Sign of "JS:Agent-CV [Trj]" has been found

Printable View

12.01.2010, 20:53
sasha1959

Sign of "JS:Agent-CV [Trj]" has been found

Аваст детектирует вирус и перемещает в хранилище только когда работает Norton Security Scan. Вирус помещает сообщения в Темр (см. в архиве symbos). После перезагрузки и запуска Norton Security Scan история повторяется.
После формата и стирания HD и MBR новый Windows XP SP2, сброса dynamic IP, захода в сеть, загрузки и запуска Norrton Security Scan история повторяется-Вирус помещает сообщения в Темр (см. в архиве symbos) до установки Аваст.
Оригинальный вирус ни один антивирус не обнаруживает и не удаляет, включая full scan avast. В библиотеке аваста вирус есть. Троян подгружает ПО, которое полностью контролирует компьютер и Интернет эксплореры.
Пожалуйста помогите,
sasha1959
12.01.2010, 21:26
Nikkollo

Нужно выполнить правила:
[url]http://virusinfo.info/showthread.php?t=1235[/url]
И приложить логи, указанные в пункте "Диагностика".
13.01.2010, 16:46
sasha1959

СДЕЛАНО! есть карантин Аваста и сообщения вируса symbos.txt.
13.01.2010, 20:07
Nikkollo

Вы забыли обновить базы AVZ.
Обновите базы AVZ.
Если базы не обновляются через меню Файл, скачайте архив баз [url]http://z-oleg.com/secur/avz_up/avzbase.zip[/url]
и распакуйте его в папку Base внутри папки AVZ, заменив имеющиеся файлы и перезапустите AVZ.

Повторите пункт "Диагностика" правил и приложите получившиеся логи в теме.
14.01.2010, 19:58
sasha1959

Сделано!
15.01.2010, 09:46
Nikkollo

Пофиксите в HijackThis:
[CODE]
O2 - BHO: (no name) - {02478D38-C3F9-4efb-9B51-7695ECA05670} - (no file)
O2 - BHO: (no name) - {A057A204-BACC-4D26-8087-36EE87E26986} - (no file)
O3 - Toolbar: (no name) - {A057A204-BACC-4D26-8087-36EE87E26986} - (no file)
[/CODE]

Выполните скрипт в AVZ:
[CODE]
begin
DeleteFileMask(GetAVZDirectory + 'Quarantine', '*.*', true);
QuarantineFile('C:\WINDOWS\system32\MdlAJS54.exe','');
CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
end.
[/CODE]

Загрузите quarantine.zip из папки AVZ по красной ссылке вверху темы "Прислать запрошенный карантин".

Установите Service Pack 3 и обновления, вышедшие после него (может потребоваться активация).
Обновите Internet Explorer до актуальной версии (даже если не используете).

symbos.txt приложите в теме.
15.01.2010, 20:24
sasha1959

Уважаемый Nikkollo,
файла C:\WINDOWS\system32\MdlAJS54.exe или MdlAJS54.exe на компе внешне(визуально и поиск) нет. Соответственно архив avz quarantine.zip пуст и не грузится на форум по красной ссылке вверху темы "Прислать запрошенный карантин".

лог avz после скрипта:

Удаление файла:C:\Documents and Settings\a.DANY\Рабочий стол\system\avz4\Quarantine\ *.*
Ошибка карантина файла, попытка прямого чтения (C:\WINDOWS\system32\MdlAJS54.exe)
Карантин с использованием прямого чтения - ошибка
Ошибка карантина файла, попытка прямого чтения (C:\WINDOWS\system32\MdlAJS54.exe)
Карантин с использованием прямого чтения - ошибка
Создание архива с файлами из карантина
Создание архива с файлами из карантина завершено

С благодарностью,

Sasha.
15.01.2010, 21:36
Nikkollo

quarantine.zip удалите из своих вложений.

Установите Service Pack 3 и обновления, вышедшие после него (может потребоваться активация).
Обновите Internet Explorer до актуальной версии (даже если не используете).
Обновите Adobe Reader до актуальной версий.
19.01.2010, 22:15
sasha1959

Уважаемый Nikkollo,

не помогает. На компе с ХР SP3 IE 8 Adobe 9.3 то же самое!!!

С благодарностью,

Sasha.
20.01.2010, 05:55
pig

А что у вас на машине два антивируса делают? Они так и будут друг у друга файлы отбирать.
20.01.2010, 18:37
sasha1959

Уважаемый pig,

Какие? NSS сам не берет! Avast сам не берет! Только вместе-утилита нортон активирует, а экран аваст ловит след. Оригиналы не ловятся ничем, включая dr.web, kaspersky, norton, g data, pc tools, paretologic, sunbelt ets. Есть образец из карантина аваста.

С благодарностью,

Sasha.
20.01.2010, 19:30
Nikkollo

Выполните скрипт в AVZ отсюда:
[url]http://df.ru/~kad/ScanVuln.txt[/url]
Файл avz_log.txt из папки AVZ\LOG приложите в теме.
22.01.2010, 22:09
sasha1959

Сделано.

Лог приложен.
23.01.2010, 14:47
Nikkollo

Закройте уязвимости, указанные в avz_log.txt, ссылки там имеются.
23.01.2010, 16:11
sasha1959

Уважаемый Nikkollo,

Как и где закрыть уязвимости? Где может сидеть оригинал трояна? Ставил по очереди все антивирусы с VirusTotal, которые знакомы с "JS:Agent-CV [Trj]" - не ловят. Поставил Firewall Sunbelt-есть лог сети и атак.

С благодарностью,

Sasha.
23.01.2010, 16:31
Nikkollo

[QUOTE='sasha1959;568349']Как и где закрыть уязвимости?[/QUOTE]
Пройти по ссылкам, скачать то, что подходит для вашей системы и установить.
[QUOTE='sasha1959;568349']Где может сидеть оригинал трояна? [/QUOTE]
По логам зловредног не видно.

Хорошо, приложите ваши логи здесь.
Образец из карантина Аваста заархивируйте в формате zip с паролем virus и загрузите по красной ссылке вверху темы "Прислать запрошенный карантин".
23.01.2010, 20:54
sasha1959

Карантин пришлю, как только скачаю WINZIP. Гаденыш видно еще придумал чего-то - Sunbelt повисает, забирает 100% процессора и завешивает машину.

Sasha.
24.01.2010, 20:54
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]1[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]