Nod не может вылечить вирус Win32/Kryptik.ABX

Printable View

12.12.2009, 16:28
melnikov

Nod не может вылечить вирус Win32/Kryptik.ABX

Добрый день.
Подцепил вирус. Нод32 выдаёт:

C:\WINDOWS\system32\dllcache\atapi.sys модифицированный Win32/Kryptik.ABX троянская программа Событие произошло в новом файле, созданном следующим приложением: C:\WINDOWS\system32\svchost.exe.

C:\WINDOWS\system32\drivers\atapi.sys модифицированный Win32/Kryptik.ABX троянская программа Событие произошло в новом файле, созданном следующим приложением: C:\WINDOWS\system32\svchost.exe.

Компьютер сильно "тормозит". Помогите пожалуйста.
12.12.2009, 16:45
Bratez

Попробуйте эту утилиту:
[url]http://www.secureblog.info/files/TDSSKiller.rar[/url]
(отключив интернет и антивирус).

[size="1"][color="#666686"][B][I]Добавлено через 3 минуты[/I][/B][/color][/size]

Далее,

Выполните скрипт в AVZ:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\regedit.exe','');
QuarantineFile('C:\Documents and Settings\Admin\CsimPlayer.exe','');
QuarantineFile('C:\WINDOWS\system32\CsimPlayer.exe','');
DeleteFile('C:\WINDOWS\system32\regedit.exe');
DeleteFile('C:\WINDOWS\system32\CsimPlayer.exe');
DeleteFile('C:\Documents and Settings\Admin\CsimPlayer.exe');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]
Компьютер перезагрузится.
Пришлите карантин согласно приложению 3 правил
(загружать тут: [url]http://virusinfo.info/upload_virus.php?tid=63426[/url]).
Сделайте новые логи.

[size="1"][color="#666686"][B][I]Добавлено через 3 минуты[/I][/B][/color][/size]

Дополнительно сделайте [URL="http://virusinfo.info/showthread.php?t=40118"]лог gmer[/URL].
13.12.2009, 00:01
melnikov

Всё выполнил. После утилиты TDSSKiller машина сразу зависала при загрузке. С 3-го раза удалось запустить AVZ, но в нём руские символы отображались как цифры в квадратных скобках ( [243561] ).
Разархивировал новый (там было по русски) и в нём запустил скрипт.
Отправил файлы карантина и сделал логи.
Комп продолжает сильно "тормозить".
13.12.2009, 00:08
melnikov

C:\WINDOWS\system32\dllcache\atapi.sys - модифицированный Win32/Kryptik.ABX троянская программа - [B]очищен удалением - изолирован[/B]

C:\WINDOWS\system32\drivers\atapi.sys - модифицированный Win32/Kryptik.ABX троянская программа - [B]очистка невозможна[/B]
13.12.2009, 00:46
thyrex

Выполните скрипт в AVZ
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\regedit.exe','');
QuarantineFile('C:\Documents and Settings\Admin\Главное меню\Программы\Автозагрузка\siszyd32.exe','');
QuarantineFile('C:\WINDOWS\System32\Drivers\dyewywv.SYS','');
DeleteFile('C:\WINDOWS\System32\Drivers\dyewywv.SYS');
DeleteFile('C:\Documents and Settings\Admin\Главное меню\Программы\Автозагрузка\siszyd32.exe');
DeleteFile('C:\WINDOWS\system32\regedit.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Regedit32');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end. [/code]Компьютер перезагрузится.

Сохраните текст ниже как cleanup.bat в ту же папку, где находится 0p4h9x35.exe (gmer)
[CODE]0p4h9x35.exe -del service dxdfpk
0p4h9x35.exe -del service dyewywv
0p4h9x35.exe -del file "C:\WINDOWS\system32\zrhbljb.dll"
0p4h9x35.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\dxdfpk"
0p4h9x35.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\dyewywv"
0p4h9x35.exe -del reg "HKLM\SYSTEM\ControlSet002\Services\dxdfpk"
0p4h9x35.exe -del reg "HKLM\SYSTEM\ControlSet002\Services\dyewywv"
0p4h9x35.exe -reboot[/CODE]И запустите cleanup.bat
Компьютер перезагрузится

Пришлите карантин согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

Сделайте новые логи + новый лог gmer

C:\WINDOWS\system32\dllcache\atapi.sys замените на чистый с дистрибутива
13.12.2009, 23:48
melnikov

Сделал. В батовском файле выполнились только первые две строчки, на остальные сказало, что неизвестный модуль.
14.12.2009, 03:06
Bratez

Пофиксите в HijackThis:
[code]
O4 - HKLM\..\Run: [Regedit32] C:\WINDOWS\system32\regedit.exe
[/code]
[B]Обновите базы AVZ![/B]
Выполните скрипт в AVZ:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\WINDOWS\system32\Drivers\dyewywv.sys');
BC_DeleteFile('C:\WINDOWS\system32\Drivers\dyewywv.sys');
BC_DeleteSvc('dyewywv');
BC_Activate;
RegKeyResetSecurity('HKLM', 'SYSTEM\CurrentControlSet\Services\dyewywv');
RegKeyResetSecurity('HKLM', 'SYSTEM\ControlSet002\Services\dyewywv');
RegKeyDel('HKLM', 'SYSTEM\CurrentControlSet\Services\dyewywv');
RegKeyDel('HKLM', 'SYSTEM\ControlSet002\Services\dyewywv');
RebootWindows(true);
end.[/code]
Компьютер перезагрузится.

Сделайте новые логи.
16.12.2009, 12:05
melnikov

Добрый день. Не получилось заменить файл atapi.sys на чистый из дистрибутива. Компьютер вообще перестал загружаться. Пришлось прибегнуть к радикальному способу и переставить операционку.
Спасибо огромное за помощь.

P.S. Логи делать?
16.12.2009, 13:23
Bratez

[QUOTE='melnikov;536307']Не получилось заменить файл atapi.sys на чистый [/QUOTE]
Хм... Вы вроде сказали
[QUOTE='melnikov;534044']Сделал. [/QUOTE]
...
Если переустановили начисто, и все работает, то логи не надо.
16.12.2009, 13:55
melnikov

Всё работает. Спасибо.
17.12.2009, 13:55
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]14[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\documents and settings\admin\главное меню\программы\автозагрузка\siszyd32.exe - [B]Backdoor.Win32.Bredolab.blg[/B] ( DrWEB: Trojan.Botnetlog.108, NOD32: Win32/TrojanDownloader.Bredolab.BE trojan )[*] c:\windows\system32\csimplayer.exe - [B]Backdoor.Win32.HareBot.alv[/B] ( DrWEB: Trojan.MulDrop.52136 )[/LIST][/LIST]