Постоянные предупреждения о троянах и перенаправление с сайтов антивирусов.

Printable View

04.12.2009, 00:45
tinkk

Постоянные предупреждения о троянах и перенаправление с сайтов антивирусов.

Постоянно появляются предупреждения о троянах, так же идёт редирект с большинства антивирусных сайтов на гугл.
Для проверки через AVZ пришлось удалить антивирус. При попытке выполнить стандартный скрипт 2 и 3 AVZ постоянно выгружался. Произвести им проверку получилось только после включения AVZguard.
Все проверки проводил в соответствии с списком указанным в правилах.
04.12.2009, 01:47
Ingener

1) Скачайте заранее эту программу:
[url]http://www.veldhuizen.speedxs.nl/winsockxpfix.exe[/url]
2) Пофиксите в HijackThis:
[CODE]F2 - REG:system.ini: Shell=Explorer.exe csrcs.exe
F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,C:\WINDOWS\system32\sdra64.exe,
[/CODE]
3) Выполните скрипт в AVZ:
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFileMask(GetAVZDirectory+'Quarantine', '*.*', true);
TerminateProcessByName('c:\windows\system32\csrcs.exe');
TerminateProcessByName('c:\windows\system32\msnwm.exe');
QuarantineFile('C:\tinkk\Файлы\wrar380ru.exe','');
QuarantineFile('C:\Program Files\QSP\QSPgui\sound\codec_aiff.dll','');
QuarantineFile('C:\WINDOWS\system32\drivers\kernelx86.sys','');
QuarantineFile('C:\WINDOWS\system32\GameMon.des','');
DeleteService('rkevluwc');
QuarantineFile('C:\WINDOWS\System32\Drivers\rkevluwc.sys','');
DeleteService('qoseqzjr');
QuarantineFile('C:\WINDOWS\System32\Drivers\qoseqzjr.sys','');
QuarantineFile('C:\Program Files\PeerBlock\pbfilter.sys','');
DeleteService('lkojwefi');
QuarantineFile('C:\WINDOWS\System32\Drivers\lkojwefi.sys','');
DeleteService('kswffrre');
QuarantineFile('C:\WINDOWS\System32\Drivers\kswffrre.sys','');
DeleteService('irnwagch');
QuarantineFile('C:\WINDOWS\System32\Drivers\irnwagch.sys','');
DeleteService('hryyqhqk');
QuarantineFile('C:\WINDOWS\System32\Drivers\hryyqhqk.sys','');
DeleteService('ecknpvpv');
QuarantineFile('C:\WINDOWS\System32\Drivers\ecknpvpv.sys','');
DeleteService('aasyytv7nq3r5a');
QuarantineFile('C:\Documents and Settings\LocalService\Application Data\Microsoft\wivoog.exe','');
DeleteService('vtuhaoddoua3');
QuarantineFile('C:\WINDOWS\system32\tifou.exe','');
QuarantineFile('C:\WINDOWS\system32\dehopedoo.exe','');
QuarantineFile('C:\Documents and Settings\LocalService\Application Data\Microsoft\dehopedoo.exe','');
QuarantineFile('c:\windows\system32\csrcs.exe','');
QuarantineFile('c:\windows\system32\msnwm.exe','');
QuarantineFile('C:\System Volume Information\_restore{D0A0393C-F82A-4319-843C-D762226ABC93}\RP284\A0171086.sys','');
QuarantineFile('C:\System Volume Information\_restore{D0A0393C-F82A-4319-843C-D762226ABC93}\RP284\A0171248.sys','');
QuarantineFile('F:\autorun.inf','');
QuarantineFile('G:\autorun.inf','');
QuarantineFile('G:\anpimw.exe','');
QuarantineFile('F:\anpimw.exe','');
QuarantineFile('C:\WINDOWS\system32\sdra64.exe','');
QuarantineFile('C:\Documents and Settings\tinkk\ybq.exe','');
QuarantineFile('C:\WINDOWS\system32\regedit.exe','');
QuarantineFile('C:\WINDOWS\System32\guxehqav.dll','');
QuarantineFile('C:\WINDOWS\system32\dxkvb.dll','');
DeleteFile('C:\WINDOWS\System32\Drivers\ecknpvpv.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\hryyqhqk.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\irnwagch.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\kswffrre.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\lkojwefi.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\qoseqzjr.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\rkevluwc.sys');
DeleteFile('C:\Documents and Settings\LocalService\Application Data\Microsoft\wivoog.exe');
DeleteFile('C:\WINDOWS\system32\tifou.exe');
DeleteFile('C:\WINDOWS\system32\dehopedoo.exe');
DeleteFile('C:\Documents and Settings\LocalService\Application Data\Microsoft\dehopedoo.exe');
DeleteFile('c:\windows\system32\csrcs.exe');
DeleteFile('c:\windows\system32\msnwm.exe');
DeleteFile('C:\System Volume Information\_restore{D0A0393C-F82A-4319-843C-D762226ABC93}\RP284\A0171086.sys');
DeleteFile('C:\System Volume Information\_restore{D0A0393C-F82A-4319-843C-D762226ABC93}\RP284\A0171248.sys');
DeleteFile('F:\autorun.inf');
DeleteFile('G:\autorun.inf');
DeleteFile('F:\anpimw.exe');
DeleteFile('G:\anpimw.exe');
DeleteFile('C:\WINDOWS\system32\sdra64.exe');
DeleteFile('C:\Documents and Settings\tinkk\ybq.exe');
DeleteFile('C:\WINDOWS\system32\regedit.exe');
DeleteFile('C:\WINDOWS\System32\guxehqav.dll');
DeleteFile('C:\WINDOWS\system32\dxkvb.dll');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','csrcs');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Regedit32');
RegKeyParamDel('HKEY_USERS','.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run','woocob');
RegKeyParamDel('HKEY_USERS','S-1-5-18\Software\Microsoft\Windows\CurrentVersion\Run','woocob');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','woocob');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad','UpdateCheck');
BC_ImportALL;
ExecuteSysClean;
DelSPIByFileName('C:\WINDOWS\System32\guxehqav.dll', false);
ExecuteWizard('TSW', 2, 2, true);
ExecuteWizard('SCU', 2, 2, true);
BC_Activate;
AutoFixSPI;
ClearHostsFile;
RebootWindows(true);
end.[/CODE]
Компьютер перезагрузится.
Возможно, после этого перестанет работать локальная сеть и/или интернет. Тогда запустите скачанную программу и нажмите Fix. Программа отработает и компьютер перезагрузится. После этого нужно будет заново ввести настройки сетевых подключений.
4) Затем выполните второй скрипт в AVZ:
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
Файл quarantine.zip из папки с AVZ закачайте по ссылке "прислать запрошенный карантин" вверху темы
5) Сделайте новые логи.
04.12.2009, 01:55
tinkk

не могу выполнить скрипт в hijackthis. программа выгружается вскоре после запуска.
04.12.2009, 01:59
Ingener

[CODE]не могу выполнить скрипт в hijackthis. программа выгружается вскоре после запуска.[/CODE]
Делайте тогда наоборот - сначало выполняйте основной скрипт в AVZ (пункт 3), затем фиксите в HijackThis (пункт 2) и потом выполняете пункты 4 и 5.
04.12.2009, 02:34
tinkk

проделал все вышеуказанные предписания.
при сборе логов AVZ как и hijackthis постоянно выгружались, помог лишь AVZguard, из-под него сканировал и AVZ и hijackthis'ом.
04.12.2009, 02:55
Ingener

1) Выполните скрипт в AVZ:
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
SetAVZPMStatus(True);
DeleteFileMask(GetAVZDirectory+'Quarantine', '*.*', true);
TerminateProcessByName('c:\windows\system32\msnwm.exe');
StopService('kernelx86');
QuarantineFile('C:\Program Files\PeerBlock\pbfilter.sys','');
QuarantineFile('C:\WINDOWS\system32\drivers\kernelx86.sys','');
QuarantineFile('c:\windows\system32\msnwm.exe','');
QuarantineFile('C:\System Volume Information\_restore{D0A0393C-F82A-4319-843C-D762226ABC93}\RP284\A0171262.sys','');
QuarantineFile('C:\System Volume Information\_restore{D0A0393C-F82A-4319-843C-D762226ABC93}\RP284\A0171289.sys','');
DeleteService('kernelx86');
DeleteFile('C:\WINDOWS\system32\drivers\kernelx86.sys');
DeleteFile('c:\windows\system32\msnwm.exe');
DeleteFile('C:\System Volume Information\_restore{D0A0393C-F82A-4319-843C-D762226ABC93}\RP284\A0171262.sys');
DeleteFile('C:\System Volume Information\_restore{D0A0393C-F82A-4319-843C-D762226ABC93}\RP284\A0171289.sys');
BC_ImportALL;
ExecuteSysClean;
ExecuteRepair(9);
BC_Activate;
ClearHostsFile;
RebootWindows(true);
end.[/CODE]
Компьютер перезагрузится.
2) Затем выполните второй скрипт в AVZ:
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
Файл quarantine.zip из папки с AVZ закачайте по ссылке "прислать запрошенный карантин" вверху темы.
3) Сделайте новый лог virusinfo_syscheck.zip + такой лог: [url]http://virusinfo.info/showthread.php?t=40118[/url]
04.12.2009, 09:28
tinkk

вроде уже лучше. вот логи.
04.12.2009, 12:08
thyrex

[QUOTE]>> Заблокированы настройки системы System Restore[/QUOTE]Исправьте через [B]AVZ - Файл - Мастер поиска и устранения проблем - Все проблемы -[/B] отметить указанное [B]- Исправить[/B]

После этого новый лог virusinfo_syscheck.zip
04.12.2009, 17:10
tinkk

др. веб иногда предупреждает о трояне d.loader (вроде так)
логи.
04.12.2009, 17:23
snifer67

В каком файле находит трояна Др.Вэб ?

Удалите[url=http://virusinfo.info/showthread.php?t=27923] Bonjour[/url].
04.12.2009, 18:07
tinkk

удалил.
сначала находил в экзешке одной игры, теперь в экзешке свежепереустановленной другой.
04.12.2009, 18:10
snifer67

Пришлите [B]экзешник с игры[/B] согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы.
04.12.2009, 18:54
tinkk

выслал.
04.12.2009, 19:24
snifer67

Ложное срабатывание Вэба.
05.12.2009, 01:32
tinkk

кстати, заметил что при загрузке компьютера стала появляться установка нового устройства под названием "нет данных"
+ синий экран смерти стал чаще в играх вываливаться :/

[size="1"][color="#666686"][B][I]Добавлено через 3 часа 16 минут[/I][/B][/color][/size]

av_md.exe - инфицирован Trojan.Inject.7433
AVZ запускается только после кучи ошибок об отсутствии какого-то диска х_Х
05.12.2009, 02:15
tinkk

ещё раз провёл проверку через стандартный скрипт 3, кажется он нашёл что-то интересное, прикладываю логи
05.12.2009, 09:29
Ingener

[QUOTE]кстати, заметил что при загрузке компьютера стала появляться установка нового устройства под названием "нет данных"[/QUOTE]
Отмените установку нового устройства и удалите это устройство в диспетчере устройств.
[QUOTE]+ синий экран смерти стал чаще в играх вываливаться :/[/QUOTE]
попробуйте удалить и заново установить игры в которых возникают ошибки.
[QUOTE]av_md.exe - инфицирован Trojan.Inject.7433[/QUOTE]
Когда выводилось это сообщение, и в какой директории лежал файл.
[QUOTE]AVZ запускается только после кучи ошибок об отсутствии какого-то диска х_Х[/QUOTE]
Попробуйте удалить и скачать заново AVZ - повторяются ли ошибки - если да то приложите пожалуйста их скриншоты.
[QUOTE]ещё раз провёл проверку через стандартный скрипт 3, кажется он нашёл что-то интересное, прикладываю логи[/QUOTE]
В логах ничего подозрательного не увидел, почистим папку восстановления системы и карантин AVZ:
Выполните скрипт в AVZ:
[CODE]begin
SetAVZGuardStatus(True);
DeleteFileMask(GetAVZDirectory+'Quarantine', '*.*', true);
QuarantineFile('C:\System Volume Information\_restore{D0A0393C-F82A-4319-843C-D762226ABC93}\RP284\A0171301.sys','');
DeleteFile('C:\System Volume Information\_restore{D0A0393C-F82A-4319-843C-D762226ABC93}\RP284\A0171301.sys');
DeleteFileMask('C:\System Volume Information', '*.*', true);
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]
Компьютер перезагрузится.
06.12.2009, 09:29
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]3[/B][*]Обработано файлов: [B]20[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\windows\system32\csrcs.exe - [B]Packed.Win32.Krap.l[/B] ( DrWEB: Win32.HLLW.Autohit.3438, BitDefender: Gen:Trojan.Heur.AutoIT.Qq3@bygpiWcO )[*] c:\windows\system32\msnwm.exe - [B]Trojan-Downloader.Win32.Losabel.bmj[/B] ( DrWEB: Trojan.Inject.7590, BitDefender: Trojan.Generic.2827062, AVAST4: Win32:Rootkit-gen [Rtk] )[*] f:\anpimw.exe - [B]Packed.Win32.Krap.l[/B] ( DrWEB: Win32.HLLW.Autohit.3438, BitDefender: Gen:Trojan.Heur.AutoIT.Qq3@bygpiWcO )[*] g:\anpimw.exe - [B]Packed.Win32.Krap.l[/B] ( DrWEB: Win32.HLLW.Autohit.3438, BitDefender: Gen:Trojan.Heur.AutoIT.Qq3@bygpiWcO )[/LIST][/LIST]