непонятный Троян на SBS Win2003, файлы E001, j001

SBS Win2003 сервер, AD,DC,Isa,Exchange в процессах появляются приложения e001 J002 и прочие, в сервисах появилась куча непонятных служб, в сэйв моде не грузится , уходит на перезагрузку. Антивир -Симантек Сервер. Что сделал удалил из windows\system32\ много папок со странными названиями и фалами e001.exe и j002.exe, отключил все службы с кривыми названиями, пытался запустить Cure IT, и AVP - не запускается, для Web просто подвисает, для AVP тоже ругается и не дает запустить.
При загрузке не запускается служба BITS - фоновая интеллектуальная служба. По симптомам очень похоже на вот это [url]http://virusinfo.info/showthread.php?t=58036[/url]

Выполните скрипт в AVZ
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
SetServiceStart('acpi24Drv', 4);
DeleteService('acpi24Drv');
QuarantineFile('C:\WINDOWS\system32\s.exe','');
DeleteService('sdewe DDOS Service');
QuarantineFile('C:\WINDOWS\system32\YLG9TANBNW\J002.exe','');
DeleteService('nhf');
QuarantineFile('C:\WINDOWS\Atic.exe','');
QuarantineFile('C:\WINDOWS\Ati2ezz.exe','');
DeleteService('Ati2ezz');
DeleteService('Atic');
QuarantineFile('C:\WINDOWS\system32\iSql\E001.exe','');
DeleteService('bd');
QuarantineFile('C:\WINDOWS\System32\Drivers\Beep.SYS','');
QuarantineFile('C:\WINDOWS\system32\acpi24.sys','');
DeleteFile('C:\WINDOWS\system32\acpi24.sys');
DeleteFile('C:\WINDOWS\system32\iSql\E001.exe');
DeleteFile('C:\WINDOWS\Ati2ezz.exe');
DeleteFile('C:\WINDOWS\Atic.exe');
DeleteFile('C:\WINDOWS\system32\YLG9TANBNW\J002.exe');
DeleteFile('C:\WINDOWS\system32\s.exe');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end. [/code]Компьютер перезагрузится.

Пришлите карантин согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

Сделайте новые логи

Сделал, карантин тоже отправил.

Выполните скрипт в AVZ
[code]begin
DeleteFileMask(GetAVZDirectory+'Quarantine', '*.*', true);
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\acpi24.dll','');
DeleteFile('C:\WINDOWS\system32\acpi24.dll');
DeleteService('ndg');
QuarantineFile('C:\WINDOWS\system32\dvmk.exe','');
QuarantineFile('C:\WINDOWS\system32\I2RP4CVI24\J002.exe','');
DeleteService('gsrg');
QuarantineFile('C:\WINDOWS\system32\acpi24.exe','');
DeleteService('acpi24');
DeleteFile('C:\WINDOWS\system32\acpi24.exe');
DeleteFile('C:\WINDOWS\system32\I2RP4CVI24\J002.exe');
DeleteFile('C:\WINDOWS\system32\dvmk.exe');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end. [/code]Компьютер перезагрузится.

Пришлите карантин согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

Сделайте новые логи

Спасибо , что быстро реагируете, файлы приложу чуть позже. Забыл обозначить еще проблемы , может быть будут полезны. В диспетчере устройств все чисто,нет ни одной записи, также чисто и в сетевых подключениях. Хотя сеть работает.

Здравствуйте, продолжаю выкладывать. Карантин отправил.

Есть новости, запустился AVP, нашел Trojan.downloader - в \windows\system32\userrunsrv.dll, удалил его , сервер перегрузил.

Что сейчас с проблемой?

Выполните скрипт в AVZ
[code]begin
QuarantineFile('C:\WINDOWS\system32\yxxst.dll','');
QuarantineFile('C:\WINDOWS\system32\ywkvu.dll','');
QuarantineFile('C:\WINDOWS\system32\yutqq.dll','');
QuarantineFile('C:\WINDOWS\system32\yuprb.dll','');
QuarantineFile('C:\WINDOWS\system32\yuccg.dll','');
QuarantineFile('C:\WINDOWS\system32\ypwby.dll','');
QuarantineFile('C:\WINDOWS\system32\yjpen.dll','');
QuarantineFile('C:\WINDOWS\system32\yglun.dll','');
QuarantineFile('C:\WINDOWS\system32\ydlji.dll','');
QuarantineFile('C:\WINDOWS\system32\xyqay.dll','');
QuarantineFile('C:\WINDOWS\system32\xymtr.dll','');
QuarantineFile('C:\WINDOWS\system32\xwdcc.dll','');
QuarantineFile('C:\WINDOWS\system32\xvamu.dll','');
QuarantineFile('C:\WINDOWS\system32\xouoq.dll','');
QuarantineFile('C:\WINDOWS\system32\xlrjr.dll','');
QuarantineFile('C:\WINDOWS\system32\xloxo.dll','');
QuarantineFile('C:\WINDOWS\system32\xjnvb.dll','');
QuarantineFile('C:\WINDOWS\system32\xikbt.dll','');
QuarantineFile('C:\WINDOWS\system32\xenob.dll','');
QuarantineFile('C:\WINDOWS\system32\xefoa.dll','');
QuarantineFile('C:\WINDOWS\system32\wyqjd.dll','');
QuarantineFile('C:\WINDOWS\system32\wxura.dll','');
QuarantineFile('C:\WINDOWS\system32\wovcw.dll','');
QuarantineFile('C:\WINDOWS\system32\wnqho.dll','');
QuarantineFile('C:\WINDOWS\system32\wleqj.dll','');
QuarantineFile('C:\WINDOWS\system32\wcogy.dll','');
QuarantineFile('C:\WINDOWS\system32\vuahq.dll','');
QuarantineFile('C:\WINDOWS\system32\vlrxr.dll','');
QuarantineFile('C:\WINDOWS\system32\vieoa.dll','');
QuarantineFile('C:\WINDOWS\system32\vhass.dll','');
QuarantineFile('C:\WINDOWS\system32\vbhwn.dll','');
QuarantineFile('C:\WINDOWS\system32\uyjqt.bmp','');
QuarantineFile('C:\WINDOWS\system32\uxgdy.dll','');
QuarantineFile('C:\WINDOWS\system32\utahy.dll','');
RebootWindows(true);
end. [/code]Компьютер перезагрузится.

Пришлите карантин согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

Сделал, карантин отправил. По-проблемам: при старте сервера служба BITS не запускается, в диспетчере устройств и в сетевых подключениях пусто. Сервер работает стабильнее намного, сетевые диски не отваливаются. Хоть как-то можно жить. В ISе открыл только 80 порт, пока не видно стартующих процессов E001 и прочих, как было раньше. т.е доступ в интернет есть.

C:\WINDOWS\system32\DWEWEServer.dll - новый зловред [B]Rootkit.Win32.TDSS.qtu[/B]

Выполните скрипт в AVZ
[code]begin
DeleteFile('C:\WINDOWS\system32\DWEWEServer.dll');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end. [/code]Компьютер перезагрузится.

Проверьте, что восстановление системы у Вас [B]включено[/B] и пробуйте сделать лог [URL="http://virusinfo.info/showthread.php?t=40118"]gmer[/URL]

Скрипт выполнил, Гмер не может выполнить до конца скан, подвисает намертво . Или подвисает или вообще пропадает.

Защитное ПО отключаете? Если не помогает, попробуйте сделать лог в безопасном режиме

Дополнительно проверьтесь [url]http://support.kaspersky.ru/viruses/solutions?qid=208636926[/url]

TDSSkiller, ничего не нашел, прикладываю ЛОГ Гмера

В логе чисто. Подозрение на руткит ложное

Что с проблемой на данный момент?

Проблема такая, при перезагрузке не запускается служба BITS и вручную тоже не стартует, в сетевых подключениях чисто, в диспетчере устройств тоже чисто. В остальном все более менее стабильно. Осталось много мусора в службах.

Службу BITS запустил, остались 2 проблемки, пустые диспетчер устройств и сетевые подrлючения :)

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]4[/B][*]Обработано файлов: [B]42[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\windows\system32\acpi24.dll - [B]Trojan-Downloader.Win32.Agent.cyhc[/B] ( BitDefender: Trojan.Generic.2943212 )[*] c:\windows\system32\acpi24.exe - [B]Trojan.Win32.Mepaow.keh[/B] ( DrWEB: DDoS.5665, BitDefender: Trojan.Generic.2898041, AVAST4: Win32:Malware-gen )[*] c:\windows\system32\dweweserver.dll - [B]Rootkit.Win32.TDSS.qtu[/B] ( DrWEB: Trojan.DownLoad.49092, BitDefender: Trojan.Generic.2932653, AVAST4: Win32:Malware-gen )[*] c:\windows\system32\uyjqt.bmp - [B]Trojan-PSW.Win32.Bjlog.dwm[/B] ( DrWEB: Trojan.Siggen.39568, AVAST4: Win32:Malware-gen )[/LIST][/LIST]
Рекомендации:
[LIST=1][*]Обнаружены троянские программы класса Trojan-PSW/Trojan-Spy - настоятельно рекомендуется поменять все пароли ![/LIST]