Printable View
msdrive32.exe - процесс, который жутко грузит процессор. Терминировав его, через некоторое время появляется снова. Тоже самое и в автозагрузке. Неоднократное появление vse432.exe и wshost32.exe в автозагрузке даже после удаления.. В процессах с ними тоже самое.. wshost32.exe поработав некоторое время исчезает оставляя после себя экзешники в имени которых произвольный набор чисел. Высылаю логи. Помогите пожалуйста.
[b]Скачайте свежую версию AVZ - 4.32![/b]
Выполните скрипт в AVZ:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\RECYCLER\S-1-5-21-0243336031-4052116379-881863308-0851\vse432.exe','');
QuarantineFile('C:\RECYCLER\S-1-5-21-0170574030-4275581676-544705207-2479\csvcs.exe','');
QuarantineFile('C:\WINDOWS.0\system32\drivers\NDIS.SYS','');
QuarantineFile('C:\WINDOWS.0\system32\wshost32.exe','');
QuarantineFile('C:\WINDOWS.0\msdrive32.exe','');
QuarantineFile('C:\WINDOWS.0\system32\nmdfgds0.dll','');
DeleteFile('C:\WINDOWS.0\system32\nmdfgds0.dll');
DeleteFile('C:\WINDOWS.0\msdrive32.exe');
DeleteFile('C:\WINDOWS.0\system32\wshost32.exe');
DeleteFile('C:\RECYCLER\S-1-5-21-0170574030-4275581676-544705207-2479\csvcs.exe');
DeleteFile('C:\RECYCLER\S-1-5-21-0243336031-4052116379-881863308-0851\vse432.exe');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]
Компьютер перезагрузится.
Пришлите карантин согласно приложению 3 правил
(загружать тут: [url]http://virusinfo.info/upload_virus.php?tid=52766[/url]).
Сделайте новые логи.
Карантин выслал. перезагрузился - msdrive32.exe в процессах висит. + к нему висели экзешники с цифрами которые я благополучно выпроводил.
Высылаю повтор логов.
Закройте/выгрузите все программы кроме AVZ и Internet Explorer.
- Отключите ПК от интернета/локалки
- Отключите Антивирус и Файрвол.
- Отключите Системное восстановление.
-[URL="http://virusinfo.info/showthread.php?t=4491"]Пофиксите[/URL]
[CODE]
O4 - HKLM\..\Run: [Microsoft Driver Setup] C:\WINDOWS.0\msdrive32.exe
O4 - HKLM\..\Run: [wshost32] C:\WINDOWS.0\system32\wshost32.exe
O4 - HKLM\..\Policies\Explorer\Run: [Microsoft Driver Setup] C:\WINDOWS.0\msdrive32.exe
[/CODE]
-[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт[/URL]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
TerminateProcessByName('c:\windows.0\msdrive32.exe');
QuarantineFile('C:\WINDOWS.0\system32\wshost32.exe','');
QuarantineFile('C:\RECYCLER\S-1-5-21-9349577293-9831004744-266876130-7980\csvcs.exe','');
QuarantineFile('C:\RECYCLER\S-1-5-21-0243336031-4052116379-881863308-0851\vse432.exe','');
DeleteFile('c:\windows.0\msdrive32.exe');
DeleteFile('C:\RECYCLER\S-1-5-21-0243336031-4052116379-881863308-0851\vse432.exe');
DeleteFile('C:\RECYCLER\S-1-5-21-9349577293-9831004744-266876130-7980\csvcs.exe');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','12CFG914-K641-26SF-N32P');
DeleteFile('C:\WINDOWS.0\system32\wshost32.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Winlogon','Taskman');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
SetAVZPMStatus(True);
RebootWindows(true);
end.[/CODE]
После перезагрузки:
- [url="http://virusinfo.info/showthread.php?t=10025"] Очистите [/url]темп-папки, кэш проводников и корзину.
- Закачайте карантин по ссылке [COLOR="Red"][B]Прислать запрошенный карантин[/B][/COLOR] вверху темы (Приложение 3 правил).
- Повторите в точности действия, описанные в пп.1 - 3 раздела правил Диагностика, новые логи прикрепите к новому сообщению.
проделал всё вышеуказанное. После проведения диагностики (сбора логов) просмотрел диспетчер задач и увидел незабвенный msdrive32.exe с кучей приспешников :(
высылаю логи.
чтобы внести ясность в свои суждения проделал повторный сбор логов virusinfo_syscheck и hijackthis размеры этих файлов получились отличны от предыдущих логов ну и содержанием естественно тоже. По надобности могу их выслать тоже.
Обновления безопасности на Windows надо устанавливать. Лучше начать с [url=http://www.microsoft.com/downloads/details.aspx?displaylang=ru&FamilyID=5b33b5a8-5e76-401f-be08-1e1555d4f3d4]Service Pack 3[/url] (может потребоваться активация).
это поможет? проста сей процесс снова и снова появляется сколько бы я его не удалял через hijackthis или скрипт данный выше.
Пока дырки не закроете, так и будут к вам лезть.
ну раньше то ведь не лезли o_O или может от чего-то дырки появились... вообщем начнём с этого посмотрим что дальше будет.
Дырки были изначально, только:
1. о них не знали
2. клиенты вашего провайдера не нахватали зловредов, которые теперь вас атакуют
Короче, раньше дождя не было, а теперь он пошёл. Конечно, крышу лучше было бы заделать заранее...
поставил сервиспак третий.. все подчистил до конца - антик новенький влепил. Пока что проблем не возникало. "Надоедливых" экзешников не наблюдаю. Спасибо за советы и помощь. Удачи всем.
Надо ещё поставить заплатки, которые после SP3 выпущены.
Хорошо, спасибо!
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]18[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\recycler\s-1-5-21-0243336031-4052116379-881863308-0851\vse432.exe - [B]Trojan-GameThief.Win32.OnLineGames.bmml[/B] ( DrWEB: Win32.HLLW.Lime.16, BitDefender: Trojan.Delf.Inject.BK, NOD32: Win32/Agent.HXW trojan, AVAST4: Win32:Trojan-gen {Other} )[*] c:\recycler\s-1-5-21-9349577293-9831004744-266876130-7980\csvcs.exe - [B]Trojan-Downloader.Win32.Agent.cnha[/B] ( DrWEB: Trojan.Packed.471, BitDefender: MemScan:Trojan.Dropper.TDY, AVAST4: Win32:Delf-IFY [Trj] )[*] c:\windows.0\msdrive32.exe - [B]Trojan-Dropper.Win32.Small.dta[/B] ( DrWEB: Trojan.Qhost.69, BitDefender: IRC-Worm.Generic.6253, NOD32: IRC/SdBot trojan, AVAST4: Win32:Trojan-gen {Other} )[*] c:\windows.0\system32\wshost32.exe - [B]Trojan-Downloader.Win32.Agent.cner[/B] ( DrWEB: Trojan.Qhost.69, BitDefender: Application.Generic.198223, NOD32: Win32/TrojanClicker.VB.NJT trojan, AVAST4: Win32:Trojan-gen {Other} )[/LIST][/LIST]