Маскировка процесса с PID=1972, имя = "dllcache.exe"

Printable View

20.07.2009, 22:57
Seuge

Маскировка процесса с PID=1972, имя = "dllcache.exe"

Прогнал несколько раз авз4...он вылечил основную массу вирусов, но остались две красные записи:
[SIZE=2][COLOR=#ff0000]>>>> Обнаружена маскировка процесса 1972 c:\windows\system\dllcache.exe
[SIZE=2][COLOR=#ff0000]Маскировка процесса с PID=1972, имя = "dllcache.exe", полное имя = "\Device\HarddiskVolume2\WINDOWS\system\dllcache.exe"

[COLOR=black]Стоит ли об этом беспокоится?![/COLOR]
[COLOR=#000000][/COLOR]
[COLOR=#000000][/COLOR]
[/COLOR][/SIZE][/COLOR][/SIZE]
20.07.2009, 23:04
V_Bond

выполните скрипт
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\regedit.exe','');
QuarantineFile('C:\Documents and Settings\Мага\ms18_word.exe','');
QuarantineFile('C:\Documents and Settings\LocalService\ms18_word.exe','');
QuarantineFile('C:\Documents and Settings\LocalService\LocalService.exe','');
DeleteService('ws2_32sik');
QuarantineFile('C:\WINDOWS\system32\drivers\ws2_32sik.sys','');
DeleteService('systemntmi');
QuarantineFile('C:\WINDOWS\system32\drivers\systemntmi.sys','');
DeleteService('securentm');
QuarantineFile('C:\WINDOWS\system32\drivers\securentm.sys','');
QuarantineFile('C:\WINDOWS\system32\drivers\protect.sys','');
DeleteService('protect');
DeleteService('port135sik');
QuarantineFile('C:\WINDOWS\system32\drivers\port135sik.sys','');
QuarantineFile('C:\WINDOWS\system32\drivers\nicsk32.sys','');
DeleteService('nicsk32');
DeleteService('netsik');
DeleteService('ksi32sk');
QuarantineFile('C:\WINDOWS\system32\drivers\ksi32sk.sys','');
DeleteService('i386si');
QuarantineFile('C:\WINDOWS\system32\drivers\i386si.sys','');
DeleteService('fips32cup');
QuarantineFile('C:\WINDOWS\system32\drivers\fips32cup.sys','');
DeleteService('ati64si');
QuarantineFile('C:\WINDOWS\system32\drivers\ati64si.sys','');
DeleteService('amd64si');
QuarantineFile('C:\WINDOWS\system32\drivers\acpi32.sys','');
DeleteService('acpi32');
DeleteService('sysdrv32');
QuarantineFile('C:\WINDOWS\system32\drivers\amd64si.sys','');
QuarantineFile('C:\WINDOWS\system32\drivers\sysdrv32.sys','');
QuarantineFile('C:\WINDOWS\system32\drivers\netsik.sys','');
QuarantineFile('c:\windows\system\msdct.exe','');
QuarantineFile('c:\windows\system32\ms18_word.exe','');
QuarantineFile('c:\windows\system\dllcache.exe','');
DeleteFile('c:\windows\system\dllcache.exe');
DeleteFile('c:\windows\system32\ms18_word.exe');
DeleteFile('c:\windows\system\msdct.exe');
DeleteFile('C:\WINDOWS\system32\drivers\netsik.sys');
DeleteFile('C:\WINDOWS\system32\drivers\sysdrv32.sys');
DeleteFile('C:\WINDOWS\system32\drivers\amd64si.sys');
DeleteFile('C:\WINDOWS\system32\drivers\acpi32.sys');
DeleteFile('C:\WINDOWS\system32\drivers\ati64si.sys');
DeleteFile('C:\WINDOWS\system32\drivers\fips32cup.sys');
DeleteFile('C:\WINDOWS\system32\drivers\i386si.sys');
DeleteFile('C:\WINDOWS\system32\drivers\ksi32sk.sys');
DeleteFile('C:\WINDOWS\system32\drivers\nicsk32.sys');
DeleteFile('C:\WINDOWS\system32\drivers\port135sik.sys');
DeleteFile('C:\WINDOWS\system32\drivers\protect.sys');
DeleteFile('C:\WINDOWS\system32\drivers\securentm.sys');
DeleteFile('C:\WINDOWS\system32\drivers\systemntmi.sys');
DeleteFile('C:\WINDOWS\system32\drivers\ws2_32sik.sys');
DeleteFile('C:\Documents and Settings\LocalService\LocalService.exe');
DeleteFile('C:\Documents and Settings\LocalService\ms18_word.exe');
DeleteFile('C:\Documents and Settings\Мага\ms18_word.exe');
DeleteFile('C:\WINDOWS\system32\ms18_word.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
пришлите карантин согласно приложения 3 правил
повторите логи
20.07.2009, 23:42
Seuge

Прогнал скрипт, карантин и логи прилагаю.
Появилось:
[COLOR="Red"]>>>> Возможно маскировка имени исполняемого файла 1848 btstac~1.exe, реальное имя - BTStackServer.exe

Видимый процесс с PID=1848, имя = "\Device\HarddiskVolume2\Program Files\WIDCOMM\Bluetooth Software\BTStackServer.exe"
>> обнаружена подмена имени, новое имя = "c:\progra~1\widcomm\blueto~1\btstac~1.exe"[/COLOR]

Что-то с драйвером Блутуфа?

З.Ы. Не загружается во вложения файл с карантином.
Разобрался как и куда отправить карантин!
21.07.2009, 01:25
Seuge

Поработал немного. Установил НОД32. Он начал находить какието вирусы. Сделал повторный прогон авз: выяснилось, что все вернулось на круги своя. Запустил скрипт на сбор информации в Безопасном режиме. Лог прилагаю.
21.07.2009, 09:22
thyrex

На время выполнения скрипта антивирус отключить.

Выполните скрипт в AVZ
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system\dllcache.exe','');
QuarantineFile('C:\WINDOWS\system32\regedit.exe','');
QuarantineFile('C:\WINDOWS\system32\ms18_word.exe','');
QuarantineFile('C:\Documents and Settings\Мага\ms18_word.exe','');
QuarantineFile('C:\Documents and Settings\LocalService\ms18_word.exe','');
QuarantineFile('C:\WINDOWS\system32\drivers\ati64si.sys','');
DeleteService('ati64si');
SetServiceStart('WM System Decode Application', 4);
DeleteService('WM System Decode Application');
TerminateProcessByName('c:\windows\system\msdct.exe');
QuarantineFile('c:\windows\system\msdct.exe','');
DeleteFile('c:\windows\system\msdct.exe');
DeleteFile('C:\WINDOWS\system32\drivers\ati64si.sys');
DeleteFile('C:\Documents and Settings\LocalService\ms18_word.exe');
DeleteFile('C:\Documents and Settings\Мага\ms18_word.exe');
DeleteFile('C:\WINDOWS\system32\ms18_word.exe');
DeleteFile('C:\WINDOWS\system32\regedit.exe');
DeleteFile('C:\WINDOWS\system\dllcache.exe');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end. [/code]Компьютер перезагрузится.

Пришлите карантин согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

Сделайте новые логи
21.07.2009, 11:50
Seuge

Скрипт выполнил. Карантин отправил. Логи прилагаю.
21.07.2009, 11:59
Seuge

Перезагрузился пару раз. Посмотрел Хайджэк, ms18 вроде больше не появился...
Еще раз прогоняю АВЗ. Стоит ли беспокоится о:

[COLOR="Red"]>>>> Возможно маскировка имени исполняемого файла 1848 btstac~1.exe, реальное имя - BTStackServer.exe

Видимый процесс с PID=1848, имя = "\Device\HarddiskVolume2\Program Files\WIDCOMM\Bluetooth Software\BTStackServer.exe"
>> обнаружена подмена имени, новое имя = "c:\progra~1\widcomm\blueto~1\btstac~1.exe"[/COLOR]

Откуда это вирус берется?
21.07.2009, 13:00
Rene-gad

[QUOTE=Seuge;435069]Откуда это вирус берется?[/QUOTE]это не вирус, а драйвер от Bluetooth.
22.07.2009, 00:44
Seuge

Ноут пришлось сегодня вернуть хозяину, но при проверке на его территории, без подключения интернета, АВЗ снова отловил маскировку процесса от dllcache.exe...правда ms18 в процессах Хайджек не выявил. Так же стали выскакивать ошибки в стиле некорректная работа приложения, не запомнил к сожалению какого, с последующим завершением его и предложением отправить отчет Майкрософт. Требуются ли дополнительные логи или возможно найти решение по уже имеющейся информации?
22.07.2009, 08:53
thyrex

Требуются логи
30.07.2009, 14:13
Seuge

снова взял ноут...вот свежие логи....
проблемы такие...перебои в работе интернета....ошибки
30.07.2009, 14:42
Rene-gad

Базы АВЗ обновите.

Закройте/выгрузите все программы кроме AVZ и Internet Explorer.
Отключите
- ПК от интернета/локалки
- Антивирус и Файрвол.
- Системное восстановление.

- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт[/URL]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
TerminateProcessByName('c:\windows\msmacro64.exe');
TerminateProcessByName('c:\windows\system\msdct.exe');
StopService('sysdrv32');
StopService('securentm');
StopService('WM System Decode Application');
QuarantineFile('C:\WINDOWS\system32\drivers\sysdrv32.sys','');
QuarantineFile('C:\WINDOWS\system32\drivers\securentm.sys','');
QuarantineFile('C:\WINDOWS\msmacro64.exe','');
QuarantineFile('c:\windows\system\msdct.exe','');
DeleteFile('c:\windows\system\msdct.exe');
DeleteFile('C:\WINDOWS\msmacro64.exe');
DeleteFile('C:\WINDOWS\system32\drivers\securentm.sys');
DeleteFile('C:\WINDOWS\system32\drivers\sysdrv32.sys');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','msmacro32');
DeleteService('sysdrv32');
DeleteService('WM System Decode Application');
DeleteService('securentm');
BC_ImportAll;
ExecuteSysClean;
BC_DeleteSvc('sysdrv32');
BC_DeleteSvc('WM System Decode Application');
BC_DeleteSvc('securentm');
BC_Activate;
SetAVZPMStatus(True);
RebootWindows(true);
end.
[/CODE]

После перезагрузки:

- [url="http://virusinfo.info/showthread.php?t=10025"] Очистите [/url]темп-папки, кэш проводников и корзину.
- Закройте все программы, включая Антивирус и Файрвол, Оставьте запущенным [B]только Internet Explorer[/B]. Если он не запущен - запустите!!!
- Сделайте повторные логи
[b]virusinfo_syscure.zip
virusinfo_syscheck.zip
hijackthis.log [/b]
- Включите Антвирус и Файрволл
- Подключите ПК к интернету/локалке
- Закачайте карантин по ссылке [COLOR="Red"][B]Прислать запрошенный карантин[/B][/COLOR] вверху темы (Приложение 3 правил).
- Прикрепите логи к новому сообщению.
30.07.2009, 15:03
Seuge

обновленные логи....карантин отправлен
30.07.2009, 15:06
Rene-gad

В логах ничего подозрительного. Жалобы есть?
- Установите Сервис Пак 3 - возможно потребуется активация, и все последующие важные патчи.
Перед установкой Сервис Пака необходимо выгрузить [B][COLOR="Red"]все защитные приложения[/COLOR][/B] (антивирус, файрвол а так же резидентные приложения типа TeaTimer (Spybot Search and Destroy) и др.)
- Установите IE 8
30.07.2009, 15:30
Seuge

Прямое чтение C:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5\61TY3B5W\womsp[1].exe
Прямое чтение C:\Documents and Settings\Мага\Local Settings\Temporary Internet Files\Content.IE5\UBY6MA29\vbulletin_quick_edit[1].js
Прямое чтение C:\WINDOWS\system32\01.scr
Прямое чтение C:\WINDOWS\system32\07.scr
Прямое чтение C:\WINDOWS\system32\13.scr
Прямое чтение C:\WINDOWS\system32\35.scr
Прямое чтение C:\WINDOWS\system32\36.scr
Прямое чтение C:\WINDOWS\system32\61.scr
Прямое чтение C:\WINDOWS\system32\75.scr
Прямое чтение C:\WINDOWS\system32\76.scr
Прямое чтение C:\WINDOWS\system32\77.scr
Прямое чтение C:\WINDOWS\system32\85.scr
Прямое чтение C:\WINDOWS\system32\86.scr

нашел АВЗ, а нод удалил как троян Win32\IRCBot.AMC
за это надо беспокоится? или это остаточное?
30.07.2009, 15:36
Rene-gad

[QUOTE=Seuge;440324]Прямое чтение C:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5\61TY3B5W\womsp[1].exe
Прямое чтение C:\Documents and Settings\Мага\Local Settings\Temporary Internet Files\Content.IE5\UBY6MA29\vbulletin_quick_edit[1].js[/QUOTE]Очистку кэша делали?
[QUOTE]Прямое чтение C:\WINDOWS\system32\01.scr[/QUOTE] Удалите файлы вручную или скриптом:
[CODE]begin
SetAVZGuardStatus(True);
DeleteFileMask('c:\windows\system32','??.scr',false);
RebootWindows(true);
end.[/CODE]
[QUOTE]
нод удалил как троян Win32\IRCBot.AMC[/QUOTE]Кого он удалил?
30.07.2009, 15:43
Seuge

очистку делал, но через очистку системы...видимо глупо поступил...удалил вручную....щас еще прогоню
31.07.2009, 15:43
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]3[/B][*]Обработано файлов: [B]36[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\documents and settings\localservice\localservice.exe - [B]Trojan-Downloader.Win32.Agent.cgox[/B] ( DrWEB: Trojan.DownLoad.38937, BitDefender: Trojan.Generic.2135735 )[*] c:\documents and settings\localservice\ms18_word.exe - [B]Backdoor.Win32.HareBot.gb[/B] ( DrWEB: Trojan.DownLoad.40429, BitDefender: Trojan.Downloader.Kobcka.K )[*] c:\windows\msmacro64.exe - [B]Trojan.Win32.Agent.cqen[/B] ( DrWEB: BackDoor.IRC.Sdbot.4632 )[*] c:\windows\system\dllcache.exe - [B]Trojan.Win32.Buzus.bpcc[/B] ( DrWEB: BackDoor.IRC.Sdbot.4632 )[*] c:\windows\system\msdct.exe - [B]Backdoor.Win32.Nepoe.jf[/B] ( DrWEB: BackDoor.IRC.Sdbot.4910, BitDefender: Trojan.Generic.2197859 )[*] c:\windows\system32\drivers\amd64si.sys - [B]Rootkit.Win32.Agent.maf[/B] ( DrWEB: Trojan.DownLoad.38180, BitDefender: Rootkit.Agent.AJAO )[*] c:\windows\system32\drivers\netsik.sys - [B]Rootkit.Win32.Agent.maf[/B] ( DrWEB: Trojan.DownLoad.38180, BitDefender: Rootkit.Agent.AJAO )[*] c:\windows\system32\drivers\sysdrv32.sys - [B]Worm.Win32.AutoRun.ftp[/B] ( DrWEB: Tool.TcpZ, BitDefender: Trojan.Agent.ALRI )[*] c:\windows\system32\ms18_word.exe - [B]Backdoor.Win32.HareBot.gb[/B] ( DrWEB: Trojan.DownLoad.40429, BitDefender: Trojan.Downloader.Kobcka.K )[/LIST][/LIST]