Email-Worm, Trojan-Downloader и что-то еще…

[FONT=Times New Roman]Помогите разобраться начинающему пользователю![/FONT]
[FONT=Times New Roman]Обнаружила недавно на своем компьютере вирусы Email-Worm.Win32.Bagle.fn, Trojan-Downloader.Win32.Bagle.ao, Trojan-Proxy.Win32.Xorpix.v. и что-то еще.[/FONT]
[FONT=Times New Roman]AVZ их, вроде, удалил. Но, как мне кажется из отчета, какие-то проблемы остались. [/FONT]
[FONT=Times New Roman]Очень настораживает то, что выходит:[/FONT]

[B]Опасно - отладчик процесса "explorer.exe" = "C:\WINDOWS\csrss.exe"[/B]
[FONT=Times New Roman]И еще что-то в этом духе. Что с этим делать? К сожалению, плохо разбираюсь в этих вещах…[/FONT]
[FONT=Times New Roman]Пожалуйста, подскажите, в чем дело!!! Помогите начинающему пользователю!!! :embarasse [/FONT]
[FONT=Times New Roman]С правилами ознакомилась.[/FONT]

[QUOTE=Ана][FONT=Times New Roman]Помогите разобраться начинающему пользователю![/FONT]
[FONT=Times New Roman]Обнаружила недавно на своем компьютере вирусы Email-Worm.Win32.Bagle.fn, Trojan-Downloader.Win32.Bagle.ao, Trojan-Proxy.Win32.Xorpix.v. и что-то еще.[/FONT]
[FONT=Times New Roman]AVZ их, вроде, удалил. Но, как мне кажется из отчета, какие-то проблемы остались. [/FONT]
[FONT=Times New Roman]Очень настораживает то, что выходит:[/FONT]

[B]Опасно - отладчик процесса "explorer.exe" = "C:\WINDOWS\csrss.exe"[/B]
[FONT=Times New Roman]И еще что-то в этом духе. Что с этим делать? К сожалению, плохо разбираюсь в этих вещах…[/FONT]
[FONT=Times New Roman]Пожалуйста, подскажите, в чем дело!!! Помогите начинающему пользователю!!! :embarasse [/FONT]
[FONT=Times New Roman]С правилами ознакомилась.[/FONT][/QUOTE]
Это почти наверняка червь семейства Scano (см. [url]http://z-oleg.com/secur/virlist/vir1155.php[/url]) и Bagle ([url]http://z-oleg.com/secur/virlist/vir1139.php[/url]) - симптомы очень похожи.
1. Пришлите для анатиза согласно правилам следующие файлы:
c:\documents and settings\Оксана\application data\hidn\hidn1.exe
c:\program files\common files\installshield\updateservice\issch.exe
c:\windows\lsass.exe
c:\windows\system32\wintems.exe
C:\Documents and Settings\Оксана\Application Data\Mra\Update\games.dll
C:\WINDOWS\system32\DRWHOOK.DLL
C:\Documents and Settings\Оксана\Application Data\hidn\m_hook.sys
\SystemRoot\System32\Drivers\kbfilter.SYS
C:\WINDOWS\system32\drivers\CDAC11BA.EXE
C:\Documents and Settings\Оксана\Application Data\m\mdelk.exe
C:\Documents and Settings\Оксана\Application Data\hidn\hidn1.exe
C:\WINDOWS\system32\im_2.exe
C:\WINDOWS\system32\wintems.exe
C:\WINDOWS\system32\muangsys.dll
2. Что у Вас с антивирусами ? В логе видно KAV и Stop, их базы обновляются ?

c:\documents and settings\Оксана\application data\hidn\hidn1.exe
C:\Documents and Settings\Оксана\Application Data\hidn\hidn1.exe
C:\Documents and Settings\Оксана\Application Data\hidn\m_hook.sys
Baagle.fy, удалять!
C:\Documents and Settings\Оксана\Application Data\m\mdelk.exe
Trojan-Downloader.Baagle.aw, удалять.
C:\WINDOWS\system32\wintems.exe
Trojan-Downloader.Baagle.aw, удалять.
c:\windows\lsass.exe
Pinch?!, удалять!
C:\WINDOWS\system32\DRWHOOK.DLL это от доктора, оставить.

>2. Что у Вас с антивирусами ? В логе видно KAV и Stop, их базы обновляются ?
Забудь Ж) m_hook.sys драйвер багле их снес и удалил с диска :(
Либо АВЗ либо сейф-моде.

[QUOTE=Sanja]C:\WINDOWS\system32\DRWHOOK.DLL это от доктора, оставить.[/QUOTE]
Это от очень старой версии. По уму удалить бы, но LSP потом чинить придётся.

[FONT=Times New Roman][COLOR=black][FONT=Times New Roman]Всем привет и спасибо за отклики![/FONT]
[FONT=Times New Roman]1. Файлы отправила. Но почему-то через страничку [/FONT][URL="https://virusinfo.info/upload_virus.php"][FONT=Times New Roman][SIZE=3][COLOR=#800080]https://virusinfo.info/upload_virus.php[/COLOR][/SIZE][/FONT][/URL][FONT=Times New Roman]закачать не получилось[SIZE=3].[/SIZE] Пришлось скинуть на адрес [EMAIL="[email protected]"][COLOR=#0000ff][email protected][/COLOR][/EMAIL].[/FONT]
[FONT=Times New Roman]И еще… почему-то из 13 запрошенных файлов нашлось только 9. [/FONT]

[FONT=Times New Roman]2. Что касается антивирусников. [COLOR=black]KAV не работает, но почему-то и не удаляется. При попытке удаления программы через панель управления выходит:[/COLOR][/FONT]
[FONT=Times New Roman][COLOR=black]Неверный параметр /[/COLOR][COLOR=black]locals[/COLOR][COLOR=black]¬1/[/COLOR][COLOR=black]temp[/COLOR][COLOR=black]/[/COLOR][COLOR=black]set[/COLOR][COLOR=black]7.[/COLOR][COLOR=black]tmp[/COLOR][/FONT]
[COLOR=black][FONT=Times New Roman]А при открытии – «Ошибка загружаемого профиля».[/FONT][/COLOR]
[FONT=Times New Roman][COLOR=black]Stop[/COLOR][COLOR=black] установлен был буквально на днях – работает, базы обновляются. [/COLOR][/FONT]
[FONT=Times New Roman][COLOR=black]Перед запуском [/COLOR][COLOR=black]AVZ[/COLOR][COLOR=black] на всякий случай [/COLOR]скачала [URL="ftp://ftp.drweb.com/pub/drweb/cureit/drweb-cureit.exe"][COLOR=windowtext][B]DrWeb - CureIT![/B][/COLOR][/URL] и проверяла систему, согласно инструкциям, сначала через нее. [/FONT]
[FONT=Times New Roman]3. Олег, спасибо за ссылки. Хоть немного теперь представляю, с кем имею дело. А что дальше-то делать с этими ужасными [COLOR=black]Scano и Bagle? Удалять, как в этих ссылках написано?[/COLOR][/FONT]
[/COLOR][/FONT]

Результат проверки присланных файдов:
c:\documents and settings\Оксана\application data\hidn\hidn1.exe - инфицирован Win32.HLLM.Beagle.9158
C:\Documents and Settings\Оксана\Application Data\hidn\m_hook.sys - инфицирован Win32.HLLM.Beagle
c:\windows\system32\wintems.exe - инфицирован Trojan.DownLoader.6508

Понятно... :embarasse
Ну, а делать-то что? Удалить их или как-то лечить?
Подскажите!

[QUOTE=Ана]Понятно... :embarasse
Ну, а делать-то что? Удалить их или как-то лечить?
Подскажите![/QUOTE]
Нужно для начала сделать так:
1. Закрыть все программы
2. Запустить AVZ, пролечить систему с включенным противодействием руткитам, после чего активировать AVZ Guard
3. Через отложенное удаление AVZ (Файл/Отложенное удаление) поочередно удалить файлы:
c:\documents and settings\Оксана\application data\hidn\hidn1.exe
C:\Documents and Settings\Оксана\Application Data\hidn\m_hook.sys
c:\windows\system32\wintems.exe
c:\windows\lsass.exe
4. Выполнить «Файл/Восстановление системы» в AVZ, там отметить пункт «Удаление отладчиков системных процессов» и нажать «Выполнить отмеченные операции»
5. Перезагрузиться не выходя из AVZ и не выключая AVZ Guard
6. После перезагрузки повторно сделать логи согласно правилам и поместить сюда - для контроля
Перед выполнением этого алгоритма обязательно нужно изучить (или распечатать) совет [url]http://z-oleg.com/secur/advice/adv1103.php[/url] - он вероятнее всего не понадобится, так как необходимая операция делается на шаге 4 предложенного алгоритма, но на всякий случай, если вдруг после перезагрузки исчезнет рабочий стол, то этот совет поможет.

[FONT=Times New Roman]Попыталась сделать то, что Вы посоветовали. Но на этапе 2, во время работы AVZ вышло сообщение[/FONT]
[FONT=Times New Roman] [/FONT]
[FONT=Times New Roman]Invalid pointer operation[/FONT]
[FONT=Times New Roman] [/FONT]
[FONT=Times New Roman]Файлы, которые нужно удалить через отложенное удаление при обзоре не обнаруживаются. [/FONT]
[FONT=Times New Roman]Папку hidn в принципе нигде не могу найти.[/FONT]
[FONT=Times New Roman]lsass.exe есть, но путь к ней не [/FONT]
[FONT=Times New Roman] [SIZE=3]C:\WINDOWS\[/SIZE] lsass.exe[/FONT]
[FONT=Times New Roman]а [SIZE=3]C:\WINDOWS\system32\[/SIZE]lsass.exe[/FONT]
[FONT=Times New Roman][SIZE=3] [/SIZE][/FONT]
[COLOR=black][FONT=Times New Roman]Этот файл удалить? [/FONT][/COLOR]
[COLOR=black][FONT=Times New Roman]Что делать? Помогите![/FONT][/COLOR]

Файл C:\WINDOWS\system32\lsass.exe удалять НЕЛЬЗЯ.

[quote]на этапе 2, во время работы AVZ вышло сообщение
Invalid pointer operation
[/quote]
Скопируйте сюда все то, что выводится в этот момент AVZ в Протокол.

C:\WINDOWS\system32\lsass.exe - это файл системный, его удалять не надо.

Я так понимаю, что надо не через обзор файлы искать (у меня тоже противодействие руткитам не всегда спасало от сокрытия hidn), а просто скопировать в список AVZ приведённые в сообщении Олега пути.

[FONT=Times New Roman]Спасибо за совет скопировать в список AVZ приведённые пути! Помогло, но частично. AVZ пишет, что не обнаружен файл[/FONT]
[FONT=Times New Roman][SIZE=3]C:\WINDOWS\system32\[/SIZE]lsass.exe[/FONT]
[COLOR=black][FONT=Times New Roman]С остальными файлами сработало.[/FONT][/COLOR]
[COLOR=black][FONT=Times New Roman]Все остальное, согласно инструкциям, сделала.[/FONT][/COLOR]
[COLOR=black][FONT=Times New Roman]Высылаю логи.[/FONT][/COLOR]
[COLOR=black][FONT=Times New Roman]Посмотрите, пожалуйста…[/FONT][/COLOR]

Вроде чисто. Пофиксите в HijackThis вот эти строки:
[code]O4 - HKCU\..\Run: [german.exe] C:\WINDOWS\system32\wintems.exe
O4 - HKCU\..\Run: [mule_st_key] C:\Documents and Settings\Оксана\Application Data\m\mdelk.exe
O4 - HKCU\..\Run: [drv_st_key] C:\Documents and Settings\Оксана\Application Data\hidn\hidn1.exe[/code]
Наверное, ещё вот это надо:
[code]O4 - HKLM\..\Run: [Cleanup] MCRG
[/code]
А что с C:\WINDOWS\system32\im_2.exe? Его никто не видел? Если прошлый раз не обнаружился, то пофиксить также:
[code]O4 - HKCU\..\Run: [im_autorn] C:\WINDOWS\system32\im_2.exe[/code]
Перезагрузитесь и ещё раз лог HijackThis сделайте.

[COLOR=black][FONT=Times New Roman]Спасибо! :) Так и сделала.[/FONT][/COLOR]
[COLOR=black][FONT=Times New Roman]А вот новый лог HijackThis.[/FONT][/COLOR]
[COLOR=black][FONT=Times New Roman]Посмотрите, пожалуйста, теперь все в порядке?..[/FONT][/COLOR]

Ага, фениксы как будто не возродились, это обнадёживает. Подождём других мнений.