Printable View
Дня четыре назад в Сервисе Explorera над Свойствами обозревателя появилась странная ссылка, кот. я не смог удалить, потом посыпались Trojan, Backdoors, SpyWare, AdWare, RootKit. Касперский в это время стал выдавать сообщения об удалении оных, но всеоставалось на месте. После запуска AVZ4 стал уничтожать прямо по протоколу то что было под подозрением. К сожалению без результата - атаки идут через 5-7 минут, лезут сразу по 16-20 сайтов.
Спасайте, а то погибну! Заранее благодарен, ivac.
1. Пришлите как написано в правилах -
c:\program files\mediagateway\mediagateway.exe
c:\program files\network monitor\netmon.exe
c:\windows\newfrn.exe
C:\WINDOWS\DH.dll
C:\WINDOWS\System32\Drivers\CBID.SYS
C:\WINDOWS\System32\drivers\isa32.sys
C:\WINDOWS\SYSTEM32\drivers\DS1410D.SYS
winhost32.exe
c:\newname2.exe
C:\mousepad2.exe
c:\keyboard2.exe
sysls.exe
C:\WINDOWS\DOWNLO~1\vengobar.dll
C:\WINDOWS\system32\mqratelc.dll
C:\WINDOWS\system32\Svint100.dll
C:\WINDOWS\system32\rLsctrs.dll
C:\WINDOWS\system32\aRd.dll
C:\WINDOWS\DOWNLO~1\vengobar.dll
CTASIO.DLL
C:\WINDOWS\system32\RadClock.exe
2. Создайте файл look.bat следующего содержимого -
[code]
REG EXPORT "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon" out.txt
notepad.exe out.txt
[/code]
и добавьте out.txt, который откроется, при запуске этого файла, в блокноте в следующее сообщение.
3. Перезагрузитесь в SAFE mode запустите, Hijack, сделайте лог и пофиксете в нём строки -
F2 - REG:system.ini: UserInit="sysls.exe" - -
O2 - BHO: (no name) - {6001CDF7-6F45-471b-A203-0225615E35A7} - C:\WINDOWS\DH.dll
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKLM\..\Run: [Microsoft Command C] winhost32.exe
O4 - HKLM\..\Run: [newname] c:\\newname2.exe
O4 - HKLM\..\Run: [MediaGateway] C:\Program Files\MediaGateway\MediaGateway.exe
O4 - HKLM\..\Run: [mousepad] C:\\mousepad2.exe
O4 - HKLM\..\Run: [keyboard] c:\\keyboard2.exe
O4 - HKLM\..\Run: [NewFrn] C:\WINDOWS\newfrn.exe
O4 - HKLM\..\RunServices: [Microsoft Command C] winhost32.exe
O4 - HKCU\..\Run: [Microsoft Command C] winhost32.exe
O4 - HKCU\..\RunServices: [Microsoft Command C] winhost32.exe
O8 - Extra context menu item: &Search - [url]http://bar.mywebsearch.com/menusearch.html?p=ZFxdm255YYRU[/url]
O9 - Extra button: (no name) - {FFFFFFFF-ABBB-FFFF-FFFF-FFFFFFFFFFFF} - [url]http://top.holm.ru/cgi-bin/link.cgi?l=book[/url] (file missing)
O9 - Extra 'Tools' menuitem: FUNNY SEXY PICTURES - {FFFFFFFF-ABBB-FFFF-FFFF-FFFFFFFFFFFF} - [url]http://top.holm.ru/cgi-bin/link.cgi?l=book[/url] (file missing)
O13 - Home Prefix: home://
O16 - DPF: {1D4DB7D2-6EC9-47A3-BD87-1E41684E07BB} - [url]http://ak.imgfarm.com/images/nocache/funwebproducts/ei/MyMailNotifierFWBInitialSetup1.0.0.15.cab[/url]
O16 - DPF: {4D61BC1B-345F-408C-A318-E7A4059236A8} (CRicharoundVR2111 Object) - [url]http://www.enternetica.com/viewer/evp.cab[/url]
O16 - DPF: {4E7BD74F-2B8D-469E-C0FF-FD63B39BBF2B} (VengoBar) - [url]http://bar.vengo.ru/toolbar/vengobar.cab[/url]
O16 - DPF: {8C875948-9C60-4381-9248-0DF180542D53} - [url]http://installs.hotbar.com/installs/hbtools/programs/hbtools.cab[/url]
O16 - DPF: {8FCDF9D9-A28B-480F-8C3D-581F119A8AB8} (MediaGatewayX) - [url]http://static.zangocash.com/cab/Zango/ie/bridge-c18.cab?83e5fc6d995c376ab70458af1b406574d8c437787d8dd6c88b6c2ac3f84c5c4e1ad957b13b6defd6eebdb1dff93974d7acba375bbc19f23d91e9c49c9ce792b34d1a074f2a:6f750d40ae25fea7e1b37b6906113080[/url]
O16 - DPF: {DF780F87-FF2B-4DF8-92D0-73DB16A1543A} (PopCapLoader Object) - [url]http://arcade.icq.com/carlo/zuma/popcaploader_v5.cab[/url]
O20 - Winlogon Notify: Hints - C:\WINDOWS\
O20 - Winlogon Notify: policies - C:\WINDOWS\
O20 - Winlogon Notify: SharedDLLs - C:\WINDOWS\
O23 - Service: Network Monitor - Unknown owner - C:\Program Files\Network Monitor\netmon.exe
4. после Пуск-Выполнить 2 команды -
[b]sc stop TlntSvr
sc config TlntSvr start= Disabled[/b]
5. Повторите логи с пункта 11 правил.
6. Что можно удалить -
c:\program files\mediagateway\mediagateway.exe
c:\program files\network monitor\netmon.exe
c:\windows\newfrn.exe
C:\WINDOWS\DH.dll
winhost32.exe
c:\newname2.exe
C:\mousepad2.exe
c:\keyboard2.exe
sysls.exe
C:\WINDOWS\system32\mqratelc.dll
C:\WINDOWS\system32\Svint100.dll
C:\WINDOWS\system32\rLsctrs.dll
C:\WINDOWS\system32\aRd.dll
C:\WINDOWS\DOWNLO~1\vengobar.dll
остальное пока не трогайте.
В дополнение к списку RiC пришлите:
c:\windows\system32\cthelper.exe
P.S. Какая версия KAV стоит? - 5.0.522?
P.S. Какая версия KAV стоит? - 5.0.522?[/quote]
KAV у меня старый - 5.0.388.
Что касается загрузки требуемых файлов, какой линк ему еще нужен? Я ему пишу тему, а он грубит!!!
Файлы по ссылке:
[url]https://virusinfo.info/upload_virus.php[/url]
Линк на эту тему:
[url]http://virusinfo.info/showthread.php?t=5019[/url]
HATTIFNATOR, спасибо, я все отослал. Надеюсь, что-то из этой затеи выйдет. Я готов уже переустановить XP.
Из присланного по Drweb:
c:\program files\mediagateway\mediagateway.exe - [B]Adware.Winad.144[/B]
c:\program files\network monitor\netmon.exe - [B]Trojan.DnsChange[/B]
C:\WINDOWS\System32\drivers\isa32.sys - [B]Trojan.NtRootKit.96[/B]
C:\WINDOWS\system32\rLsctrs.dll - [B]AdWare Adware.Look2me[/B]
C:\Documents and Settings\ivac.ORION-HDA4HRTRQ\Local Settings\Temporary Internet Files\Content.IE5\0VJ3AOT9\keyboard2[1].exe - [B]Trojan.DownLoader.6969[/B]
C:\gimmysmileys2.exe - [B]Adware.DollarRevenue[/B]
C:\keyboard2.exe - [B]Trojan.DownLoader.6969[/B]
C:\WINDOWS\system32\config\systemprofile\Local Settings\Temporary Internet Files\Content.IE5\QE2ZHD6U\keyboard2[1].exe - [B]Trojan.DownLoader.6969[/B]
C:\newname2.exe - [B]Adware.DollarRevenue[/B]
C:\RECYCLER\S-1-5-21-1708537768-1788223648-725345543-1003\Dc369.exe - [B]Trojan.DownLoader.6969[/B]
C:\RECYCLER\S-1-5-21-1708537768-1788223648-725345543-1003\Dc370.exe - [B]Adware.DollarRevenue[/B]
C:\WINDOWS\system32\config\systemprofile\Local Settings\Temporary Internet Files\Content.IE5\9FUM4EBL\newname2[1].exe - [B]Adware.DollarRevenue[/B]
C:\WINDOWS\System32\sysls.exe - возможно, инфицирован DLOADER.IRC.PWS.Trojan
[QUOTE] Norman Virus Control
Found Sandbox: W32/Ircbot.AAH.dropper; [ General information ]
* Accesses executable file from resource section.
* Creating several executable files on hard-drive.
* File length: 57344 bytes.
[ Changes to filesystem ]
* Creates file C:\WINDOWS\SYSTEM32\sample.exe.
* Creates file C:\WINDOWS\SYSTEM32\drivers\isa32.sys.
[ Changes to registry ]
* Creates key "HKLM\System\CurrentControlSet\Services\isa32".
* Sets value "ImagePath"="C:\WINDOWS\SYSTEM32\drivers\isa32.sys" in key "HKLM\System\CurrentControlSet\Services\isa32".
* Sets value "DisplayName"="isa32" in key "HKLM\System\CurrentControlSet\Services\isa32".
[ Process/window information ]
* Creates a mutex MutexMutexMutex9864258.
* Creates service "isa32 (isa32)" as "C:\WINDOWS\SYSTEM32\drivers\isa32.sys".
[ Signature Scanning ]
* C:\WINDOWS\SYSTEM32\sample.exe (57344 bytes) : no signature detection.
* C:\WINDOWS\SYSTEM32\drivers\isa32.sys (11616 bytes) : W32/Ircbot.AAH. [/QUOTE][url]http://virusinfo.info/showthread.php?p=68676#post68676[/url]
ADD
C:\WINDOWS\System32\sysls.exe - [b]Win32.HLLW.Blad[/b]
[quote]Ваш запрос был проанализирован. Запись о новом вирусе добавлена в базу.
Win32.HLLW.Blad[/quote]
Спасибо Shu_b, ждём свежие логи.
Всё что перечислил Shu_b можно смело удалить,
Для удаления
C:\WINDOWS\System32\sysls.exe
C:\WINDOWS\SYSTEM32\drivers\isa32.sys
выбрать обоих через АВЗ через Файл->Отложенное удаление и перезагрузиться.
Если найдете
C:\WINDOWS\SYSTEM32\sample.exe
то поступить с ним можно аналогично sysls.exe.
После [url=http://virusinfo.info/showthread.php?goto=newpost&t=5025]создать reg файл[/url] след содержимого -
[code]
REGEDIT4
[-HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\isa32]
[/code]
и добавить его в реестр,
после повторить логи с п. 11 правил.
Убил все, что было указано, однако лапки дрыгают. Большое спасибо за помощь, остался радикальный способ - топором под корень. Будем менять XP. Еще раз спасибо.
Зубы вы тоже предпочитаете топором под корень? Лучше сделайте новые логи, посмотрим, чьи там лапы, усы и хвост.
[QUOTE=ivac]Убил все, что было указано, однако лапки дрыгают. Большое спасибо за помощь, остался радикальный способ - топором под корень. [/QUOTE]
Вообще-то, по моим подсчётам, там должен был look2me остаться, но что-бы его душить надо сначала остальных гадов было вычистить.
Хотя как пожелаете, форматнуть действительно проще.
Если будите ставить заново - посетите Windows Update :)
Вы меня должны понять: я не есть вирусолог, я есть простой дизайнер и мне рабочий комп. во-о как нужен. Короче, отформатировал диск, поставил свежий XP. И что вы думаете? Лезут суки!!! Все те же. Сейчас пошлю логи, может еще что-то посоветуете.
Так сказано же - Windows Update. И файрвол, хотя бы встроенный включите.
[quote=pig]Так сказано же - Windows Update. И файрвол, хотя бы встроенный включите.[/quote]
Первое, что сделал после загрузки ХР это поставил Windows Update. Увы, это не помогло.
[QUOTE=ivac]Первое, что сделал после загрузки ХР это поставил Windows Update. Увы, это не помогло.[/QUOTE]
Поможет в будующем, если тех что есть преловить, обновление не даст налезть новым. До установки Update вы похоже успели побывать на каком-то сайте кроме Microsoft, где собственно и нацепляли заново.
Для установки исходной страницы в Explorere поставил провайдерский сайт [url]www.netvox.ru[/url] Это все, что я сделал.
[QUOTE=ivac]Для установки исходной страницы в Explorere поставил провайдерский сайт [url]www.netvox.ru[/url] Это все, что я сделал.[/QUOTE]
Сайт похоже чистый.
Из коллекции найденной в прошлый раз основная масса - AdWare, судя по составу - налетели где-то на загрузчик заразы в виде WMF файла.
Единственно выпал из компании - sysls.exe это похоже червяк почтовый, хотя возможно и просто сетевой.
PS: к Касперскому расширенные базы подключены ?