помогите - TrojWare.Win32.downloader Agent

Printable View

Показывать 40 сообщений этой темы на одной странице

26.11.2009, 18:57
andrey80

помогите - TrojWare.Win32.downloader Agent

Занёс вирус, похоже, при загрузке обновлений Винды, при этом заблокирован диспетчер задач, редактор реестра и вход в Виндовс в безопасном режиме. Антивирус постоянно выдаёт окно с таким вот предупреждением: "Обнаружен вирус TrojWare.Win32.downloader Agent~AJK@1582157". Разблокировать реестр, диспетчер с помощью АВЗ не удалось. переустановка винды не помогла. Очень надеюсь на вашу помощь. Необходимые логи прилагаю.
26.11.2009, 19:10
Шапельский Александр

Пофиксить в Hijack следующие строки:
[CODE]O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'LOCAL SERVICE')
O4 - HKUS\S-1-5-19\..\RunOnce: [IE8_01] regsvr32 /s /n /i:u shell32 (User 'LOCAL SERVICE')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'NETWORK SERVICE')
O4 - HKUS\S-1-5-20\..\RunOnce: [IE8_01] regsvr32 /s /n /i:u shell32 (User 'NETWORK SERVICE')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\S-1-5-18\..\RunOnce: [IE8_01] regsvr32 /s /n /i:u shell32 (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - HKUS\.DEFAULT\..\RunOnce: [IE8_01] regsvr32 /s /n /i:u shell32 (User 'Default user')
O4 - Startup: _uninst_setup_9.0.0.722_26.11.2009_09-03.exe.lnk = ?
O7 - HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System, DisableRegedit=1[/CODE]

Закройте/выгрузите все программы кроме AVZ .
Отключите:
- ПК от интернета/локалки;
- антивирус и файрвол.;
- восстановление системы;
- выполните скрипт
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\Documents and Settings\Администратор\Local Settings\Temp\_uninst_setup_9.0.0.722_26.11.2009_09-03.exe.bat','');
DeleteFile('C:\Documents and Settings\Администратор\Local Settings\Temp\_uninst_setup_9.0.0.722_26.11.2009_09-03.exe.bat');
BC_ImportAll;
ExecuteSysClean;
Executerepair(6);
Executerepair(10);
Executerepair(11);
Executerepair(17);
BC_Activate;
RebootWindows(true);
end.[/CODE]
Компьютер перезагрузится
После выполнить:
- включите антивирус и файрволл
- подключите ПК к интернету/локалке
Закачайте карантин по ссылке Прислать запрошенный карантин в шапке Вашей темы (Приложение 3 правил).
Повторите действия, описанные в п. 2 Диагностики и новый лог прикрепите к новому сообщению
26.11.2009, 20:39
andrey80

Спасибо за внимание к моей проблеме. Прислать карантин не могу, так как вирус гасит АВЗ - не запускается, игрища с переименованиями ничего не дают. Что можно сделать?
26.11.2009, 20:43
snifer67

Повторите действия, описанные в п. 2 Диагностики и новый лог прикрепите к новому сообщению
26.11.2009, 20:59
andrey80

Shapel, удалось загрузить АВЗ - карантин прилагаю
26.11.2009, 21:03
snifer67

А где лог [B]virusinfo_syscheck[/B] ?
26.11.2009, 21:04
Шапельский Александр

[QUOTE='snifer67;517674']Повторите действия, описанные в п. 2 Диагностики и новый лог прикрепите к новому сообщению [/QUOTE]
Сделайте это
26.11.2009, 22:16
andrey80

Вот нужный лог
26.11.2009, 22:30
Шапельский Александр

Выполнить скрипт
[CODE]begin
ExecuteWizard('TSW', 2, 2, true);
ExecuteWizard('BT', 2, 2, true);
ExecuteWizard('PRT', 2, 2, true);
ExecuteWizard('SCU', 2, 2, true);
RebootWindows(false);
end.[/CODE]
Компьютер перезагрузится
[B]ОБНОВИТЕ БАЗЫ АВЗ[/B]
Повторите действия, описанные в п. Диагностики и новые логи прикрепите к новому сообщению.
Сделайте лог Hijack
26.11.2009, 23:01
andrey80

Вот новые логи
26.11.2009, 23:11
Шапельский Александр

Исправим кое-что заблокированное.
Выполните скрипт
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
Executerepair(6);
Executerepair(11);
Executerepair(17);
RebootWindows(false);
end.[/CODE]
Компьютер перезагрузится
Для контроля сделайте стандартный скрипт 2
26.11.2009, 23:39
andrey80

Появились такие вирусы UnclasifiedMalware@8320825 и @76013997, которые блокировали АВЗ, из-за них наверное, комп очень тормозит и Опера подвисает. Диспетчер задач и редактор реестра остались заблокироваными. Вот что получилось после выполнения скриптов.
26.11.2009, 23:43
Шапельский Александр

Возьмите из моей подписи MBAM и сделайте лог
27.11.2009, 00:13
andrey80

[QUOTE=shapel;517903]Возьмите из моей подписи MBAM и сделайте лог[/QUOTE]Проверю систему, завтра вышлю лог.
27.11.2009, 00:46
andrey80

лог МВАМа
27.11.2009, 10:12
Шапельский Александр

Удалите в MBAM следующие
[CODE]Заражено файлов:
H:\System Volume Information\_restore{E313CECE-CE92-4056-B4CF-757AAC6A7CBD}\RP8\A0006049.exe (Malware.Packer) -> No action taken.
H:\System Volume Information\_restore{2B5639A7-EFC4-4ED8-8EE9-0BC4B07A9177}\RP2\A0000185.exe (Malware.Packer) -> No action taken.
H:\System Volume Information\_restore{2B5639A7-EFC4-4ED8-8EE9-0BC4B07A9177}\RP2\A0000444.exe (Malware.Packer) -> No action taken.
H:\System Volume Information\_restore{2B5639A7-EFC4-4ED8-8EE9-0BC4B07A9177}\RP2\A0000681.exe (Malware.Packer) -> No action taken.
H:\System Volume Information\_restore{2B5639A7-EFC4-4ED8-8EE9-0BC4B07A9177}\RP2\A0000917.exe (Malware.Packer) -> No action taken.
H:\System Volume Information\_restore{2B5639A7-EFC4-4ED8-8EE9-0BC4B07A9177}\RP4\A0002206.exe (Malware.Packer) -> No action taken.
H:\System Volume Information\_restore{2B5639A7-EFC4-4ED8-8EE9-0BC4B07A9177}\RP4\A0003174.exe (Malware.Packer) -> No action taken.[/CODE]
Выполните скрипт
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('H:\Programs\Spyware_Doctor\Spyware Doctor\sdkeygen.exe','');
BC_ImportAll;
Executerepair(6);
Executerepair(11);
Executerepair(12);
Executerepair(17);
BC_Activate;
RebootWindows(true);
end.
[/CODE]
Компьютер перезагрузится
Закачайте карантин по ссылке Прислать запрошенный карантин в шапке Вашей темы (Приложение 3 правил).
Повторите действия, описанные в п. 2 Диагностики и новый лог прикрепите к новому сообщению
+ новый лог MBAM
27.11.2009, 21:06
andrey80

Высылаю новые логи. судя по постоянно всплывающему окну антивируса при загрузке и выключении Виндовс, атаки вирусов продолжаются.
27.11.2009, 21:12
snifer67

Выполните скрипт в avz
[code]begin
DeleteFileMask(GetAVZDirectory+'Quarantine', '*.*', true);
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\Documents and Settings\Администратор\Local Settings\Temp\winbpcp.exe','');
QuarantineFile('C:\Documents and Settings\Администратор\Local Settings\Temp\jyro.exe','');
DeleteFileMask('C:\Documents and Settings\Администратор\Local Settings\Temp', '*.*', true);
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
ExecuteRepair(11);
ExecuteRepair(17);
RebootWindows(true);
end.[/code]
ПК перезагрузится.

Пришлите карантин согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

Удалите в [url=http://virusinfo.info/showpost.php?p=493584&postcount=2]mbam [/url]
[code]
C:\Documents and Settings\Администратор\Local Settings\Temp\jyro.exe (Trojan.Downloader) -> No action taken.
C:\Documents and Settings\Администратор\Local Settings\Temp\mhwb.exe (Trojan.Downloader) -> No action taken.
C:\Documents and Settings\Администратор\Local Settings\Temp\winbpcp.exe (Trojan.Downloader) -> No action taken.
C:\Documents and Settings\Администратор\Local Settings\Temp\wincudba.exe (Trojan.Downloader) -> No action taken.
C:\Documents and Settings\Администратор\Local Settings\Temp\windsotk.exe (Trojan.Downloader) -> No action taken.
C:\Documents and Settings\Администратор\Local Settings\Temp\winkxgv.exe (Trojan.Downloader) -> No action taken.
C:\Documents and Settings\Администратор\Local Settings\Temp\wintmslna.exe (Trojan.Downloader) -> No action taken.
[/code]

Cделайте стандартный скрипт 2 +лог mbam.
27.11.2009, 22:11
andrey80

Карантин был пуст. лог МВАМ и скрипт АВЗ прилагаю. Троян и Malware продолжают регулярно обнаруживаться антивирусом.
27.11.2009, 22:33
Шапельский Александр

Выполните скрипт
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\drivers\nokjqn.sys','');
DeleteService('abp470n5');
DeleteFile('C:\WINDOWS\system32\drivers\nokjqn.sys');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]
Компьютер перезагрузится
Закачайте карантин по ссылке Прислать запрошенный карантин в шапке Вашей темы (Приложение 3 правил).
[QUOTE][B][B]Внимание !!! База поcледний раз обновлялась 21.08.2009 необходимо обновить базы при помощи автоматического обновления (Файл/Обновление баз) [/B][/B][/QUOTE]
Обновите!
Повторите действия, описанные в п. 1 - 2 Диагностики и новые логи прикрепите к новому сообщению

Показывать 40 сообщений этой темы на одной странице