Зараза bcb4c0f9531f.exe - Ошибка приложения(0xc0000142)

Printable View

04.06.2009, 08:12
SergeyR

Вложений: 3

Зараза bcb4c0f9531f.exe - Ошибка приложения(0xc0000142)

[COLOR=black][FONT=Verdana]Здравствуйте.[/FONT][/COLOR]
[COLOR=black][FONT=Verdana]Примерно раз в полчаса появляется в памяти новый процесс с именем вида bcb4c0f9531f.exe, когда их в памяти накапливается около десятка то на экран выводится соообщение:[/FONT][/COLOR]
[COLOR=black][FONT=Verdana]"bcb4c0f9531f.exe - Ошибка приложения : Ошибка при инициализации приложения (0xc0000142)". [/FONT][/COLOR]
[COLOR=black][FONT=Verdana]Этот файл создается в каталоге [/FONT][/COLOR][COLOR=black][FONT=Verdana]C[/FONT][/COLOR][COLOR=black][FONT=Verdana]:\[/FONT][/COLOR][COLOR=black][FONT=Verdana]Documents[/FONT][/COLOR][COLOR=black][FONT=Verdana]and[/FONT][/COLOR][COLOR=black][FONT=Verdana]Settings[/FONT][/COLOR][COLOR=black][FONT=Verdana]\[/FONT][/COLOR][COLOR=black][FONT=Verdana]NetworkService[/FONT][/COLOR][COLOR=black][FONT=Verdana]\[/FONT][/COLOR][COLOR=black][FONT=Verdana]Local[/FONT][/COLOR][COLOR=black][FONT=Verdana]Settings[/FONT][/COLOR][COLOR=black][FONT=Verdana]\[/FONT][/COLOR][COLOR=black][FONT=Verdana]Temp[/FONT][/COLOR][COLOR=black][FONT=Verdana] и является самораспаковывающимся архивом с заразой:[/FONT][/COLOR]
[COLOR=black][FONT=Verdana]comsa32.sys[/FONT][/COLOR]
[COLOR=black][FONT=Verdana]dncyool32.sys[/FONT][/COLOR]
[COLOR=black][FONT=Verdana]dpcxool64.sys[/FONT][/COLOR]
[COLOR=black][FONT=Verdana]sopidkc.exe[/FONT][/COLOR]
[COLOR=black][FONT=Verdana]tpsaxyd.exe[/FONT][/COLOR]

Помогите, пожалуйста.
04.06.2009, 08:47
light59

[URL="http://virusinfo.info/showthread.php?t=7239"]В AVZ -> файл-> Выполнить скрипт[/URL]

[CODE]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
TerminateProcessByName('c:\docume~1\networ~1\locals~1\temp\d06ae6802ce.exe');
TerminateProcessByName('c:\docume~1\networ~1\locals~1\temp\3d7ba1854e0.exe');
TerminateProcessByName('c:\docume~1\networ~1\locals~1\temp\838aec253d7.exe');
TerminateProcessByName('c:\docume~1\networ~1\locals~1\temp\27d05b495e9.exe');
QuarantineFile('c:\docume~1\networ~1\locals~1\temp\d06ae6802ce.exe','');
QuarantineFile('c:\docume~1\networ~1\locals~1\temp\838aec253d7.exe','');
QuarantineFile('c:\docume~1\networ~1\locals~1\temp\3d7ba1854e0.exe','');
QuarantineFile('c:\docume~1\networ~1\locals~1\temp\27d05b495e9.exe','');
QuarantineFile('C:\WINDOWS\system32\wm9dap-sos.dll','');
QuarantineFile('C:\RECYCLER\S-1-5-21-3967153091-1803158144-3756195585-1116\Dc1\tpsaxyd.exe','');
QuarantineFile('C:\RECYCLER\S-1-5-21-3967153091-1803158144-3756195585-1116\Dc1\sopidkc.exe','');
QuarantineFile('C:\RECYCLER\S-1-5-21-3967153091-1803158144-3756195585-1116\Dc1\dncyool32.sys','');
QuarantineFile('C:\Documents and Settings\NetworkService\Local Settings\Temp\d06ae6802ce.exe','');
QuarantineFile('C:\Documents and Settings\NetworkService\Local Settings\Temp\838aec253d7.exe','');
QuarantineFile('C:\WINDOWS\system32\drivers\Plugin\i386\SPCommand.sys','');
DeleteFile('c:\docume~1\networ~1\locals~1\temp\27d05b495e9.exe');
DeleteFile('c:\docume~1\networ~1\locals~1\temp\3d7ba1854e0.exe');
DeleteFile('c:\docume~1\networ~1\locals~1\temp\838aec253d7.exe');
DeleteFile('c:\docume~1\networ~1\locals~1\temp\d06ae6802ce.exe');
DeleteFile('C:\Documents and Settings\rachkin\Application Data\Microsoft\Internet Explorer\qipsearchbar.dll');
DeleteFile('C:\Documents and Settings\NetworkService\Local Settings\Temp\838aec253d7.exe');
DeleteFile('C:\Documents and Settings\NetworkService\Local Settings\Temp\d06ae6802ce.exe');
DeleteFile('C:\RECYCLER\S-1-5-21-3967153091-1803158144-3756195585-1116\Dc1\dncyool32.sys');
DeleteFile('C:\RECYCLER\S-1-5-21-3967153091-1803158144-3756195585-1116\Dc1\sopidkc.exe');
DeleteFile('C:\RECYCLER\S-1-5-21-3967153091-1803158144-3756195585-1116\Dc1\tpsaxyd.exe');
DeleteFile('C:\WINDOWS\system32\wm9dap-sos.dll');
DeleteFileMask('%Tmp%', '*.*', true);
DeleteFileMask('C:\Documents and Settings\NetworkService\Local Settings\Temp', '*.*', true);
BC_Importall;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/CODE]
Компьютер перезагрузится.
Пришлите карантин согласно правил по ссылке [URL="http://virusinfo.info/upload_virus.php?tid=47175"]http://virusinfo.info/upload_virus.php?tid=47175[/URL]
Повторите логи по правилам.
04.06.2009, 09:43
SergeyR

Вложений: 3

Зараза bcb4c0f9531f.exe

Да, еще, куреит не запускается - ch89q.exe - обнаружена ошибка
04.06.2009, 10:26
light59

Скрипт
[CODE]begin
CLearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
TerminateProcessByName('c:\docume~1\networ~1\locals~1\temp\54f2b8211c0.exe');
TerminateProcessByName('c:\docume~1\networ~1\locals~1\temp\25865a0b2c9.exe');
QuarantineFile('PGPmapih.dll','');
DeleteFile('c:\docume~1\networ~1\locals~1\temp\25865a0b2c9.exe');
DeleteFile('c:\docume~1\networ~1\locals~1\temp\54f2b8211c0.exe');
DeleteFileMask('C:\Documents and Settings\NetworkService\Local Settings\Temp', '*.*', true);
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]
Шлём карантин.
Повторяем логи.
04.06.2009, 11:24
SergeyR

Вложений: 3

Карантин почемуто оказался пустой после выполнения последнего скрипта.
Высылаю только логи.
Карантин, который создался после выполнения стандартных скриптов, высылать?
04.06.2009, 12:27
light59

Не слать.
Сделайте полную проверку AVPTool или CureIt...
И сделайте лог этим AVZ [URL="http://depositfiles.com/files/j3apocwxd"]http://depositfiles.com/files/j3apocwxd[/URL].
Ощущение, что McAfee не даёт AVZ отработать...
04.06.2009, 13:07
SergeyR

Вложений: 2

McAfee удалил перед первым обращением, хвост от него нашел, удалил, правда после создания новых логов.
AVPTool ничего не нашел.
CureIt не запускается - ch89q.exe - обнаружена ошибка, в безопасном режиме тоже.
Новые логи прилагаю.
04.06.2009, 13:28
PavelA

Выполнить скрипт:
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
ClearQuarantine;
QuarantineFile('C:\WINDOWS\system32\drivers\Plugin\i386\SPCommand.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\ae1nse6d.SYS','');
QuarantineFile('c:\Temp\aujasnkj.sys','');
DeleteFile('c:\Temp\aujasnkj.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\ae1nse6d.SYS');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]

Сделать заново логи после перезагрузки.
Загрузить карантин, если будет не пустым, по Правилам через [url]http://virusinfo.info/upload_virus.php?tid=47175[/url]
04.06.2009, 14:11
SergeyR

Вложений: 3

Логи сделал.
04.06.2009, 14:19
PavelA

Проблемы остались?
05.06.2009, 05:25
SergeyR

Сорри, парни. домой выгнали.

Да проблемы остались. ничего не изменилось :(
05.06.2009, 05:36
Bratez

Ничего подозрительного в логах не вижу...
05.06.2009, 07:25
SergeyR

вот щас машина постояла и опять есть эти процессы от svchost.exe появились :(
05.06.2009, 08:39
light59

[QUOTE]опять есть эти процессы от svchost.exe появились[/QUOTE]
Чего?
05.06.2009, 08:51
SergeyR

Вложений: 3

...
вот такая вот фигня происходит...

может новые логи сделать?

вот сдела. гляньте пожалуйста еще раз, может найдем корень зла? 8)
05.06.2009, 14:07
Rene-gad

- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт[/URL]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\DRIVERS\85711328.sys','');
TerminateProcessByName('c:\docume~1\networ~1\locals~1\temp\fc6bbe61106f.exe');
QuarantineFile('c:\docume~1\networ~1\locals~1\temp\fc6bbe61106f.exe','');
TerminateProcessByName('c:\docume~1\networ~1\locals~1\temp\ee6bbe421a46.exe');
QuarantineFile('c:\docume~1\networ~1\locals~1\temp\ee6bbe421a46.exe','');
TerminateProcessByName('c:\docume~1\networ~1\locals~1\temp\d49450f31c69.exe');
QuarantineFile('c:\docume~1\networ~1\locals~1\temp\d49450f31c69.exe','');
TerminateProcessByName('c:\docume~1\networ~1\locals~1\temp\d2874bf8f60.exe');
QuarantineFile('c:\docume~1\networ~1\locals~1\temp\d2874bf8f60.exe','');
TerminateProcessByName('c:\docume~1\networ~1\locals~1\temp\ce8e81c17f1.exe');
QuarantineFile('c:\docume~1\networ~1\locals~1\temp\ce8e81c17f1.exe','');
TerminateProcessByName('c:\docume~1\networ~1\locals~1\temp\cc37e3f815ee.exe');
QuarantineFile('c:\docume~1\networ~1\locals~1\temp\cc37e3f815ee.exe','');
TerminateProcessByName('c:\docume~1\networ~1\locals~1\temp\be20f07416ff.exe');
QuarantineFile('c:\docume~1\networ~1\locals~1\temp\be20f07416ff.exe','');
TerminateProcessByName('c:\docume~1\networ~1\locals~1\temp\b91b1efb6e9.exe');
QuarantineFile('c:\docume~1\networ~1\locals~1\temp\b91b1efb6e9.exe','');
TerminateProcessByName('c:\docume~1\networ~1\locals~1\temp\aff92c521b5f.exe');
QuarantineFile('c:\docume~1\networ~1\locals~1\temp\aff92c521b5f.exe','');
TerminateProcessByName('c:\docume~1\networ~1\locals~1\temp\af3c393a1c0.exe');
QuarantineFile('c:\docume~1\networ~1\locals~1\temp\af3c393a1c0.exe','');
TerminateProcessByName('c:\docume~1\networ~1\locals~1\temp\ad62f6921185.exe');
QuarantineFile('c:\docume~1\networ~1\locals~1\temp\ad62f6921185.exe','');
TerminateProcessByName('c:\docume~1\networ~1\locals~1\temp\9c7d9258c24.exe');
QuarantineFile('c:\docume~1\networ~1\locals~1\temp\9c7d9258c24.exe','');
TerminateProcessByName('c:\docume~1\networ~1\locals~1\temp\9c4920d94d8.exe');
QuarantineFile('c:\docume~1\networ~1\locals~1\temp\9c4920d94d8.exe','');
TerminateProcessByName('c:\docume~1\networ~1\locals~1\temp\8e8c27ecd38.exe');
TerminateProcessByName('c:\docume~1\networ~1\locals~1\temp\9790d0ade49.exe');
QuarantineFile('c:\docume~1\networ~1\locals~1\temp\9790d0ade49.exe','');
QuarantineFile('c:\docume~1\networ~1\locals~1\temp\8e8c27ecd38.exe','');
QuarantineFile('c:\docume~1\networ~1\locals~1\temp\8d2f074f3cf.exe','');
TerminateProcessByName('c:\docume~1\networ~1\locals~1\temp\79f3aff3a0a.exe');
QuarantineFile('c:\docume~1\networ~1\locals~1\temp\79f3aff3a0a.exe','');
TerminateProcessByName('c:\docume~1\networ~1\locals~1\temp\6668f8855e1.exe');
QuarantineFile('c:\docume~1\networ~1\locals~1\temp\6668f8855e1.exe','');
TerminateProcessByName('c:\docume~1\networ~1\locals~1\temp\458ef1d08fa.exe');
QuarantineFile('c:\docume~1\networ~1\locals~1\temp\458ef1d08fa.exe','');
TerminateProcessByName('c:\docume~1\networ~1\locals~1\temp\3ea9937c1812.exe');
QuarantineFile('c:\docume~1\networ~1\locals~1\temp\3ea9937c1812.exe','');
TerminateProcessByName('c:\docume~1\networ~1\locals~1\temp\3584398a1927.exe');
QuarantineFile('c:\docume~1\networ~1\locals~1\temp\3584398a1927.exe','');
TerminateProcessByName('c:\docume~1\networ~1\locals~1\temp\346a6dd4129b.exe');
QuarantineFile('c:\docume~1\networ~1\locals~1\temp\346a6dd4129b.exe','');
QuarantineFile('c:\docume~1\networ~1\locals~1\temp\12c179421d7d.exe','');
TerminateProcessByName('c:\docume~1\networ~1\locals~1\temp\12c179421d7d.exe');
QuarantineFile('c:\docume~1\networ~1\locals~1\temp\2132437214dc.exe','');
TerminateProcessByName('c:\docume~1\networ~1\locals~1\temp\2132437214dc.exe');
DeleteFile('c:\docume~1\networ~1\locals~1\temp\2132437214dc.exe');
DeleteFile('c:\docume~1\networ~1\locals~1\temp\12c179421d7d.exe');
DeleteFile('c:\docume~1\networ~1\locals~1\temp\346a6dd4129b.exe');
DeleteFile('c:\docume~1\networ~1\locals~1\temp\3584398a1927.exe');
DeleteFile('c:\docume~1\networ~1\locals~1\temp\3ea9937c1812.exe');
DeleteFile('c:\docume~1\networ~1\locals~1\temp\458ef1d08fa.exe');
DeleteFile('c:\docume~1\networ~1\locals~1\temp\6668f8855e1.exe');
DeleteFile('c:\docume~1\networ~1\locals~1\temp\79f3aff3a0a.exe');
DeleteFile('c:\docume~1\networ~1\locals~1\temp\8d2f074f3cf.exe');
DeleteFile('c:\docume~1\networ~1\locals~1\temp\8e8c27ecd38.exe');
DeleteFile('c:\docume~1\networ~1\locals~1\temp\9790d0ade49.exe');
DeleteFile('c:\docume~1\networ~1\locals~1\temp\9c4920d94d8.exe');
DeleteFile('c:\docume~1\networ~1\locals~1\temp\9c7d9258c24.exe');
DeleteFile('c:\docume~1\networ~1\locals~1\temp\ad62f6921185.exe');
DeleteFile('c:\docume~1\networ~1\locals~1\temp\af3c393a1c0.exe');
DeleteFile('c:\docume~1\networ~1\locals~1\temp\aff92c521b5f.exe');
DeleteFile('c:\docume~1\networ~1\locals~1\temp\b91b1efb6e9.exe');
DeleteFile('c:\docume~1\networ~1\locals~1\temp\be20f07416ff.exe');
DeleteFile('c:\docume~1\networ~1\locals~1\temp\cc37e3f815ee.exe');
DeleteFile('c:\docume~1\networ~1\locals~1\temp\ce8e81c17f1.exe');
DeleteFile('c:\docume~1\networ~1\locals~1\temp\d2874bf8f60.exe');
DeleteFile('c:\docume~1\networ~1\locals~1\temp\d49450f31c69.exe');
DeleteFile('c:\docume~1\networ~1\locals~1\temp\ee6bbe421a46.exe');
DeleteFile('c:\docume~1\networ~1\locals~1\temp\fc6bbe61106f.exe');
DeleteFile('C:\WINDOWS\system32\DRIVERS\85711328.sys');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
SetAVZPMStatus(True);
RebootWindows(true);
end.
[/CODE]

После перезагрузки:
- [url="http://virusinfo.info/showthread.php?t=10025"] Очистите [/url]темп-папки, кэш проводников и корзину.
- Сделайте повторные логи
[b]virusinfo_syscure.zip
virusinfo_syscheck.zip
hijackthis.log [/b]
- Закачайте карантин по ссылке [COLOR="Red"][B]Прислать запрошенный карантин[/B][/COLOR] вверху темы (Приложение 3 правил).
05.06.2009, 14:24
PavelA

'C:\WINDOWS\system32\DRIVERS\85711328.sys' - вот этого удали Gmerom.
После скрипт от Rene-gada.
09.06.2009, 05:47
SergeyR

'C:\WINDOWS\system32\DRIVERS\85711328.sys' - такого файла нет
Какрантин удалил куреит при проверке с LiveCD.
Присылать нечего.
Выяснил что файлы с троянами в каталоге [COLOR=black][FONT=Verdana]C[/FONT][/COLOR][COLOR=black][FONT=Verdana]:\[/FONT][/COLOR][COLOR=black][FONT=Verdana]Documents[/FONT][/COLOR][COLOR=black][FONT=Verdana]and[/FONT][/COLOR][COLOR=black][FONT=Verdana]Settings[/FONT][/COLOR][COLOR=black][FONT=Verdana]\[/FONT][/COLOR][COLOR=black][FONT=Verdana]NetworkService[/FONT][/COLOR][COLOR=black][FONT=Verdana]\[/FONT][/COLOR][COLOR=black][FONT=Verdana]Local[/FONT][/COLOR][COLOR=black][FONT=Verdana]Settings[/FONT][/COLOR][COLOR=black][FONT=Verdana]\[/FONT][/COLOR][COLOR=black][FONT=Verdana]Temp[/FONT][/COLOR][COLOR=black][FONT=Verdana] [/FONT][/COLOR] появляются после самостоятельного запуска процесса с именем mstsc.exe () и его соединением на адрес 123.175.126.245:6666 , это гдето у китайцев вроде.
Лишних пользователей в системе нет, пароли длинные по 10 символов, их менял, не помогает.

Так как надо работу работать переставил Винду.
Спасибо за участие, и извините что до конца не довел.
09.06.2009, 10:05
Rene-gad

[QUOTE=SergeyR;413881]mstsc.exe.[/QUOTE]это системный файл. Возможно, что достаточно было его на здоровый из дистрибутива заменить. Хотя [I]format c:\ [/I] конечно надежнее ;)
10.06.2009, 10:05
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]38[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\documents and settings\networkservice\local settings\temp\d06ae6802ce.exe - [B]Trojan.Win32.VB.qsz[/B] ( BitDefender: Trojan.VB.NYY )[*] c:\documents and settings\networkservice\local settings\temp\838aec253d7.exe - [B]Trojan.Win32.VB.qsz[/B] ( BitDefender: Trojan.VB.NYY )[*] c:\docume~1\networ~1\locals~1\temp\d06ae6802ce.exe - [B]Trojan.Win32.VB.qsz[/B] ( BitDefender: Trojan.VB.NYY )[*] c:\docume~1\networ~1\locals~1\temp\838aec253d7.exe - [B]Trojan.Win32.VB.qsz[/B] ( BitDefender: Trojan.VB.NYY )[*] c:\recycler\s-1-5-21-3967153091-1803158144-3756195585-1116\dc1\dncyool32.sys - [B]Trojan.Win32.VB.qsz[/B] ( BitDefender: Trojan.VB.NYY )[*] c:\recycler\s-1-5-21-3967153091-1803158144-3756195585-1116\dc1\sopidkc.exe - [B]Trojan-Downloader.Win32.Delf.uch[/B][*] c:\recycler\s-1-5-21-3967153091-1803158144-3756195585-1116\dc1\tpsaxyd.exe - [B]Trojan.Win32.Delf.nbk[/B][/LIST][/LIST]