Не удается удалить szntimwu.sys

Printable View

09.07.2009, 19:49
akir610

Вложений: 3

Не удается удалить szntimwu.sys

Не удается снести заразу szntimwu.sys. Постоянно появляется, после перезагрузки, в /system32/drivers/
szntimwu.sys и 4686712e.sys
И после закрытия IE, он снова открывается и ломится на
hxxp://69.31.80.181/rtc/?u=a8ed187c+C6EC5CB9B52E4AE887B40B3DC354DCBA&g=00000000000000000000000000000000&src_id=84&v=1.04
Ничем не получается ее вычеслить и удалить. :(
Прошу помощи
09.07.2009, 20:12
DefesT

Уберите активную ссылку!
[URL="http://virusinfo.info/showthread.php?t=4905"]Отключите восстановление системы[/URL]!!!
Отключите компьютер от интернета, а также [B]антивирус[/B] и/или файрвол.
Закройте все программы, запустите только AVZ и Internet Explorer.
Выполните скрипт в [U]AVZ[/U]:
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINNT\system32\sysmgr.exe','');
QuarantineFile('C:\WINNT\system32\svchosst.exe','');
QuarantineFile('C:\Documents and Settings\User\Главное меню\Программы\Автозагрузка\rncsys32.exe','');
QuarantineFile('C:\WINNT\System32\drivers\4686712e.sys','');
QuarantineFile('C:\WINNT\system32\hnxfjkuk.dll','');
DeleteFile('C:\WINNT\System32\drivers\4686712e.sys');
DeleteFile('C:\Documents and Settings\User\Главное меню\Программы\Автозагрузка\rncsys32.exe');
DeleteFile('C:\WINNT\system32\svchosst.exe');
DeleteFile('C:\WINNT\system32\sysmgr.exe');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]
После выполнения скрипта компьютер перезагрузиться!!!
Пришлите карантин по ссылке согласно правил [COLOR="DarkRed"][B]Прислать запрошенный карантин[/B][/COLOR] вверху темы.
Сделайте новые логи по правилам.
C:\WINNT\system32\hnxfjkuk.dll - проверьте этот файл на [URL="http://virustotal.com"]http://virustotal.com[/URL], дождитесь проверки, скиньте ссылку результата анализа.
09.07.2009, 20:28
akir610

1. Восстановление системы само включается после перезагрузки (только заметил). Очистил папки System Volume Information вручную

2. Ссылка hxxp://www.virustotal.com/analisis/4b093e804135a523650c68041d7017f78acfb1b311621c1e0eabb44765ad3885-1247154733

3. [SIZE=2]Результат загрузки карантина[/SIZE]
Файл сохранён как - 090709_202659_virus_4a561a5407dcd.zip
Размер файла - 170569
MD5 - ac2e178849bbb66eacc8789329603b1e
09.07.2009, 20:36
DefesT

C:\WINNT\system32\hnxfjkuk.dll - зловред, щас удалим, но сначала сделайте новые логи.
[url]http://virusinfo.info/showthread.php?t=49652[/url] - это тоже Ваша тема, я не понял???
09.07.2009, 20:55
akir610

Вложений: 3

По ходу да...
Извеняюсь, не заметил как второй админ создал.
[URL="http://virusinfo.info/showthread.php?t=49652"][COLOR=#0532aa]http://virusinfo.info/showthread.php?t=49652[/COLOR][/URL] - можно удалять/закрывать
09.07.2009, 21:09
DefesT

[URL="http://virusinfo.info/showthread.php?t=4905"]Отключите восстановление системы[/URL]
[URL="http://virusinfo.info/showthread.php?t=4491"]Пофиксите[/URL] в [U]Hijackthis[/U]:
[CODE]R3 - URLSearchHook: (no name) - - (no file)
O2 - BHO: XTTBPos00 - {055FD26D-3A88-4e15-963D-DC8493744B1D} - (no file)
O20 - AppInit_DLLs: ,[/CODE]
Если это не знакомо, то тоже фикс >>>[CODE]
O15 - Trusted Zone: http://diagnostic.amadeus.com
O15 - Trusted Zone: http://*.amadeus.com
O15 - Trusted Zone: http://*.1a.amadeus.net
O15 - Trusted Zone: http://diagnostic.1a.amadeus.net
O15 - Trusted Zone: http://*.amadeuscruise.com
O15 - Trusted Zone: http://*.amadeusferry.com
O15 - Trusted Zone: http://*.amadeusproweb.com
O15 - Trusted Zone: http://*.amadeusproweb.com
O15 - Trusted Zone: http://*.amadeusvista.com
O15 - Trusted Zone: http://*.1a.amadeusvista.com
O15 - Trusted Zone: http://*.amadeusvista.com
O15 - Trusted Zone: http://*.amadeuscruise.com (HKLM)
O15 - Trusted Zone: http://*.amadeusferry.com (HKLM)
O15 - Trusted Zone: http://*.amadeusproweb.com (HKLM)
O15 - Trusted Zone: http://*.amadeusproweb.com (HKLM)
O15 - Trusted Zone: http://*.amadeusvista.com (HKLM)
O15 - Trusted Zone: http://*.amadeusvista.com (HKLM)[/CODE]
Отключите компьютер от интернета, а также [B]антивирус[/B] и/или файрвол.
Закройте все программы, запустите только AVZ и Internet Explorer.
Выполните скрипт в [U]AVZ[/U]:
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DelBHO('03e8cad1-00c6-490d-afdd-05cf3ba68933');
DelBHO('0343f919-0b33-4163-9276-9a35d918fd5f');
DelBHO('01f46568-00c6-490d-afdd-05cf3ba68933');
DeleteService('4686712e');
DeleteFile('C:\WINNT\system32\hnxfjkuk.dll');
DeleteFile('C:\WINNT\System32\drivers\4686712e.sys');
BC_ImportDeletedList;
ExecuteSysClean;
BC_DeleteSvc('4686712e');
BC_Activate;
SetAVZPMStatus(true);
RebootWindows(true);
end.[/CODE]
После выполнения скрипта компьютер перезагрузиться!!!
[QUOTE]9. Мастер поиска и устранения проблем
>> Internet Explorer - разрешено использование ActiveX, не помеченных как безопасные
>> Internet Explorer - разрешена загрузка подписанных элементов ActiveX без запроса
>> Internet Explorer - разрешена загрузка неподписанных элементов ActiveX
>> Internet Explorer - разрешены автоматические запросы элементов управления ActiveX
>> Internet Explorer - разрешен запуск программ и файлов в окне IFRAME[/QUOTE]
- вот это желательно исправить!
Сделайте еще раз новые логи по правилам.
09.07.2009, 21:45
akir610

Вложений: 3

1. Востановление системы включается само после перезагрузки и вроде по истечению некоторого времени.

2. *.amadeus*,* - относится к амадеусу, программе продажи авиабилетов, настройки IE сделаны под нее.

3. После выполнения скрипта, винда нашла новое оборудование (ROOT\LEGACY_UZU5MJGW\0000)
09.07.2009, 22:06
DefesT

[QUOTE](ROOT\LEGACY_UZU5MJGW\0000)[/QUOTE]
Это вроде драйвер AVZ
Еще раз...
Отключите компьютер от интернета, а также [B]антивирус[/B] и/или файрвол.
Закройте все программы, запустите только AVZ и Internet Explorer.
Выполните скрипт в [U]AVZ[/U]:[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DelBHO('01F46568-00C6-490D-AFDD-05CF3BA68933');
DeleteFile('C:\WINNT\system32\hnxfjkuk.dll');
BC_DeleteFile('C:\WINNT\system32\hnxfjkuk.dll');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]
После выполнения скрипта компьютер перезагрузиться!!!
Сделайте новые логи по правилам -[B]virusinfo_syscheck.zip[/B] и [B]hijackthis.log[/B] + лог [URL="http://virusinfo.info/showthread.php?t=40118"]gmer[/URL] (скан диска [B]C[/B])
09.07.2009, 22:38
akir610

Вложений: 2

Gmer сканит пока.
09.07.2009, 22:39
thyrex

Проверьте на virustotal [B]c:\winnt\system32\ptodudj.dll[/B]
09.07.2009, 22:50
akir610

1. Gmer закончил сканить, но кнопки Save нету! Как сохранить лог???
Разобрался. После сворачивания Gmer'а, кнопка Save пропадает...

2. Ссылка так и продолжает переодически выскакивать в новом окне, при закрытии окна IE

3. Ссылка virustotal.com: [url]www.virustotal.com/analisis/b442b4cb575716f4adcde72af940ff59ac53382bc39b254c452d4a4e6a60e4ac-1247165519[/url]

4. Восстановление системы попрежнему автоматически включается.
09.07.2009, 23:09
thyrex

Выполните скрипт в AVZ
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DelBHO('{2BF8E93F-B9DD-4162-8A1C-B9090B5FB481}');
QuarantineFile('c:\winnt\system32\termsrv.dll','');
QuarantineFile('c:\winnt\system32\ptodudj.dll','');
QuarantineFile('C:\WINNT\system32\hnxfjkuk.dll','');
DeleteFile('C:\WINNT\system32\hnxfjkuk.dll');
DeleteFile('c:\winnt\system32\ptodudj.dll');
DeleteFile('ptodudj.dll');
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1001', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 1);
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end. [/code]Компьютер перезагрузится.

Пришлите карантин согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

Сделайте новые логи
10.07.2009, 00:45
akir610

Вложений: 1

Gmer.log

Результат загрузки карантина
Файл сохранён как - 090710_005155_virus_4a56586b467f6.zip
Размер файла - 432578
MD5 - 30e4a64ba03d87d7dd7d2e9a8a0a7ee7
10.07.2009, 01:12
akir610

Вложений: 3

Ссылка, после закрытия IE больше не выскакивает
hxxp://69.31.80.181/rtc/?u=a8ed187c+C6EC5CB9B52E4AE887B40B3DC354DCBA&g=000 00000000000000000000000000000&src_id=84&v=1.04

Восстановление системы само не включается

Проверьте пжл новые логи
10.07.2009, 04:41
Bratez

Пофиксите в HijackThis:
[code]
O2 - BHO: (no name) - {01A1FC8C-0B33-4163-9276-9A35D918FD5f} - C:\WINNT\system32\hnxfjkuk.dll (file missing)
O2 - BHO: (no name) - {01F46568-00C6-490D-AFDD-05CF3BA68933} - C:\WINNT\system32\hnxfjkuk.dll (file missing)
O2 - BHO: (no name) - {2BF8E93F-B9DD-4162-8A1C-B9090B5FB481} - (no file)
O20 - Winlogon Notify: mcygjmla - C:\WINNT\
[/code]
Прочитайте и выполните:
[url]http://virusinfo.info/showthread.php?t=43700[/url].

Больше ничего плохого не видно.
10.07.2009, 05:30
akir610

Спасибо за помощь:)
11.07.2009, 05:30
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]26[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\documents and settings\user\главное меню\программы\автозагрузка\rncsys32.exe - [B]Trojan.Win32.Inject.afpp[/B] ( DrWEB: Trojan.Botnetlog.11 )[*] c:\winnt\system32\hnxfjkuk.dll - [B]Trojan-Clicker.Win32.Delf.cbe[/B] ( DrWEB: Trojan.Virtumod.1667, BitDefender: Trojan.Generic.1788813 )[*] c:\winnt\system32\ptodudj.dll - [B]Trojan.Win32.Agent.cpmp[/B] ( DrWEB: Trojan.Packed.2473, BitDefender: Trojan.Boaxxe.P )[/LIST][/LIST]