Win32\TCPZA и Win32\CMDOW.143

Сначала комп ругнулся, что какое-то приложение FLASH допустило ошибку и будет закрыто.
Затем NOD32 ругнулся вирусом Win32\TCPZ.A приложение на файл C:\Windows\system32\drivers\srwsvc.sys (событие в новом файле, созданном приложением c:\patch.exe) и что он будет помещен в карантин

Появилось консольное окно, что файл по адрессу будет закрыт из-за ошибки
C:\Patch.exe (его описание FlashFXP Copyright© 1998-2005 IniCom Networks, Inc. 3.4.0.1145)

Затем в логах вируса Nod32 есть еще один Win32\CMDOW.143 приложение

при обоих в разделе "Действие" стоит "Ошибка при очистка - действие недоступно"

Затем окна интернет-браузера стали медленно открываться, хотя аудиопоток через интернет идет нормально и аська работает

Вот нашел об этом

Description
Win32/Tcpz.A is a trojan that is usually installed and run as a malware component by other malware such as Win32/IRCBot or Win32/Rbot variants.
Back to top
Method of Infection
Win32/Tcpz.A is often dropped and run by other malware such as Win32/IRCBot or Win32/Rbot variants, to further their malicious activities on a compromised system. It is usually dropped as "sysdrv32.sys" in the %System%\drivers\ folder.



The malware that drops Win32/Tcpz.A then registers the .SYS file as a device driver, adding either the following registry entries:



HKLM\SYSTEM\CurrentControlSet\Services\sysdrv32\Type = 0x00000001
HKLM\SYSTEM\CurrentControlSet\Services\sysdrv32\Start = 0x00000003
HKLM\SYSTEM\CurrentControlSet\Services\sysdrv32\ErrorControl = 0x00000001
HKLM\SYSTEM\CurrentControlSet\Services\sysdrv32\ImagePath = "%System%\drivers\sysdrv32.sys"
HKLM\SYSTEM\CurrentControlSet\Services\sysdrv32\DisplayName = "Play Port I/O Driver"
HKLM\SYSTEM\CurrentControlSet\Services\sysdrv32\Group = "SST miniport drivers"



or these registry entries:



HKLM\SYSTEM\CurrentControlSet\Services\sysdrv32\Type = 0x00000001
HKLM\SYSTEM\CurrentControlSet\Services\sysdrv32\Start = 0x00000003
HKLM\SYSTEM\CurrentControlSet\Services\sysdrv32\ErrorControl = 0x00000001
HKLM\SYSTEM\CurrentControlSet\Services\sysdrv32\ImagePath = "%System%\drivers\sysdrv32.sys"
HKLM\SYSTEM\CurrentControlSet\Services\sysdrv32\DisplayName = "Host Port I/O Driver"
HKLM\SYSTEM\CurrentControlSet\Services\sysdrv32\Group = "SST miniport drivers"



Note: %System% is a variable location. The malware determines the location of the current System folder by querying the operating system. The default installation location for the System directory for Windows 2000 and NT is C:\Winnt\System32; for 95,98 and ME is C:\Windows\System; for XP and Vista is C:\Windows\System32.

[size="1"][color="#666686"][B][I]Добавлено через 5 часов 57 минут[/I][/B][/color][/size]

Да, вот что. Перед созданием логов сканировал систему в безопасном режиме Dr. Web CureIt!, но он ничего не показал, удалив несколько троянов. Далее комп вел себя также.

Затем, уже после отправки запроса Вам, решил на ночь проверить и AVPTool'ом, и он сразу же нашел:

Net-Worm.Win32.Kolab.def

Worm.Win32.AutoRun.ezt

Trojan-Clicker.HTML.IFrame.aga

Притом вставив затем флешку, на ней также обнаружился Net-Worm.Win32.Kolab.def

[B]Т.е. ДокторВеб и Нод не видели, а собственно Касперский помог. [/B]

Теперь якобы все работает нормально. Сообщения о Win32\TCPZ.A не появлялось.
Но ведь этого вируса в списке обнаруженых не было :(

Если надо, то логи чуть позже вышлю. Но пока прошу не удалять тему.

[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]

Сделайте новый лог по пункту 2 Диагностики и приложите к этой теме.

После того, как сделал логи диагностики по пункту 2 НОД выдал
c:\windows\system32\ms18_word.exe - модифицированный Win32/Kryptik.ZJ троян
c:\documents and settings\user.comp.000\ms18_word.exe - модифицированный Win32/Kryptik.ZJ троян
C:\WINDOWS\system32\ms18_word.exe - модифицированный Win32/Kryptik.ZJ троян
Якобы он их затем удалил, но при перезапуске системы вновь обнаружил вирус и поставил его на карантин

Обновления безопасности на Windows надо устанавливать.

Но как их удалить? Файл из которого происходит угроза, известен Windows\system32\ms18_word.exe но не удаляется

К тому же это все началось с того, что я захотел установить обновления!!!

Выполните скрипт в AVZ
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('I:\autorun.inf','');
DelBHO('{3041d03e-fd4b-44e0-b742-2d9b88305f98}');
QuarantineFile('C:\Program Files\AskBarDis\bar\bin\askBar.dll','');
QuarantineFile('C:\WINDOWS\system32\sdra64.exe','');
DeleteFile('C:\WINDOWS\system32\sdra64.exe');
DeleteFile('C:\Program Files\AskBarDis\bar\bin\askBar.dll');
DeleteFile('I:\autorun.inf');
RegKeyIntParamWrite('HKLM','SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer','NoDriveTypeAutoRun', 221);
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end. [/code]Компьютер перезагрузится.

Пришлите карантин согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

Сделайте новые логи (весь комплект)

Файл сохранён как 090801_022026_virus_4a736e2a9a38c.zip
Размер файла 3223
MD5 07373452a55936952f946ce0463c9117

[U][COLOR=#800080][URL]http://virusinfo.info/showthread.php?t=51063[/URL][/COLOR][/U][URL="http://virusinfo.info/showthread.php?t=51063"][/URL]

Логи.

Все равно пропадал минут через 10 интернет (но аська продолжала работать). Снес НОД32 и установил Нортон Антивирус 2010 Бета и он обнаружил C:\windows\msudp32.exe (W32.Spybot.Worm). После его удаления (с сообщением что после загрузки) интернет страницы снова стали открываться и скорость стала нормальная.
:?. Пока сканирую систему им. Далее сообщу.

P.S. Нортон нашел несколько частей W32.Spybot.Worm и сообщил, что удалил. Но так как при перезагрузке сонар Нортона вновь выдал сообщение о помещении в карантин bna.tmp, bnb.tmp, думаю, что он не удалился. c:\windows\system32\ms18_word.exe и дальше заражен.

Вот теперь все вылезло :)
bna.tmp, bnb.tmp где появляются?

Выполните скрипт в AVZ
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\Documents and Settings\User.COMP.000\ms18_word.exe','');
QuarantineFile('C:\WINDOWS\system32\regedit.exe','');
TerminateProcessByName('c:\windows\msudp32.exe');
QuarantineFile('c:\windows\msudp32.exe','');
TerminateProcessByName('c:\windows\system32\ms18_word.exe');
QuarantineFile('c:\windows\system32\ms18_word.exe','');
DeleteFile('c:\windows\system32\ms18_word.exe');
DeleteFile('c:\windows\msudp32.exe');
DeleteFile('C:\WINDOWS\system32\regedit.exe');
DeleteFile('C:\Documents and Settings\User.COMP.000\ms18_word.exe');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end. [/code]Компьютер перезагрузится.

Пришлите карантин согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

Сделайте новые логи

Карантин
Файл сохранён как 090801_203223_virus_4a746e1782464.zip
Размер файла 52134
MD5 af7484101d691b5347b04aba0f8c0976

О bna.tmp, bnb.tmp сообщает тольк Нортон Антивирус, говоря, что удаляет их. Полного пути не указывает.

c:\windows\system32\ms18_word.exe больше не видно и он также не висит как главный над процессом svchost.exe

О вирусе также нашел тут [url]http://www.virusremovalguru.com/?p=3184&lang=ru[/url] (кодировка страницы KOI8-R).

Логи сделаю.

P.S. Насколько помню, вирус подцепил в момент регистрации на сайте :http:www.liberty.ru

Логи прилагаю.

Пришлите файл[code]
C:\Program Files\russradio\russradio.chm[/code]так, как сказано в приложении 2 Правил.
Обновите Java.

Файл сохранён как 090802_014010_rus-radio_4a74b63a5cd40.zip
Размер файла 580
MD5 983bb906faf2b2b28eb2a0e4ee81540b

Обновил

Вы прислали ссылку на файл russradio.chm, а не сам файл.

Как же я так лоханулся?
Выслал
Файл сохранён как 090802_204100_russradio_4a75c19c6565d.zip
Размер файла 16368
MD5 e65928493be200a8da77eb777fb26637

russradio.chm безопасный.
Как компьютер работает?

Пока что все нормально. Сонар Нортон АнтиВирус сообщений никаких не выдает.

Всего два раза после лечения произошел BSOD - 0x000000F4

Может он быть связан с этим вирусом или это уже что-то другое?

Ошибка эта у меня появляется как следствие
Сбой при запуске службы "Windows User Mode Driver Framevork" из-за ошибки
Служба не ответила на запрос своевременно (код 7000)

или
Таймаут (300000 мс) ожидания для службы "Windows User Mode Driver Framevork" (Код 7009).

Также в устройствах указывается ошибка SM Контроллера шины (но оно давно так стоит и ошибок раньше не было).
Вот данные о проблемном устройстве:
ID устройства PCI\VEN_10DEDEV_00E4SUBSYS_813F1043REV_A1\3267A616A009
Статус 0x01802400 Has Problem
Проблема 0x0000001c (28 )
PCI шина 0, устройство 1, функция 1
Номер шины 0x00000000
Описание SM контролер шины

Минидампы не сохраняются, поэтому определить драйвер не могу.

Файл подкачки - 1920 -3840 Мб
Свободно - 28188 Мб
ОЗУ - 1,25 Гб

тут мне не ответили [url]http://forum.ixbt.com/topic.cgi?id=22:67357[/url]

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]4[/B][*]Обработано файлов: [B]20[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\documents and settings\user.comp.000\ms18_word.exe - [B]Trojan.Win32.Agent2.kzp[/B] ( DrWEB: Trojan.MulDrop.33181, BitDefender: Trojan.Downloader.Cutwail.L )[*] c:\windows\system32\ms18_word.exe - [B]Trojan.Win32.Agent2.kzp[/B] ( DrWEB: Trojan.MulDrop.33181, BitDefender: Trojan.Downloader.Cutwail.L )[/LIST][/LIST]