вирус маскирующийся под антивирусник

Printable View

21.09.2009, 18:19
webdesigner

вирус маскирующийся под антивирусник

Сегодня словил непонятный вирус. Он выдал сразу себя за некий [B]Advanced Antivirus[/B] Remover и сообщил что обнаружена куча вирусов в компе по тиипу соопщений системы безопасности windows (даже на панели справа значок похожий - крестик на красном фоне. Он предлагал купить лицензию к нему. Был блокирован диспетчер задач также. Я первым делом проверил папку Windows\System32\ - там обнаружил 3 подозрительных файла когда отсортировал по дате:
41.exe - 0 bytes,
critical_warning.html - 831 bytes
winupdate.exe - 43520 bytes
Я их закинул в карантин др.веба.
Вобщем я сканировал cure it! - он его не обнаружил. Загрузился с диска KAV Rescue Live CD - не нашел ничего. Сканировал через AVZ, нашел только файлы в карантине dr.web'а, в корзине файлы удаленные ну какой-то файл zlib.dll, по всей видимости имеющий отношение к десктоп-приложению VirtualGirlHD. Вот лог сканирования:
[URL]http://slil.ru/28002259[/URL]

Система установлена на диске Е. Сканировал папки Documents and Settings, Windows, Program Files.
21.09.2009, 18:23
Макcим

Ссылку с непонятным содержимым я удаляю, так как у нас есть [URL="http://virusinfo.info/showthread.php?t=1235"]правила оформления запроса[/URL]. Сделайте логи как положено.
21.09.2009, 19:31
webdesigner

Сделал все как написано в правилах.
Вот три лога:
1) virusinfo_syscure.zip
[url]http://ifolder.ru/14113358[/url]
2) virusinfo_syscheck.zip
[url]http://ifolder.ru/14113726[/url]
3) hijackthis.log
[url]http://ifolder.ru/14113320[/url]
21.09.2009, 20:05
Макcим

Загрузите логи на форум, ссылки не работают.
21.09.2009, 20:46
webdesigner

перезалил на ifolder
21.09.2009, 20:54
Макcим

А почему нельзя выложить на форуме?

[size="1"][color="#666686"][B][I]Добавлено через 2 минуты[/I][/B][/color][/size]

Проведите пожалуйста процедуру, описанную в первом сообщении [url]http://virusinfo.info/showthread.php?t=3519[/url]

Этот архив выкладывать на файлообменник не надо!!!
21.09.2009, 21:51
webdesigner

Я просто не знал как.
Уф!Еле терпения хватило дождаться пока загрузится!
Файл сохранён как [B]090921_214328_virusinfo_files_RAY_4ab7bb4012677[/B].zip
Размер файла 57467721
MD5 2b6261f6f0f73498e5dc26efb973ab44
22.09.2009, 18:25
Макcим

Выполните скрипт[CODE]begin
SearchRootkit(true, true);
ExecuteWizard('TSW', 1, 1, true);
ExecuteWizard('BT', 1, 1, true);
RebootWindows(false);
end.[/CODE]Повторите лог virusinfo_syscheck.zip
22.09.2009, 18:45
webdesigner

Выполнил скрипт. После этого комп пошел в ребут. после ребута винда также долго грузилась как и до этого, ярлыки на рабочем столе появлялись с большим опозданием. Но все же диспетчер задач стал запускаться! Когда зашел в браузер (Maxthon) и попробовал зайти на этот форум то увидел что cookie сбросились.
Повторил лог virusinfo_syscheck.zip (на форум не смог загрузить, выдает ошибку, говорит файл не является архивом карантина AVZ):
[url]http://ifolder.ru/14127471[/url]
22.09.2009, 19:17
Макcим

Не вижу ни чего плохого.
22.09.2009, 19:52
webdesigner

Ну главное что все работает. Каков диагноз будет доктор, кто тот гад что вывел систему из строя ?
22.09.2009, 20:07
Макcим

Диагноз самый распространенный в медицине АХЕЗ (А Х&* Его Знает) :)
22.09.2009, 20:28
webdesigner

Мдааа...и вся медицина такова!
22.09.2009, 20:58
PavelA

Хотел лог посмотреть, а там расширение htm вместо zip
22.09.2009, 20:59
Макcим

Где?
22.09.2009, 21:02
PavelA

Вот эту парочку на проверку пришлите после выполнения скрипта:
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('E:\WINDOWS\system32\drivers\ethwpnob.sys','');
QuarantineFile('E:\Program Files\AMC2000\ATV2000\ATV2000.exe','');
BC_ImportAll;
BC_Activate;
RebootWindows(true);
end.[/CODE]
22.09.2009, 23:45
webdesigner

ethwpnob.sys и ATV2000.exe ?