Модифицированный порно-информер

Printable View

11.08.2009, 20:51
MaxS

Вложений: 3

Модифицированный порно-информер

Доброго времени суток. В общем при запуске любого интернет-браузера (IE, Opera, Mozilla) браузер блочится, а вместо него появляется окно с материалами порнографического содержания, а так же с предложением отправить СМС с кодом *** на номер ****, для, якобы, снятия информера.
Так же блокируется редактор реестра, диспетчер задач, антивирус, и пр.
Чтобы запустить AVZ и HiJackThis приходилось переименовывать исполняющие файлы:
[B]AVZ.exe[/B] в [B]aa.exe[/B]
[B]HiJackThis.exe[/B] в [B]H.exe[/B]

Надеюсь на вашу помощь!
11.08.2009, 21:10
light59

[URL="http://virusinfo.info/showthread.php?t=7239"]В AVZ -> файл-> Выполнить скрипт[/URL]

[CODE]
begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\VwWZPU.dll','');
QuarantineFile('C:\WINDOWS\system32\ujiOMC.dll','');
QuarantineFile('C:\WINDOWS\system32\TPxgZf.dll','');
QuarantineFile('C:\WINDOWS\system32\RRTspD.dll','');
QuarantineFile('C:\WINDOWS\system32\QQeghN.dll','');
QuarantineFile('C:\WINDOWS\system32\IXLCOh.dll','');
QuarantineFile('C:\WINDOWS\system32\HKhZWe.dll','');
QuarantineFile('C:\WINDOWS\system32\gMJdiM.dll','');
QuarantineFile('C:\WINDOWS\system32\dAlIgC.dll','');
QuarantineFile('C:\Documents and Settings\SkyDancer\Главное меню\Программы\Автозагрузка\rncsys32.exe','');
DeleteService('TapiSrvSSDPSRV');
QuarantineFile('C:\WINDOWS\system32\1041a.exe','');
TerminateProcessByName('c:\windows\system32\csrcs.exe');
QuarantineFile('c:\windows\system32\csrcs.exe','');
QuarantineFile('C:\WINDOWS\system32\Players.exe','');
DeleteFile('C:\WINDOWS\system32\Players.exe');
DeleteFile('c:\windows\system32\csrcs.exe');
DeleteFile('C:\WINDOWS\system32\crypt.dll');
DeleteFile('C:\WINDOWS\system32\1041a.exe');
DeleteFile('C:\Documents and Settings\SkyDancer\Главное меню\Программы\Автозагрузка\rncsys32.exe');
DeleteFile('C:\WINDOWS\system32\dAlIgC.dll');
DeleteFile('C:\WINDOWS\system32\gMJdiM.dll');
DeleteFile('C:\WINDOWS\system32\HKhZWe.dll');
DeleteFile('C:\WINDOWS\system32\IXLCOh.dll');
DeleteFile('C:\WINDOWS\system32\QQeghN.dll');
DeleteFile('C:\WINDOWS\system32\RRTspD.dll');
DeleteFile('C:\WINDOWS\system32\TPxgZf.dll');
DeleteFile('C:\WINDOWS\system32\ujiOMC.dll');
DeleteFile('C:\WINDOWS\system32\VwWZPU.dll');
DeleteFileMask('C:\Documents and Settings\OEM\Local Settings\Temp\', '*.*', true);
DeleteFileMask('C:\Documents and Settings\OEM\Local Settings\Temporary Internet Files\Content.IE5\', '*.*', true);
DeleteFileMask('%tmp% ','*.* ',true);
BC_Importall;
BC_DeleteSvc('TapiSrvSSDPSRV');
ExecuteSysClean;
ExecuteRepair(6);
ExecuteRepair(9);
ExecuteRepair(16);
BC_Activate;
RebootWindows(true);
end.
[/CODE]
Компьютер перезагрузится.
Пришлите карантин согласно правил по ссылке [URL="http://virusinfo.info/upload_virus.php?tid=51837"]http://virusinfo.info/upload_virus.php?tid=51837[/URL]
Повторите логи.
12.08.2009, 14:21
MaxS

Вложений: 3

Карантин отрпавил ([B]090812_143448_virus_4a829ac82be70.zip[/B]), логи сделал.
Большое спасибо за помощь, проблема решена. Правда появилась другая - некоторые сайты (в том числе и virusinfo.info) отказываются грузиться в любом браузере, отображается сообщение "сайт временно недоступен", поэтому пишу с компьютера на работе...
Но вполне возможно что это уже другая история :)

upd: Прошу прощения, неправильно сделал архив с карантином. Отправил заново, имя в сообщении выше исправил (хотя вы наверное итак все видите)...
12.08.2009, 14:53
Kuzz

[QUOTE='MaxS;447522']Но вполне возможно что это уже другая история[/QUOTE]
Не, это все та же история..

1.[url=http://virusinfo.info/showthread.php?t=7239]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".[/url]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('crypt.dll','');
QuarantineFile('M:\autorun.inf','');
QuarantineFile('M:\jhmeas.exe','');
DeleteFile('M:\jhmeas.exe');
DeleteFile('M:\autorun.inf');
ClearHostsFile;
SetAVZPMStatus(true);
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]
После выполнения скрипта компьютер перезагрузится.

Прислать карантин согласно [b]приложения 3 [url=http://virusinfo.info/showthread.php?t=1235]правил [/url][/b].
Загружать по красной ссылке вверху этой темы [B][COLOR="Red"]"Прислать запрошенный карантин"[/COLOR][/B]

2.Пофиксить в HijackThis следующие строчки ( [url]http://virusinfo.info/showthread.php?t=4491[/url] ).
Hекоторых записей может не оказаться - это нормально.
[CODE]F2 - REG:system.ini: UserInit=c:\windows\system32\userinit.exe,\s
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Program Files\ICQLite\ICQLite.exe (file missing)
O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Program Files\ICQLite\ICQLite.exe (file missing)[/CODE]

3. Провести [URL="http://virusinfo.info/showthread.php?t=43700"]такую процедуру[/URL]

4.Повторить логи
13.08.2009, 17:17
MaxS

Вложений: 3

Отправил карантин (090813_171124_virus_4a8410fc414e7.zip), сделал логи, пофиксил все 4 указанные вами строчки, выполнил п3 (там действительно была проблема :) )

Сайты открываются, из симптомов... меня беспокоит разве что постоянная [I]отмена отображения скрытых файлов[/I] (несмотря на то, что я каждый раз включаю нужную опцию) и периодически в наушниках слышны весьма странные щелчки (немного напоминает звук открытия папки, но тише и короче). Все остальное отступило =)
13.08.2009, 17:37
Kuzz

Оно возвращается с флешек..

1.[url=http://virusinfo.info/showthread.php?t=7239]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".[/url]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('M:\autorun.inf','');
QuarantineFile('M:\mvewmm.exe','');
QuarantineFile('crypt.dll','');
QuarantineFile('C:\WINDOWS\system32\csrcs.exe','');
QuarantineFile('c:\windows\system32\csrcs.exe','');
DeleteFile('c:\windows\system32\csrcs.exe');
DeleteFile('C:\WINDOWS\system32\csrcs.exe');
DeleteFile('crypt.dll');
DeleteFile('M:\mvewmm.exe');
DeleteFile('M:\autorun.inf');
ExecuteRepair(16);
ExecuteWizard('TSW', 2, 2, true);
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]
После выполнения скрипта компьютер перезагрузится.

Прислать карантин согласно [b]приложения 3 [url=http://virusinfo.info/showthread.php?t=1235]правил [/url][/b].
Загружать по красной ссылке вверху этой темы [B][COLOR="Red"]"Прислать запрошенный карантин"[/COLOR][/B]

2.Повторить лог virusinfo_syscheck.zip

Скачайте свежий CureIt (в правилах есть ссылка) и почистите им флешки.
13.08.2009, 19:40
MaxS

Вложений: 1

Отправил карантин (090813_193643_virus_4a84330bbea77.zip).
Лог сделал. Флешку почистил (она, к счастью, одна), CureIt ничего на ней не обнаружил, но зараженные файлы были удалены по ходу выполнения скрипта (директория M это она и есть). Пока все тихо и спокойно... надеюсь с этим покончено...
13.08.2009, 20:25
Rene-gad

C:\Program Files\Multi Password Recovery - сами устанавливали?

- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт[/URL]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFileMask('%temp%','*.*',true);
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/CODE]

Повторить лог virusinfo_syscheck.zip
13.08.2009, 20:46
MaxS

Вложений: 1

[quote="Rene-gad"]C:\Program Files\Multi Password Recovery - сами устанавливали?[/quote]
Да, когда была необходимость восстановить пароль от ICQ (средства самой ICQ работать отказывались). Инсталлер проверял последней версией Касперского, ничего опасного он там не нашел.
Лог сделал, неужели все? :)
13.08.2009, 23:34
Rene-gad

[QUOTE=MaxS;448339]Да, когда была необходимость восстановить пароль от ICQ [/QUOTE]Не нравится она мне: службу запускает... Я бы на Вашем месте ее удалил.
А в логе ничего враждебного.

- Установите все важные патчи.
- Установите IE 8
- Обновите JavaRE
- Обновите Acrobat Reader
14.08.2009, 00:26
MaxS

Пожалуй так и сделаю, тем более что она мне больше не нужна.
Ну на этом всё, все замечания учту, все поставлю, большое спасибо за помощь, всего вам самого наилучшего :)
15.08.2009, 00:26
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]4[/B][*]Обработано файлов: [B]29[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\documents and settings\skydancer\главное меню\программы\автозагрузка\rncsys32.exe - [B]Trojan.Win32.Agent.ckqu[/B] ( DrWEB: Trojan.Botnetlog.11, BitDefender: Trojan.Generic.1989825, NOD32: Win32/TrojanDownloader.Bredolab.AA trojan, AVAST4: Win32:Trojan-gen {Other} )[*] c:\windows\system32\csrcs.exe - [B]Packed.Win32.Klone.bj[/B] ( DrWEB: Win32.HLLW.Autohit.9837, BitDefender: Gen:Trojan.Heur.AutoIT.Tq3@bKG2l!oO, AVAST4: Win32:Trojan-gen {Other} )[*] c:\windows\system32\daligc.dll - [B]Trojan.Win32.Delf.oav[/B] ( DrWEB: Trojan.Annoy.21, NOD32: Win32/Delf.OPE trojan )[*] c:\windows\system32\gmjdim.dll - [B]Trojan.Win32.Delf.oav[/B] ( DrWEB: Trojan.Annoy.21, NOD32: Win32/Delf.OPE trojan )[*] c:\windows\system32\hkhzwe.dll - [B]Trojan.Win32.Delf.oav[/B] ( DrWEB: Trojan.Annoy.21, NOD32: Win32/Delf.OPE trojan )[*] c:\windows\system32\ixlcoh.dll - [B]Trojan.Win32.Delf.oav[/B] ( DrWEB: Trojan.Annoy.21, NOD32: Win32/Delf.OPE trojan )[*] c:\windows\system32\qqeghn.dll - [B]Trojan.Win32.Delf.oav[/B] ( DrWEB: Trojan.Annoy.21, NOD32: Win32/Delf.OPE trojan )[*] c:\windows\system32\rrtspd.dll - [B]Trojan.Win32.Delf.oav[/B] ( DrWEB: Trojan.Annoy.21, NOD32: Win32/Delf.OPE trojan )[*] c:\windows\system32\tpxgzf.dll - [B]Trojan.Win32.Delf.oav[/B] ( DrWEB: Trojan.Annoy.21, NOD32: Win32/Delf.OPE trojan )[*] c:\windows\system32\ujiomc.dll - [B]Trojan.Win32.Delf.oav[/B] ( DrWEB: Trojan.Annoy.21, NOD32: Win32/Delf.OPE trojan )[*] c:\windows\system32\vwwzpu.dll - [B]Trojan.Win32.Delf.oav[/B] ( DrWEB: Trojan.Annoy.21, NOD32: Win32/Delf.OPE trojan )[*] c:\windows\system32\1041a.exe - [B]Trojan.Win32.Agent.ckda[/B] ( DrWEB: BackDoor.IRC.Bot.114, BitDefender: Trojan.Generic.IS.509408, NOD32: Win32/Agent.CKDA trojan, AVAST4: Win32:Trojan-gen {Other} )[*] m:\autorun.inf - [B]Trojan.Win32.AutoRun.v[/B] ( BitDefender: Trojan.AutorunINF.Gen )[*] m:\jhmeas.exe - [B]Packed.Win32.Klone.bj[/B] ( DrWEB: Win32.HLLW.Autohit.9837, BitDefender: Gen:Trojan.Heur.AutoIT.Tq3@bKG2l!oO, AVAST4: Win32:Trojan-gen {Other} )[*] m:\mvewmm.exe - [B]Packed.Win32.Klone.bj[/B] ( DrWEB: Win32.HLLW.Autohit.9837, BitDefender: Gen:Trojan.Heur.AutoIT.Tq3@bKG2l!oO, AVAST4: Win32:Trojan-gen {Other} )[/LIST][/LIST]