вирус PC_Antispyware2010

Printable View

26.08.2009, 14:40
nbserg

Вложений: 3

вирус PC_Antispyware2010

появился вирус PC_Antispyware2010
загрузиться смог только с виртуал сиди
даю логи
26.08.2009, 15:02
AndreyKa

Логи с загрузочного CD не интересны.
В чем проблема загрузить компьютер?
26.08.2009, 15:06
nbserg

[QUOTE=AndreyKa;456453]Логи с загрузочного CD не интересны.
В чем проблема загрузить компьютер?[/QUOTE]
это полноценные логи с винды.. от оригинала они почти не отличаются

в том что либо оно недает запустить авз либо блюскрин
26.08.2009, 16:14
Rene-gad

[QUOTE=nbserg;456461]это полноценные логи с винды.. от оригинала они почти не отличаются[/QUOTE]Вы должны сделать логи, запустив систему, котрую нужно лечить. Логи, сделанные с Live CD показывают проблемы системы на Live CD
[QUOTE]Platform: Windows XP (WinNT 5.01.2600)[/QUOTE]Это где - на диске или на Live CD?

-[URL="http://virusinfo.info/showthread.php?t=4491"]Пофиксите[/URL]:
[CODE]
O4 - HKLM\..\Run: [mset] C:\WINDOWS\system32\mset.exe
O4 - HKLM\..\Run: [Regedit32] C:\WINDOWS\system32\regedit.exe
O20 - AppInit_DLLs: cru629.dat
[/CODE]
[QUOTE]C:\WINDOWS\system32\mset.exe
C:\WINDOWS\system32\regedit.exe[/QUOTE]Скопируйте куда-нибудь, потом пришлете нам.
Файлы из C:\WINDOWS\system32 удалите.
26.08.2009, 17:17
nbserg

Вложений: 2

получилось только переименовав авз на 321
а вот хайджек не получилось запустить. даже переименовавши
26.08.2009, 17:24
AndreyKa

Закройте все программы. Запустите AVZ.
Выполните скрипт через меню Файл:
[code]
begin
SetAVZGuardStatus(True);
QuarantineFile('cru629.dat','');
DeleteFile('cru629.dat');
QuarantineFile('C:\WINDOWS\system32\DRIVERS\srv.sys','');
QuarantineFile('C:\WINDOWS\system32\Drivers\Ntfs.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Beep.SYS','');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
Компьютер перезагрузится.
Загрузите компьютер в [B]Нормальном режиме[/B].
Пришлите карантин через ссылку [b][color=red]Прислать запрошенный карантин [/color][/b] вверху темы, как написано в приложении 3 Правил.
Сделайте новые логи AVZ и приложите к этой теме.
26.08.2009, 18:14
nbserg

Вложений: 3

вот логи хайджек всеравно не запускается

запустил переименов его в 123.bat

хм...
вру...
не только переименовал а еще и кинул в др папку хайджек...
иначе не запускалась.. видать проверка даже на папку стоит
26.08.2009, 19:26
AndreyKa

Скачайте свежий CureIt и пролечите им компьютер.
26.08.2009, 19:33
nbserg

не все так просто в датском королевстве...
вылетает блюскрин при запуске кура...
приходится с виртуал сиди запускать
26.08.2009, 19:53
pig

Я бы посоветовал отослать в техподдержку Dr.Web дамп одного такого падения. Полезно для выяснения причин и ловли новой заразы - если это руткит мешает.
26.08.2009, 20:09
nbserg

[QUOTE=pig;456678]Я бы посоветовал отослать в техподдержку Dr.Web дамп одного такого падения. Полезно для выяснения причин и ловли новой заразы - если это руткит мешает.[/QUOTE]
а куда дампы сохраняются и куда посылать вебу (детальные ссылки если можно)

[size="1"][color="#666686"][B][I]Добавлено через 4 минуты[/I][/B][/color][/size]

я вот поставил кур но думаю что толку мало
он этих вирусов незнает
Checking: mset.exe
Engine version: 5.0.0.12182
Total virus-finding records: 620331
File size: 42.50 KB
File MD5: 3e2f026ca9c2ad2c761552b3c8a8b8f8

mset.exe packed by FLY-CODE
>mset.exe - Ok

в то время как
[url]http://virusscan.jotti.org/en/scanresult/f8dddb67380f7cb4fc58a94da6f9830ca901dfde/db01e0ed64d09689a938c50982dc3447948d3dc8[/url]
26.08.2009, 20:19
pig

Мой компьютер - Свойства - Дополнительно - Загрузка и восстановление - Параметры
Настройте систему на создание дампов ядра и посмотрите, где ОНО будет создаваться.
27.08.2009, 00:24
thyrex

1. Пофиксить в HiJack
[code] O20 - AppInit_DLLs: cru629.dat
[/code]

2. Выполните скрипт в AVZ
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\cru629.dat','');
DeleteFile('C:\WINDOWS\system32\cru629.dat');
QuarantineFile('C:\WINDOWS\system32\regedit.exe','');
QuarantineFile('C:\Program Files\PC_Antispyware2010\PC_Antispyware2010.exe','');
TerminateProcessByName('c:\documents and settings\lena\mset.exe');
QuarantineFile('c:\documents and settings\lena\mset.exe','');
TerminateProcessByName('c:\windows\system32\braviax.exe');
QuarantineFile('c:\windows\system32\braviax.exe','');
TerminateProcessByName('c:\windows\temp\bn22.tmp');
QuarantineFile('c:\windows\temp\bn22.tmp','');
TerminateProcessByName('c:\windows\temp\bn20.tmp');
QuarantineFile('c:\windows\temp\bn20.tmp','');
DeleteFile('c:\windows\temp\bn20.tmp');
DeleteFile('c:\windows\temp\bn22.tmp');
DeleteFile('c:\windows\system32\braviax.exe');
DeleteFile('c:\documents and settings\lena\mset.exe');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','mset');
DeleteFile('C:\Program Files\PC_Antispyware2010\PC_Antispyware2010.exe');
DeleteFile('C:\WINDOWS\system32\regedit.exe');
DeleteFileMask('C:\Program Files\PC_Antispyware2010', '*.*', true);
DeleteDirectory('C:\Program Files\PC_Antispyware2010');
DeleteFileMask('%Tmp%', '*.*', true);
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end. [/code]Компьютер перезагрузится.

3. Пришлите карантин согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

4. [CODE]C:\WINDOWS\system32\Drivers\Ntfs.sys
C:\WINDOWS\System32\Drivers\Beep.SYS[/CODE]Заменитьть по [URL="http://virusinfo.info/showthread.php?t=51654"]этой методике[/URL] (не из [B]dllcache[/B])

5. Сделайте новые логи
27.08.2009, 01:29
nbserg

поздновато...
авп тулом уже почти все удалил отправил только
DeleteFile('c:\windows\temp\bn20.tmp')
DeleteFile('c:\windows\temp\bn22.tmp')

завтра буду на работе новые логи делать
27.08.2009, 12:39
nbserg

Вложений: 3

вот логи

вот новые логи, но по моему все уже ок...
спасибо вам, и небольшая заметка для себя и вам на заметку вместе с куром предлагать лечить авп тулом [url]http://devbuilds.kaspersky-labs.com/devbuilds/AVPTool/[/url]
ибо пока что кур этих вирусов невидит а вот тул очень хорошо удаляет
27.08.2009, 12:53
AndreyKa

Чисто.
DrWeb до сих пор не детектирует только один из присланных вами файл: C:\WINDOWS\system32\mset.exe
Обновите Adobe Acrobat.
27.08.2009, 13:08
nbserg

в том то и дело что из присланых
авп тул удалил около 30 файлов (около 15-16 1н и тот же вирус остальные еще вируса 3 разных) которые не нашел кур... к сожалению архивы их я не сохранил
28.08.2009, 13:08
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]3[/B][*]Обработано файлов: [B]9[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\windows\cru629.dat - [B]Backdoor.Win32.Small.ejx[/B] ( DrWEB: Trojan.Proxy.1739, BitDefender: Trojan.Generic.343897, NOD32: Win32/Small.EJX trojan, AVAST4: Win32:Trojan-gen {Other} )[*] c:\windows\system32\cru629.dat - [B]Backdoor.Win32.Small.ejx[/B] ( DrWEB: Trojan.Proxy.1739, BitDefender: Trojan.Generic.343897, NOD32: Win32/Small.EJX trojan, AVAST4: Win32:Trojan-gen {Other} )[*] c:\windows\system32\drivers\beep.sys - [B]Backdoor.Win32.UltimateDefender.igv[/B] ( DrWEB: Trojan.NtRootKit.3206, BitDefender: Generic.Malware.P!.BFF14990, AVAST4: Win32:FakeAV-NO [Rtk] )[*] c:\windows\system32\drivers\ntfs.sys - [B]Virus.Win32.Protector.c[/B] ( DrWEB: BackDoor.Bulknet.404, BitDefender: Rootkit.Kobcka.Patched.Gen, AVAST4: Win32:Cutwail-Y [Trj] )[*] \mset.exe - [B]Trojan-Downloader.Win32.Mutant.ejt[/B] ( AVAST4: Win32:Rootkit-gen [Rtk] )[/LIST][/LIST]