile('C:\WINDOWS\1828spambot3z95.cpl');
DeleteFile('C:\WINDOWS\18590hacztool199.cpl');
DeleteFile('C:\WINDOWS\191285pz85.cpl');
DeleteFile('C:\WINDOWS\195zst5al1908.cpl');
DeleteFile('C:\WINDOWS\19802w5rm49z.cpl');
DeleteFile('C:\WINDOWS\227f59czdoor1243.cpl');
DeleteFile('C:\WINDOWS\23bes9ea51047z.cpl');
DeleteFile('C:\WINDOWS\244zstea51939.cpl');
DeleteFile('C:\WINDOWS\25951szy6ae.cpl');
DeleteFile('C:\WINDOWS\26236tr5j6z79.cpl');
DeleteFile('C:\WINDOWS\26657wozm779.cpl');
DeleteFile('C:\WINDOWS\26759ackdooz2365.cpl');
DeleteFile('C:\WINDOWS\295705pz5829.cpl');
DeleteFile('C:\WINDOWS\29z13wor51679.cpl');
DeleteFile('C:\WINDOWS\2a27v5z9304.cpl');
DeleteFile('C:\WINDOWS\30399notza-viru5185.cpl');
DeleteFile('C:\WINDOWS\3202zt5oj7c9.cpl');
DeleteFile('C:\WINDOWS\3379sparze2754.cpl');
DeleteFile('C:\WINDOWS\3492backdoor185z.cpl');
DeleteFile('C:\WINDOWS\3565spazse93685.cpl');
DeleteFile('C:\WINDOWS\3ccbaddw9ze16965.cpl');
DeleteFile('C:\WINDOWS\3f85bazkdoor2093.cpl');
DeleteFile('C:\WINDOWS\3z05spars919265.cpl');
DeleteFile('C:\WINDOWS\406195t-a-virzs5e7.cpl');
DeleteFile('C:\WINDOWS\4ccaspaz951670.cpl');
DeleteFile('C:\WINDOWS\5153th9efz073.cpl');
DeleteFile('C:\WINDOWS\51d05iz7539.cpl');
DeleteFile('C:\WINDOWS\55629hief28z4.cpl');
DeleteFile('C:\WINDOWS\5597bzckd9or841.cpl');
DeleteFile('C:\WINDOWS\55z0downloa9er7185.cpl');
DeleteFile('C:\WINDOWS\57175azk9ool388.cpl');
DeleteFile('C:\WINDOWS\597dspyw5re1z99.cpl');
DeleteFile('C:\WINDOWS\5a649zr5547.cpl');
DeleteFile('C:\WINDOWS\5d58ba9kdozr2929.cpl');
DeleteFile('C:\WINDOWS\5df4szarse2983.cpl');
DeleteFile('C:\WINDOWS\69z9addwa5e2889.cpl');
DeleteFile('C:\WINDOWS\68cd9pywzre27745.cpl');
DeleteFile('C:\WINDOWS\6672z9ambot55.cpl');
DeleteFile('C:\WINDOWS\6550thr9at1990z.cpl');
DeleteFile('C:\WINDOWS\602395reaz16297.cpl');
DeleteFile('C:\WINDOWS\8655troz9b35.cpl');
DeleteFile('C:\WINDOWS\7abdzhi95514.cpl');
DeleteFile('C:\WINDOWS\7940vir571z.cpl');
DeleteFile('C:\WINDOWS\792159r13z9.cpl');
DeleteFile('C:\WINDOWS\7719zhi5f1641.cpl');
DeleteFile('C:\WINDOWS\75zfth9eat5842.cpl');
DeleteFile('C:\WINDOWS\75f6dzw9loader181.cpl');
DeleteFile('C:\WINDOWS\6z5as9ars52156.cpl');
DeleteFile('C:\WINDOWS\6c5as5eal2697z.cpl');
DeleteFile('C:\WINDOWS\system32\e9ca9dzare2541.cpl');
DeleteFile('C:\WINDOWS\system32\z054not5a9virus1f7.cpl');
DeleteFile('C:\WINDOWS\system32\z0699t59j7b4.cpl');
DeleteFile('C:\WINDOWS\system32\z5695troj34c9.cpl');
DeleteFile('C:\WINDOWS\system32\z84bspyw9re557.cpl');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]

Сделать заново логи после перезагрузки.
Загрузить карантин по Правилам через [url]http://virusinfo.info/upload_virus.php?tid=47131[/url]
03.06.2009, 18:50
Shaman_

Вложений: 2

похоже ни чего не получится ;..(

C 5 го раза мне всё таки удалось выполнить script AVZ до конца..
он не смог победить вирус... за то тепрь программы вообще ни как не запускаются..
Т.е. запуск какого либо скрипта как я понимаю не возможен?

оказывается после убивания explorera вирус начинал бездействовать
hijackthis не может отключить указанную строку... т.е. он ее отключает но после повторного сканирования она всё равно там :(
03.06.2009, 18:59
PavelA

Не сдаваться!!! Рано еще. Выполнить:
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
ClearQuarantine;
QuarantineFile('C:\WINDOWS\system32\blocker.dll','');
QuarantineFile('C:\Program Files\Alky for Applications\vshellext.dll','');
DeleteFile('C:\WINDOWS\system32\blocker.dll');
DeleteFile('C:\WINDOWS\891zsp5mbot5c0.cpl');
DeleteFile('C:\WINDOWS\901za5ktool2089.cpl');
DeleteFile('C:\WINDOWS\9038zot-a-vi9us535.cpl');
DeleteFile('C:\WINDOWS\91z94virus5d9.cpl');
DeleteFile('C:\WINDOWS\929t5zj251.cpl');
DeleteFile('C:\WINDOWS\9600not5a-vizus9.cpl');
DeleteFile('C:\WINDOWS\99virus5z6.cpl');
DeleteFile('C:\WINDOWS\e665dd9aze2495.cpl');
DeleteFile('C:\WINDOWS\e89b5ckdzor920.cpl');
DeleteFile('C:\WINDOWS\f1asp5rs9z11.cpl');
DeleteFile('C:\WINDOWS\z445h9ef2905.cpl');
DeleteFile('C:\WINDOWS\z49599irus7f9.cpl');
DeleteFile('C:\WINDOWS\z54csparse2295.cpl');
DeleteFile('C:\WINDOWS\z61th9ef2585.cpl');
DeleteFile('C:\WINDOWS\z867troj45d9.cpl');
DeleteFile('C:\WINDOWS\z9431worm415.cpl');
DeleteFile('C:\WINDOWS\zae3s9eal2585.cpl');
DeleteFile('C:\WINDOWS\system32\10233not-z9vir5s490.cpl');
DeleteFile('C:\WINDOWS\system32\10azsteal5969.cpl');
DeleteFile('C:\WINDOWS\system32\11425zp931e.cpl');
DeleteFile('C:\WINDOWS\system32\1165addwaz92047.cpl');
DeleteFile('C:\WINDOWS\system32\1194zdd9are2554.cpl');
DeleteFile('C:\WINDOWS\system32\12557spyz9d.cpl');
DeleteFile('C:\WINDOWS\system32\135449rzj6f8.cpl');
DeleteFile('C:\WINDOWS\system32\17939not-a-viru955z.cpl');
DeleteFile('C:\WINDOWS\system32\185235zo979f.cpl');
DeleteFile('C:\WINDOWS\system32\194zspyware24225.cpl');
DeleteFile('C:\WINDOWS\system32\19z90spambot5b55.cpl');
DeleteFile('C:\WINDOWS\system32\1a87addzar526989.cpl');
DeleteFile('C:\WINDOWS\system32\20366spazbo95b6.cpl');
DeleteFile('C:\WINDOWS\system32\22189zp59b9.cpl');
DeleteFile('C:\WINDOWS\system32\23691szamb9t2d95.cpl');
DeleteFile('C:\WINDOWS\system32\24064tr9j76z5.cpl');
DeleteFile('C:\WINDOWS\system32\2509thief2364z.cpl');
DeleteFile('C:\WINDOWS\system32\25999trzj733.cpl');
DeleteFile('C:\WINDOWS\system32\271dthreat2z7859.cpl');
DeleteFile('C:\WINDOWS\system32\28462not5azv9rus43a.cpl');
DeleteFile('C:\WINDOWS\system32\28536z9t-a-virus4b9.cpl');
DeleteFile('C:\WINDOWS\system32\286dad5waze939.cpl');
DeleteFile('C:\WINDOWS\system32\28935virus59z.cpl');
DeleteFile('C:\WINDOWS\system32\29013worm5z5.cpl');
DeleteFile('C:\WINDOWS\system32\2930a5dware26z0.cpl');
DeleteFile('C:\WINDOWS\system32\29557troj447z.cpl');
DeleteFile('C:\WINDOWS\system32\29592not9a-vir5sz4.cpl');
DeleteFile('C:\WINDOWS\system32\295z9not-a-vir9s4a2.cpl');
DeleteFile('C:\WINDOWS\system32\2fa2dow5l9ader2z4.cpl');
DeleteFile('C:\WINDOWS\system32\2z319pambot754.cpl');
DeleteFile('C:\WINDOWS\system32\311z3spy59f.cpl');
DeleteFile('C:\WINDOWS\system32\321ctzi5f9780.cpl');
DeleteFile('C:\WINDOWS\system32\39909zoj1d55.cpl');
DeleteFile('C:\WINDOWS\system32\39z4t5reat17696.cpl');
DeleteFile('C:\WINDOWS\system32\424not-z-virus2915.cpl');
DeleteFile('C:\WINDOWS\system32\4cedsp9rse15z65.cpl');
DeleteFile('C:\WINDOWS\system32\4e5ezpyware19985.cpl');
DeleteFile('C:\WINDOWS\system32\4ebzac59oor2694.cpl');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]

Карантин прислать.
Логи заново сделать.
03.06.2009, 19:51
Shaman_

AVZ не запускается... впрочем как и TotalCommander и ProcessExplorer cmd и bat файлы... и в Безопасном режиме тоже.
Кстати вирус работает и Safe Mode так же успешно перемещает мышь к пуску и нажимает Logout.
Странно только то что AnVir запускается и успешно работает, скачал полиморфный AVZ тоже не запускается :(

[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]

А вот еще HijackThis тоже запускается.

[size="1"][color="#666686"][B][I]Добавлено через 9 минут[/I][/B][/color][/size]

Список процессо можно пересчитать по пальцам и все они знакомы и понятны... я ни когда такого не встречал. Бешено мечащиеся процесы исцезли, видимо что-то всё таки полечилось... Однако как вернуть возможность запуска и убрать самоходный курсор....ума не приложу.

[size="1"][color="#666686"][B][I]Добавлено через 24 минуты[/I][/B][/color][/size]

Сегодня уже пошёл спать... надеюсь завтра получится запустить AVZ и выполнить скрипты... качаю Icesword что-то мне подсказывает без него не обойтись...он кстати запускается нормально, но что нужно делать?
03.06.2009, 19:54
PavelA

'C:\WINDOWS\system32\blocker.dll', - самое главное: грохнуть вот это.
03.06.2009, 20:37
Shaman_

Спасибо Павел! Спать уйти не удалось :)
Удалось мечом выяснить какой процесс всё таки поражен. Так как blocker.dll воскрешался пока не был убит explorer и service.exe потом был остановлен Shurdown /a и вуаля вызов програм заработал.
Скрипт отказался выполнятся AVZ повис. Убил всё руками. Файлов типа как в скрипте было более 600.
И о чудо всё заработало после перезагрузки. И даже касперский запустился ;)
03.06.2009, 21:16
Shaman_

Вложений: 2

Посмотрите, пожалуйста есть ли еще что-то?
Подскажите KAV 2009 со свежими базами как мог пропустить этот вирус (или это малваре) ? После того как KAV запустился я обнаружил, что базы в нём от 02.06.09! Кстати и Dr-Web ни чем не лучше так как его LiveCD тоже ни чего не обнаружил.
KIS например поможет? Или тоже не факт...? (хотя конечно это офтопик)
04.06.2009, 02:29
Bratez

[b]Отключите восстановление системы![/b]
Пофиксите в HijackThis:
[code]
O9 - Extra button: (no name) - DctMapping - (no file)
O20 - AppInit_DLLs: blocker.dll
[/code]
Выполните скрипт в AVZ:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
ClearQuarantine;
QuarantineFile('C:\WINDOWS\system32\io02.sys','');
BC_ImportALL;
BC_Activate;
ExecuteRepair(17);
RebootWindows(true);
end.[/code]
Компьютер перезагрузится.
Пришлите новый карантин согласно приложению 3 правил.
[B]Обновите базы AVZ [/B]и сделайте новые логи.

[size="1"][color="#666686"][B][I]Добавлено через 2 минуты[/I][/B][/color][/size]

[QUOTE]KAV 2009 со свежими базами как мог пропустить этот вирус [/QUOTE]
К сожалению, ни один антивирус, даже самый лучший, не может дать 100% гарантию от заражения.
04.06.2009, 07:31
Shaman_

Вложений: 2

Всё сделал.
04.06.2009, 08:08
Shaman_

Процесс cisvc.exe сильно грузит процессор.
В папке C:\Windows\ есть какие-то подозрительные файлы.

[size="1"][color="#666686"][B][I]Добавлено через 7 минут[/I][/B][/color][/size]

Похоже в групповых политиках остались есть какие-то запреты. Например в свойствах экран нет вкладки рабочий стол.
После запуска скринсэйвера компутер повис :*(
Наверное проще сделать новый профиль? Или как-то можно пофиксить?
04.06.2009, 09:33
PavelA

'C:\WINDOWS\system32\io02.sys' - чистый.

В AVZ Файл - Восст. системы - п.6,8,9 отметить и выполнить.

Плюс через Мастер поиска и устранения проблем восстановишь закладки для экрана.
04.06.2009, 12:22
Shaman_

Спасибо большое. Всё получилось.
05.06.2009, 12:22
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]62[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]