злостный порнобанер, серия вторая.

Printable View

27.11.2009, 13:01
siniypank

злостный порнобанер, серия вторая.

Новый пациент, комп исполнительного директора, сидел на mail.ru в почте и на bigmir.net.

Порнобанер появляется под учёткой пользователя, под учёткой администратора -- нет, NOD32 4 версия никоим образом не среагировал. В безопасном режиме запустил msconfig -- поотключал всё из автозагрузки, в том числе и антивирус.
Перезагрузился в обычный режим под учёткой администратора запустил переименованный AVZ с изменённым разрешением на *.pif.

Буду благодарен за помощь.
27.11.2009, 13:20
thyrex

Выполните скрипт в AVZ
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\servises.exe','');
DeleteFile('C:\WINDOWS\system32\servises.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','servises');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end. [/code]Компьютер перезагрузится.

Пришлите карантин согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

Сделайте новые логи
27.11.2009, 14:41
siniypank

выполнил скрипт под учёткой Администратора, под ней же после перезагрузки [QUOTE]1. Запустите AVZ, выберите из меню "Файл" -> "Просмотр карантина".[/QUOTE] Никаких объектов там не оказалось.
Перелогинился под учёткой пользователя -- выскочило окно "ошибка CMD". Выполнил тот же скрипт, комп ушёл в перезагрузку, зашёл под учёткой пользователя -- сразу выскочил порнобанер. :(
В карантине так же ничего не оказалось....
27.11.2009, 15:45
thyrex

Нужно делать логи из проблемной учетки
27.11.2009, 16:15
siniypank

сделал.

После этого снова залогинился под админом, удалил все временные файлы в каталоге пользователя документы--локал сеттингс.

Перезагрузился. Выдало ошибку "Виндовс не может найти файл такой-то.бат"

Релогин админ. Открыл регедит.ехе -- нашёл ветки на этот файлик и снёс. Ребуттнулся, учётка пользователя -- порнобанера нету, окна ошибок не выскакивает.

Цепляю логи, буду благодарен за диагноз "осталась ли ещё что-то из гадости или нет"
27.11.2009, 16:40
thyrex

Пофиксите в HiJack
[CODE]F3 - REG:win.ini: load=C:\DOCUME~1\86A9~1\LOCALS~1\Temp\mCPDcnqT.bat
F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,C:\WINDOWS\system32\sdra64.exe,
[/CODE]
Выполните скрипт в AVZ (в проблемной учетке)
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\sdra64.exe','');
QuarantineFile('C:\WINDOWS\system32\servises.exe','');
QuarantineFile('C:\Documents and Settings\Андрей\Application Data\sdra64.exe','');
DeleteFile('C:\DOCUME~1\86A9~1\LOCALS~1\Temp\mCPDcnqT.bat');
DeleteFile('C:\Documents and Settings\Андрей\Application Data\sdra64.exe');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','userinit');
DeleteFile('C:\WINDOWS\system32\servises.exe');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','servises');
DeleteFile('C:\WINDOWS\system32\sdra64.exe');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
ExecuteRepair(11);
ExecuteRepair(17);
RebootWindows(true);
end. [/code]Компьютер перезагрузится.

Пришлите карантин согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

Сделайте новые логи
27.11.2009, 17:34
siniypank

карантин отослал.
повторные логи.
27.11.2009, 17:38
V_Bond

что с проблемами ?
27.11.2009, 17:44
siniypank

[QUOTE=V_Bond;518534]что с проблемами ?[/QUOTE]
порнобанер не высвечивается, AVZ восстановил систему (разблокировка диспетчера задач, стандартные настройки IE). Отослал повторные логи.
28.11.2009, 17:44
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]2[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\documents and settings\андрей\application data\sdra64.exe - [B]Trojan-Spy.Win32.Zbot.addm[/B] ( DrWEB: Trojan.PWS.Panda.171, BitDefender: Trojan.Generic.CJ.AFDC, NOD32: Win32/Spy.Zbot.UN trojan, AVAST4: Win32:Spyware-gen [Spy] )[*] c:\windows\system32\sdra64.exe - [B]Trojan-Spy.Win32.Zbot.addm[/B] ( DrWEB: Trojan.PWS.Panda.171, BitDefender: Trojan.Generic.CJ.AFDC, NOD32: Win32/Spy.Zbot.UN trojan, AVAST4: Win32:Spyware-gen [Spy] )[/LIST][/LIST]
Рекомендации:
[LIST=1][*]Обнаружены троянские программы класса Trojan-PSW/Trojan-Spy - настоятельно рекомендуется поменять все пароли ![/LIST]