Из кучи тараканов, осталось 2 неуязвимых

Printable View

Показывать 40 сообщений этой темы на одной странице

26.06.2009, 07:33
nick_f1982

Из кучи тараканов, осталось 2 неуязвимых

Доброго времени суток.
После переустановки винды и установки антивируса вышел в сеть для обновления. Пока обновлялся, наловил 1462 клеща. NOD32 справился с большей частью из них, но остались и неуязвимые (например: wmsetup.dll, nvmini.sys). Эти паразиты восстанавливаются после перезапуска и возможно рождают ещё кучу других. Заметил на вашем форуме, что вы боролись с данной проблемой.
Очень надеюсь на вашу помощь.
26.06.2009, 10:24
PavelA

Выполнить скрипт:
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DelCLSID('95289393-33EA-4F8D-B952-483415B9C955');
QuarantineFile('C:\WINDOWS\system32\t44y9a553NQ.dll','');
QuarantineFile('C:\WINDOWS\system32\skcfujQ5EDN.dll','');
QuarantineFile('C:\WINDOWS\system32\ntbackup.exe','');
QuarantineFile('C:\WINDOWS\system32\ndxq9awMc.dll','');
QuarantineFile('C:\WINDOWS\system32\hhnt2pBK.dll','');
QuarantineFile('C:\WINDOWS\system32\eThZrkpVeaM3wcX.dll','');
QuarantineFile('C:\WINDOWS\system32\dhDhwS7fFW.dll','');
QuarantineFile('C:\WINDOWS\system32\cRsAQd4hw.dll','');
QuarantineFile('C:\WINDOWS\system32\bp8wddFqfaagBTyD.dll','');
QuarantineFile('C:\WINDOWS\system32\VnTU2WAqUcZA6.dll','');
QuarantineFile('C:\WINDOWS\system32\Va7SpUWgCA5f.dll','');
QuarantineFile('C:\WINDOWS\system32\RV2MbKrHA.dll','');
QuarantineFile('C:\WINDOWS\system32\KnSBC7Rm.dll','');
QuarantineFile('C:\WINDOWS\system32\JGxmCj7bYHHbwtxt.dll','');
QuarantineFile('C:\WINDOWS\system32\EN7hzSreCat8.dll','');
QuarantineFile('C:\WINDOWS\system32\E4814792.dll','');
QuarantineFile('C:\WINDOWS\system32\BMsg6pdMD4ht.dll','');
QuarantineFile('C:\WINDOWS\system32\A0C86020.dll','');
QuarantineFile('C:\WINDOWS\system32\A1A6BC2E.dll','');
QuarantineFile('C:\WINDOWS\system32\76B9BA7A.dll','');
QuarantineFile('C:\WINDOWS\system32\704C3595.dll','');
QuarantineFile('C:\WINDOWS\system32\122B901E.dll','');
QuarantineFile('C:\WINDOWS\system32\08223B03.dll','');
QuarantineFile('C:\WINDOWS\fonts\z9gNwvuVDpyQqHSu.fon','');
QuarantineFile('C:\WINDOWS\fonts\ynysgR5mC.fon','');
QuarantineFile('C:\WINDOWS\fonts\vgUGf6VF2E.fon','');
QuarantineFile('C:\WINDOWS\fonts\uXUsF2RrQy.fon','');
QuarantineFile('C:\WINDOWS\fonts\tY5UFS434YYd.fon','');
QuarantineFile('C:\WINDOWS\fonts\nMGKbjzrcYBeMU4E.fon','');
QuarantineFile('C:\WINDOWS\fonts\bVmwwaC9wK.fon','');
QuarantineFile('C:\WINDOWS\fonts\MqppW9KYn.fon','');
QuarantineFile('C:\WINDOWS\fonts\MbsV2QQJe.fon','');
QuarantineFile('C:\WINDOWS\fonts\A97CRaCB.fon','');
DeleteFile('C:\WINDOWS\fonts\A97CRaCB.fon');
DeleteFile('C:\WINDOWS\fonts\MbsV2QQJe.fon');
DeleteFile('C:\WINDOWS\fonts\MqppW9KYn.fon');
DeleteFile('C:\WINDOWS\fonts\bVmwwaC9wK.fon');
DeleteFile('C:\WINDOWS\system32\08223B03.dll');
DeleteFile('C:\WINDOWS\system32\122B901E.dll');
DeleteFile('C:\WINDOWS\system32\704C3595.dll');
DeleteFile('C:\WINDOWS\system32\76B9BA7A.dll');
DeleteFile('C:\WINDOWS\system32\A1A6BC2E.dll');
DeleteFile('C:\WINDOWS\system32\A0C86020.dll');
DeleteFile('C:\WINDOWS\system32\BMsg6pdMD4ht.dll');
DeleteFile('C:\WINDOWS\system32\CTFMON.EXE');
DeleteFile('C:\WINDOWS\system32\E4814792.dll');
DeleteFile('C:\WINDOWS\system32\EN7hzSreCat8.dll');
DeleteFile('C:\WINDOWS\system32\JGxmCj7bYHHbwtxt.dll');
DeleteFile('C:\WINDOWS\system32\KnSBC7Rm.dll');
DeleteFile('C:\WINDOWS\system32\RV2MbKrHA.dll');
DeleteFile('C:\WINDOWS\system32\Va7SpUWgCA5f.dll');
DeleteFile('C:\WINDOWS\system32\VnTU2WAqUcZA6.dll');
DeleteFile('C:\WINDOWS\system32\bp8wddFqfaagBTyD.dll');
DeleteFile('C:\WINDOWS\system32\cRsAQd4hw.dll');
DeleteFile('C:\WINDOWS\system32\dhDhwS7fFW.dll');
DeleteFile('C:\WINDOWS\system32\eThZrkpVeaM3wcX.dll');
DeleteFile('C:\WINDOWS\system32\hhnt2pBK.dll');
DeleteFile('C:\WINDOWS\system32\ndxq9awMc.dll');
DeleteFile('C:\WINDOWS\system32\ntbackup.exe');
DeleteFile('C:\WINDOWS\system32\skcfujQ5EDN.dll');
DeleteFile('C:\WINDOWS\system32\t44y9a553NQ.dll');
DeleteFile('C:\Documents and Settings\fedorov_nikolay\Application Data\Microsoft\Internet Explorer\qipsearchbar.dll');
ExecuteRepair(9);
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]

Сделать заново логи после перезагрузки.
Загрузить карантин по Правилам через [url]http://virusinfo.info/upload_virus.php?tid=48733[/url]
26.06.2009, 11:17
nick_f1982

Логи

Карантин выслал согласно правилам (приложение 3).
26.06.2009, 11:35
PavelA

профиксить:
[CODE]O20 - AppInit_DLLs: C:\WINDOWS\fonts\z9gNwvuVDpyQqHSu.fon,[/CODE]

Посмотрите, плс, этот файл 'C:\WINDOWS\system32\CTFMON.EXE' жив, а то я его по ошибке зацепил.
26.06.2009, 11:49
nick_f1982

Профиксил.

А вот 'C:\WINDOWS\system32\CTFMON.EXE' покоится с миром.
26.06.2009, 11:57
PavelA

Его можно и нужно восстановить из карантина. Это переключалка языка.

Вот эти все *.fon с непонятными названиями, наверное, от зловреда. Надо будет их
поудалять после получения ответа по карантину.
26.06.2009, 12:17
nick_f1982

Очень странно, но его нет в карантине. Весь карантин перерыл, но не нашёл. :O

[size="1"][color="#666686"][B][I]Добавлено через 4 минуты[/I][/B][/color][/size]

Может его можно загрузить отдельным файлом?
26.06.2009, 12:57
PavelA

Язык с русского на английский переключается? В правом углу на экране есть отображение языка?

По карантину: там все файлы чистые. Сейчас скрипт напишу для зачистки fon-файлов.
26.06.2009, 12:58
thyrex

C:\WINDOWS\system32\CTFMON.EXE восстановите из его копии C:\WINDOWS\system32\dllcache\CTFMON.EXE
26.06.2009, 13:06
nick_f1982

Файл я восстановил.

А как долго ждать анализы тараканов? :)
26.06.2009, 13:31
PavelA

В карантине все файлы чистые

[size="1"][color="#666686"][B][I]Добавлено через 5 минут[/I][/B][/color][/size]

для зачистки:
[CODE]begin

SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\WINDOWS\fonts\nMGKbjzrcYBeMU4E.fon');
DeleteFile('C:\WINDOWS\fonts\tY5UFS434YYd.fon');
DeleteFile('C:\WINDOWS\fonts\uXUsF2RrQy.fon');
DeleteFile('C:\WINDOWS\fonts\vgUGf6VF2E.fon');
DeleteFile('C:\WINDOWS\fonts\ynysgR5mC.fon');
DeleteFile('C:\WINDOWS\fonts\z9gNwvuVDpyQqHSu.fon');
DeleteFile('C:\WINDOWS\system32\CDuAUVkGy9.dll');
ExecuteSysClean;
RebootWindows(true);
end.[/CODE]
Потом повторить станд. скрипт №2 и прислать лог.
26.06.2009, 14:23
nick_f1982

Логи

Принимайте:
26.06.2009, 14:59
nick_f1982

Павел, а насколько долго длятся такого рода процедуры, до полного [100%] завершения?
26.06.2009, 15:04
PavelA

Упустил одного живого.
Выполнить скрипт:
[CODE]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
ClearQuarantine;
QuarantineFile('C:\DOCUME~1\FEDORO~1\LOCALS~1\Temp\wmsetup.dll','');
DeleteFile('C:\DOCUME~1\FEDORO~1\LOCALS~1\Temp\wmsetup.dll');
BC_DeleteFile('C:\WINDOWS\fonts\nMGKbjzrcYBeMU4E.fon');
BC_DeleteFile('C:\WINDOWS\fonts\tY5UFS434YYd.fon');
BC_DeleteFile('C:\WINDOWS\fonts\uXUsF2RrQy.fon');
BC_DeleteFile('C:\WINDOWS\fonts\vgUGf6VF2E.fon');
BC_DeleteFile('C:\WINDOWS\fonts\z9gNwvuVDpyQqHSu.fon');
BC_DeleteFile('C:\WINDOWS\fonts\ynysgR5mC.fon');
BC_DeleteFile('C:\WINDOWS\system32\CDuAUVkGy9.dll');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]
Сделать заново логи после перезагрузки.
Загрузить карантин по Правилам через [url]http://virusinfo.info/upload_virus.php?tid=48733[/url]
26.06.2009, 15:24
nick_f1982

Логи

Карантин пуст. :)
26.06.2009, 15:33
nick_f1982

[wmsetup.dll], [msgmr.dll], [Framdee.ttf] определяются NOD32 на первых минутах сканирования. NOD32 говорит что они будут удалены после перезапуска, но безрезультатно.
26.06.2009, 15:52
PavelA

А а/вирус надо отключать во время работы AVZ.
Установите AVZPM в AVZ, перезагрузитесь и сделайте новый комплект логов.
26.06.2009, 19:37
nick_f1982

Прошу прощения за невнимательность.

- отключил брандмауэр
- выгрузил а\вирус
- установил AVZPM
- проверил Dr.Web - ом в безопасном режиме
- выполнил ст. скрипт 1,2

Новые логи:
29.06.2009, 11:20
nick_f1982

Доброго времени суток. :)

Хотелось бы закончить начатое. Логи я выложил и после этого компьютер не трогал. Жду ваших указаний.
29.06.2009, 11:37
PavelA

Более ничего плохого не вижу.
За последний проход AVZ, правда, еще пару грохнул.

Повторите еще разок станд. скрипт №2. и лог пришлите.

Показывать 40 сообщений этой темы на одной странице