Не удаляется AdvWare.Win32.Virtumonde.cz

Printable View

22.09.2006, 17:48
Базич

Вложений: 3

Не удаляется AdvWare.Win32.Virtumonde.cz

Однажды, после отключения фаервола пробрались вируса на компьютер, всех вылечил, а [B]AdvWare.Win32.Virtumonde.cz[/B] не могу :(
[B]ДрВэб[/B] после сканирования пишет "[B]Будет излечен после перезагрузки[/B]" и так постоянно.
Файл [B]ddcccdc.dll[/B] постоянно лезет в процессы используемых программ, об этом меня информирует фаервол, и отрубет этим приложениям доступ в сеть.
У этого контейнера были хвасты [B]aw1.exe[/B], [B]aw2.exe[/B], [B]aw3.exe[/B], которые я успешно прибил руками и ДрВэбом, сам исполняемый фаил живет больше вроде не плодит хвостов но постоянно лезет в процессы.
Прошу помочь избавиться от этои заразы

логи :
22.09.2006, 18:16
MOCT

[QUOTE=Базич]Однажды, после отключения фаервола пробрались вируса на компьютер, всех вылечил, а [B]AdvWare.Win32.Virtumonde.cz[/B] не могу :(
[B]ДрВэб[/B] после сканирования пишет "[B]Будет излечен после перезагрузки[/B]" и так постоянно.
Файл [B]ddcccdc.dll[/B] постоянно лезет в процессы используемых программ, об этом меня информирует фаервол, и отрубет этим приложениям доступ в сеть.
У этого контейнера были хвасты [B]aw1.exe[/B], [B]aw2.exe[/B], [B]aw3.exe[/B], которые я успешно прибил руками и ДрВэбом, сам исполняемый фаил живет больше вроде не плодит хвостов но постоянно лезет в процессы.
Прошу помочь избавиться от этои заразы

логи :[/QUOTE]
пофиксите в HijackThis следующие строки:
R3 - URLSearchHook: DeskbarBHO - {A8B28872-3324-4CD2-8AA3-7D555C872D96} - C:\Program Files\Deskbar\deskbar.dll (file missing)
O4 - HKLM\..\Run: [UpdReg] C:\WINDOWS\UpdReg.EXE
O23 - Service: Command Service (cmdService) - Unknown owner - C:\WINDOWS\QmFaSWNI\command.exe (file missing)
O23 - Service: Network Monitor - Unknown owner - C:\Program Files\Network Monitor\netmon.exe (file missing)
O23 - Service: Win32Sr - Unknown owner - C:\WINDOWS\win32ssr.exe (file missing)

пришлите по правилам форума файлы (искать из AVZ):
C:\Program Files\Globe Software\StatBar\StatBar.exe
C:\WINDOWS\UpdReg.EXE
C:\Program Files\Deskbar\deskbar.dll
C:\WINDOWS\win32ssr.exe
c:\windows\system32\cthelper.exe
c:\program files\opera 9 beta\opera.exe
C:\WINDOWS\system32\ddcccdc.dll
C:\WINDOWS\System32\fxsfeaxt.dll
C:\WINDOWS\System32\sstqn.dll
C:\WINDOWS\system32\guard.tmp
hhs32.pif
C:\WINDOWS\system32\dhkquoui.dll
C:\WINDOWS\system32\flifs.dll
C:\WINDOWS\system32\kadit142.dll
22.09.2006, 20:06
Базич

[B]C:\Program Files\Globe Software\StatBar\StatBar.exe[/B] - это хорошая программа, не сторонний бар!

[QUOTE]Результат загрузки
Файл сохранён как 060922_120502_virus_451409ae775ef.zip
Размер файла 916678
MD5 3b9165bc836578126e31fb1b044bc7bb

Файл закачан, спасибо![/QUOTE]
22.09.2006, 20:29
RiC

В докторе Web`e - зайдите в настройки спайдера, найдите опцию "Режим проверки" переключите с "Оптимальной" на "Другие" -> "Запуск и открытие" и "Создание и запись" перезагрузитесь, верните назад на "оптимальный" и повторите 2 последних лога из правил, посмотрим кто из "тараканов" после этого выживет.
22.09.2006, 20:43
Shu_b

по DrWeb
C:\WINDOWS\System32\fxsfeaxt.dll - Adware.Duncan
C:\WINDOWS\System32\sstqn.dll - Trojan.Virtumod
C:\WINDOWS\system32\ddcccdc.dll - Trojan.Virtumod

[QUOTE] AntiVir Found Trojan/Vundo.Gen, Trojan/BHO.G
ArcaVir Found Adware.Vundo.A2
Avast Found nothing
AVG Antivirus Found nothing
BitDefender Found Trojan.Downloader.ConHook.AB
ClamAV Found nothing
Dr.Web Found Trojan.Virtumod, Adware.Duncan
F-Prot Antivirus Found nothing
Fortinet Found PossibleThreat!0618
Kaspersky Anti-Virus Found not-a-virus:AdWare.Win32.Virtumonde.cz
NOD32 Found Win32/Adware.Virtumonde application
Norman Virus Control Found W32/Virtumonde.RD, W32/Vundo.gen1
UNA Found nothing
VirusBuster Found nothing
VBA32 Found Trojan.Virtumod [/QUOTE]

C:\WINDOWS\system32\kadit142.dll - не добавился в карантин.
22.09.2006, 21:10
Базич

[QUOTE=RiC]В докторе Web`e - зайдите в настройки спайдера, найдите опцию "Режим проверки" переключите с "Оптимальной" на "Другие" -> "Запуск и открытие" и "Создание и запись" перезагрузитесь, верните назад на "оптимальный" и повторите 2 последних лога из правил, посмотрим кто из "тараканов" после этого выживет.[/QUOTE]
После перезагрузки рабочий стол не загрузился просто обоина и курсор,подождал минут 5 ничего не произошло, на горячие клавиши [B]win+r[/B], [B]ctrl+alt+del[/B] тоже не реагровал, перегрузил снова, ввел пароль от учетнои записи и комп повис на словах "загрузка личных параметров" и так три раза, после загрузился в безопасном режиме зупустил настроику спайдер гуарда и вернул все на место, винда и рабочий стол успешно загрузились.

что сделать дальше ??
:'-(

интересно
[QUOTE]переключите с "Оптимальной" на "Другие" -> "Запуск и открытие" и "Создание и запись" перезагрузитесь[/QUOTE]
это сработало?
делать повторное сканирование и выкладывать логи ?
22.09.2006, 21:19
pig

Судя по поведению системы, переключение режима имело место быть. Интересно в лог Спайдера глянуть, чем он там систему грузил и с кем воевал.
Давайте новые логи.
22.09.2006, 21:20
Базич

Вложений: 1

[QUOTE=Shu_b]
C:\WINDOWS\system32\kadit142.dll - не добавился в карантин.[/QUOTE]

как видно из карантина он добавился, но имеет нулевой размер .
скрин карантина AVZ прикрепляю
22.09.2006, 21:21
Базич

[QUOTE=pig]Судя по поведению системы, переключение режима имело место быть. Интересно в лог Спайдера глянуть, чем он там систему грузил и с кем воевал.
Давайте новые логи.[/QUOTE]
откуда выдернуть лог [B]СпайдерГуарда[/B] ?
22.09.2006, 21:34
RiC

[QUOTE=Базич]делать повторное сканирование и выкладывать логи ?[/QUOTE]
Просканировать можете только каталог Windows, сделайте только 2-й лог AVZ, первый больше не нужен, Hijack перед тем как сделать лог переименуйте во что-нибудь - к примеру Test.exe
Лог гварда можно найти в каталоге c:\Document and setting\{Ваше имя пользователя}\DoctorWeb\spidernt.log (или spider.log)
23.09.2006, 00:42
Базич

Вложений: 1

[QUOTE=RiC]Просканировать можете только каталог Windows, сделайте только 2-й лог AVZ, первый больше не нужен, Hijack перед тем как сделать лог переименуйте во что-нибудь - к примеру Test.exe
[/QUOTE]
вот второи лог
23.09.2006, 00:43
Базич

[QUOTE=RiC]
Лог гварда можно найти в каталоге c:\Document and setting\{Ваше имя пользователя}\DoctorWeb\spidernt.log (или spider.log)[/QUOTE]к сожалению лога [B]спайдергуарда[/B] там не оказалось, только [B]дрвэб скангера[/B] и утелиты [B]кури ит[/B]
23.09.2006, 02:24
Alexey P.

М-да, гадюшник еще тот.
Проще всего это чистить CureIt-ом (обязательно свежескачанным), но загрузившись с внешнего носителя.

После перевода спайдера в режим надо было просто подождать дольше, 5 минут - очень мало.
Файлы:
C:\DOCUME~1\BaZIcH\LOCALS~1\Temp\CmdLineExt02.dll
C:\WINDOWS\system32\ddcccdc.dll
C:\WINDOWS\System32\fxsfeaxt.dll
C:\WINDOWS\System32\sstqn.dll
C:\WINDOWS\System32\Drivers\DbgMsg.sys (если SoftICE не стоит)
C:\WINDOWS\system32\guard.tmp
hhs32.pif
C:\WINDOWS\system32\flifs.dll

hhs32.pif найти поиском.
23.09.2006, 04:44
Базич

[QUOTE=Alexey P.]М-да, гадюшник еще тот.
Проще всего это чистить CureIt-ом (обязательно свежескачанным), но загрузившись с внешнего носителя.

После перевода спайдера в режим надо было просто подождать дольше, 5 минут - очень мало.
[/QUOTE]
завтра попробую подождать больше времени
23.09.2006, 04:45
Базич

[QUOTE=Alexey P.]
Файлы:
C:\DOCUME~1\BaZIcH\LOCALS~1\Temp\CmdLineExt02.dll
C:\WINDOWS\system32\ddcccdc.dll
C:\WINDOWS\System32\fxsfeaxt.dll
C:\WINDOWS\System32\sstqn.dll
C:\WINDOWS\System32\Drivers\DbgMsg.sys (если SoftICE не стоит) [COLOR="Red"]\ у меня точно не стоит SoftICE[/COLOR]
C:\WINDOWS\system32\guard.tmp
hhs32.pif
C:\WINDOWS\system32\flifs.dll

hhs32.pif найти поиском.[/QUOTE]
так что с этими фаилами сдеалать ?
23.09.2006, 10:46
MOCT

[QUOTE=Базич]так что с этими фаилами сдеалать ?[/QUOTE]
найти их (используя AVZ с включенным противодействием руткитам), скопировать в карантин и прислать нам по правилам форума.
23.09.2006, 12:49
Базич

[QUOTE]Результат загрузки
Файл сохранён как 060923_044807_virus_4514f4c728f04.zip
Размер файла 629256
MD5 2bf877c7e47b02c2e679167c24f4c7ba

Файл закачан, спасибо![/QUOTE]

[B]hhs32.pif[/B] [COLOR="Red"]не найден [/COLOR]
23.09.2006, 13:13
pig

[QUOTE=Базич]откуда выдернуть лог [B]СпайдерГуарда[/B] ?[/QUOTE]
SPIDER.log или SPIDERNT.log в той папке, где установлен Доктор. По умолчанию - \Program Files\Doctor Web\, если я правильно помню. У меня он исторически живёт в другом месте. Ещё со времён DOS.
23.09.2006, 14:24
MOCT

получены файлы от 23 числа.

C:\WINDOWS\system32\flifs.dll не добавился.

C:\WINDOWS\System32\Drivers\DbgMsg.sys - действительно от NuMega, если их софта у Вас на компьютере нет, то файл можно удалить

Все остальные присланные файлы также можно спокойно удалить:
C:\WINDOWS\system32\ddcccdc.dll - AdWare.Win32.Virtumonde.de (по Касперскому)
C:\WINDOWS\System32\fxsfeaxt.dll,
C:\WINDOWS\System32\sstqn.dll - новые версии, еще Касперским не детектируются

Также удалите все строки, содержащие имена этих файлов, в "Диспетчере процессов" , "Менеджере автозапуска" и других менеджерах программы AVZ.
23.09.2006, 14:38
Alexey P.

Лучше найти эти файлы поиском в AVZ и удалить оттуда. Он умеет еще и систему чистить от следов, это лучше.

Если не получится, используйте для их удаления [url=http://virusinfo.info/showthread.php?t=5757]Avenger[/url]
Скрипт для удаления может быть таким (если какие-то файлы уже удалите через AVZ, их уже сюда не надо. Хотя и вреда от несуществующих файлов в скрипте не будет):
[CODE]
Files to delete:
C:\DOCUME~1\BaZIcH\LOCALS~1\Temp\CmdLineExt02.dll
C:\WINDOWS\system32\ddcccdc.dll
C:\WINDOWS\System32\fxsfeaxt.dll
C:\WINDOWS\System32\sstqn.dll
C:\WINDOWS\System32\Drivers\DbgMsg.sys
C:\WINDOWS\system32\guard.tmp
C:\WINDOWS\system32\flifs.dll
[/CODE]
И стоит почистить всё в
C:\DOCUME~1\BaZIcH\LOCALS~1\Temp\
и тут - при закрытом IE удалите все вложенные директории:
C:\DOCUME~1\BaZIcH\LOCALS~1\Temporary Internet Files\

На будущее - лучше не используйте IE, Вы притащили заразу именно им. Намного безопаснее любой другой приличный браузер, та же Опера или Firefox, привыкнуть к ним недолго.