вирусы, ошибка svchost,проблеммы с интернет

Printable View

23.10.2009, 07:38
kdbot

вирусы, ошибка svchost,проблеммы с интернет

Здравствуйте, на server2003 появились вирусы- он является шлюзом интернет, появляется ошибка Generic Host Process for Win32 Services. Шлюзует через UserGate 4. Антивирусом стоит Symantec AntiVirus 8.1 server.
вирусы проявляют себя созданием в system32 различных каталогов с непонятными именами в которых лежат файлы *exe. Имена файлов примерно такие E001.exe ; Также подобные файлы встречаются в Default User/Temporary Internet Files/*непонятная папка*
23.10.2009, 08:11
Bratez

Выполните скрипт в AVZ:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\RmmrtmC.dll','');
QuarantineFile('C:\WINDOWS\system32\G0NCYV085L\E001.exe','');
QuarantineFile('C:\WINDOWS\system32\foxshell.exe','');
QuarantineFile('C:\WINDOWS\system32\firefox2.exe','');
QuarantineFile('C:\WINDOWS\system32\G0NCYV085L\J001.exe','');
QuarantineFile('C:\WINDOWS\system32\G0NCYV085L\G001.exe','');
QuarantineFile('C:\WINDOWS\System32\AdvanceLink\smss.exe','');
QuarantineFile('C:\WINDOWS\system32\Yfdsba.exe','');
QuarantineFile('C:\WINDOWS\system32\spool\drivers\systempro.exe','');
QuarantineFile('C:\WINDOWS\system32\nssm.exe','');
QuarantineFile('C:\WINDOWS\system32\LBUZ3VUAFK\J001.exe','');
QuarantineFile('C:\WINDOWS\system32\LBUZ3VUAFK\E001.exe','');
QuarantineFile('C:\WINDOWS\system32\cnzyk.exe','');
QuarantineFile('c:\windows\system32\agerunsrv.dll','');
QuarantineFile('C:\WINDOWS\feafvxx.exe','');
DeleteFile('C:\WINDOWS\feafvxx.exe');
DeleteFile('c:\windows\system32\agerunsrv.dll');
DeleteFile('C:\WINDOWS\system32\cnzyk.exe');
DeleteFile('C:\WINDOWS\system32\LBUZ3VUAFK\E001.exe');
DeleteFile('C:\WINDOWS\system32\LBUZ3VUAFK\J001.exe');
DeleteFile('C:\WINDOWS\system32\nssm.exe');
DeleteFile('C:\WINDOWS\system32\spool\drivers\systempro.exe');
DeleteFile('C:\WINDOWS\system32\Yfdsba.exe');
DeleteFile('C:\WINDOWS\System32\AdvanceLink\smss.exe');
DeleteFile('C:\WINDOWS\system32\G0NCYV085L\G001.exe');
DeleteFile('C:\WINDOWS\system32\G0NCYV085L\J001.exe');
DeleteFile('C:\WINDOWS\system32\firefox2.exe');
DeleteFile('C:\WINDOWS\system32\foxshell.exe');
DeleteFile('C:\WINDOWS\system32\G0NCYV085L\E001.exe');
DeleteFile('C:\WINDOWS\system32\RmmrtmC.dll');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]
Компьютер перезагрузится.
Пришлите карантин согласно приложению 3 правил
(загружать тут: [url]http://virusinfo.info/upload_virus.php?tid=58036[/url]).
Сделайте новые логи.
23.10.2009, 09:03
kdbot

вот новые логи, карантин тоже загрузил
23.10.2009, 09:10
Bratez

Выполните скрипт в AVZ:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
ClearQuarantine;
QuarantineFile('c:\RECYCLER\S-1-5-21-1482476501-1644491937-682003330-1013\win32.exe','');
QuarantineFile('C:\WINDOWS\system32\WinHelp32.exe','');
QuarantineFile('C:\WINDOWS\system32\gmugy.exe','');
DeleteFile('C:\WINDOWS\system32\gmugy.exe');
DeleteFile('c:\RECYCLER\S-1-5-21-1482476501-1644491937-682003330-1013\win32.exe');
DelCLSID('{28ABC5C0-4FCB-11CF-AAX5-81CX1C635612}');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]
Компьютер перезагрузится.
Пришлите новый карантин согласно приложению 3 правил.
23.10.2009, 09:27
kdbot

карантин выложил
23.10.2009, 09:41
Bratez

Выполните скрипт в AVZ:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\WINDOWS\system32\spool\drivers\systempro.exe');
DeleteFile('C:\WINDOWS\system32\WinHelp32.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]
Компьютер перезагрузится.
Повторите п.2 Диагностики.
23.10.2009, 10:33
kdbot

вот лог
23.10.2009, 10:45
Макcим

Выполните скрипт в AVZ[CODE]begin
ClearQuarantine;
SearchRootkit(true, true);
QuarantineFile('C:\WINDOWS\system32\spool\drivers\BWProxyClient.exe','');
RebootWindows(false);
end.[/CODE]Загрузите карантин согласно приложению №3 правил.
23.10.2009, 11:13
kdbot

карантин выложил, кстати, сервер все равно reebotнулся
23.10.2009, 11:37
Макcим

Выполните скрипт в AVZ[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
StopService('NetworkAnalysisService');
DeleteService('NetworkAnalysisService');
DeleteFile('C:\WINDOWS\system32\spool\drivers\systempro.exe');
DeleteFile('C:\WINDOWS\system32\spool\drivers\BWProxyClient.exe');
BC_ImportDeletedList;
BC_Activate;
ExecuteSysClean;
ExecuteWizard('TSW', 1, 1, true);
ExecuteWizard('BT', 1, 1, true);
RebootWindows(false);
end.[/CODE]Повторите п.2 Диагностики.
23.10.2009, 12:30
kdbot

повторил
23.10.2009, 14:49
Bratez

Чисто. Что с проблемами?
24.10.2009, 14:49
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]3[/B][*]Обработано файлов: [B]33[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\windows\feafvxx.exe - [B]Backdoor.Win32.Chyopic.x[/B] ( DrWEB: BackDoor.ClDdos.5, AVAST4: Win32:Trojan-gen )[*] c:\windows\system32\advancelink\smss.exe - [B]Backdoor.Win32.SdBot.pqv[/B] ( DrWEB: Trojan.DownLoad.50462 )[*] c:\windows\system32\agerunsrv.dll - [B]Trojan-Downloader.Win32.Agent.csnn[/B] ( DrWEB: Trojan.DownLoad.55495, BitDefender: Trojan.Agent.ANUH )[*] c:\windows\system32\cnzyk.exe - [B]Trojan-Dropper.Win32.Agent.baqr[/B] ( DrWEB: Trojan.DownLoad.55496, BitDefender: Trojan.Crypt.EL, AVAST4: Win32:Rincux-C [Trj] )[*] c:\windows\system32\lbuz3vuafk\e001.exe - [B]Trojan.Win32.Scar.afsb[/B] ( DrWEB: Trojan.DownLoad.50456, BitDefender: Trojan.Rincux.AW, AVAST4: Win32:Malware-gen )[*] c:\windows\system32\lbuz3vuafk\j001.exe - [B]Trojan.Win32.Scar.afsa[/B] ( DrWEB: Trojan.DownLoad.50456, BitDefender: Trojan.Rincux.AW, AVAST4: Win32:Malware-gen )[*] c:\windows\system32\nssm.exe - [B]Trojan-Dropper.Win32.Decay.cim[/B][*] c:\windows\system32\rmmrtmc.dll - [B]Backdoor.Win32.Nbdd.bi[/B] ( DrWEB: BackDoor.Siggen.138, BitDefender: MemScan:Trojan.Agent.ANCD, AVAST4: Win32:PcClient-ZE [Trj] )[*] c:\windows\system32\spool\drivers\bwproxyclient.exe - [B]Trojan.Win32.Agent.czrz[/B] ( DrWEB: Trojan.Proxy.6172, BitDefender: Trojan.Agent.ANCD, AVAST4: Win32:Dogrobot [Drp] )[*] c:\windows\system32\spool\drivers\systempro.exe - [B]Trojan.Win32.Agent.czsa[/B] ( DrWEB: Trojan.Proxy.5869, BitDefender: Trojan.Agent.ANCD, AVAST4: Win32:Dogrobot [Drp] )[*] c:\windows\system32\winhelp32.exe - [B]Backdoor.Win32.Httpbot.aaq[/B] ( DrWEB: BackDoor.Darkshell.96, BitDefender: Gen:Trojan.Heur.bm0@uCENSbgb, AVAST4: Win32:Trojan-gen )[*] c:\windows\system32\yfdsba.exe - [B]Trojan.Win32.Scar.aeqf[/B] ( DrWEB: DDoS.Attack.230, BitDefender: Trojan.Agent.ANCD, AVAST4: Win32:Dogrobot [Drp] )[/LIST][/LIST]