Последствия Ludor, Mixor и Glowa

Лечил сначала Касперским, потом AVZ.
На первый взгляд вроде бы всё нормально - exe'шников инфицированных не находит, файлов *.t больше не осталось тоже.
Но есть такое подозрение, что совсем ещё не всё вылечилось.
Один из симптомов - при нажатии ctrl+alt+del появляется сообщение "Диспетчер задач отключен администратором"

Логи в приложении.

Спасибо!

чтобы вернуть на место Диспетчер задач, нужно в AVZ в меню "Файл -> Восстановление системы" поставить галку напротив "Удаление всех Policies..." и нажать "Выполнить отмеченные операции".

для чистки системы:
в программе HijackTHis пофиксить следующие строки:
O1 - Hosts: c.uloec.com
O4 - HKLM\..\Run: [spoolsvv] C:\WINDOWS\system32\spoolsvv.exe
O4 - HKLM\..\Run: [_mzu_stonedrv3] c:\windows\system32\_mzu_stonedrv3.exe
O4 - HKLM\..\Run: [ms] C:\DOCUME~1\AFTERG~1\LOCALS~1\Temp\176\gm.exe
O4 - HKLM\..\Run: [Explorer 2238] C:\WINDOWS\system32\dxvwrxjd.exe
O4 - HKLM\..\Run: [UpdateService] C:\WINDOWS\system32\wservice.exe
O4 - HKLM\..\RunServices: [_mzu_stonedrv3] c:\windows\system32\_mzu_stonedrv3.exe
O4 - HKCU\..\Run: [_mzu_stonedrv3] c:\windows\system32\_mzu_stonedrv3.exe
O4 - HKCU\..\Run: [Key] C:\DOCUME~1\AFTERG~1\LOCALS~1\Temp\E.tmp
O4 - HKCU\..\Run: [UpdateService] C:\WINDOWS\system32\wservice.exe
O16 - DPF: {33331111-1111-1111-1111-611111193429} - [url]http://www.www2.p0rt2.com/files/_ipsec_.cab[/url]
O16 - DPF: {33331111-1111-1111-1111-615111193427} -
O16 - DPF: {33331111-1131-1111-1111-611111193428} -
O16 - DPF: {33331111-1234-1111-1111-615111193427} - [url]http://www.www2.p0rt2.com/files/epl56bd.cab[/url]
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "C:\PROGRA~1\MSNMES~1\msgrapp.dll" (file missing)
O20 - Winlogon Notify: rpcc - C:\WINDOWS\system32\rpcc.dll
O20 - Winlogon Notify: ShellServiceObjectDelayLoad - C:\WINDOWS\
O20 - Winlogon Notify: WLogon - srvc.dll (file missing)
O21 - SSODL: DCOM Server 2236 - {2C1CD3D7-86AC-4068-93BC-A02304BB2236} - C:\WINDOWS\system32\geczt.dll (file missing)
O21 - SSODL: DCOM Server 2238 - {2C1CD3D7-86AC-4068-93BC-A02304BB2238} - C:\WINDOWS\system32\dxvwrxjd.exe
O23 - Service: Command Service (cmdService) - Unknown owner - C:\WINDOWS\RGVuaXNvNGth\command.exe (file missing)
O23 - Service: Network Monitor - Unknown owner - C:\Program Files\Network Monitor\netmon.exe (file missing)

следующие файлы (если найдутся через AVZ) прислать на исследование по правилам форума (предварительно убедитесь, что включено противодействие руткитам в AVZ!):
C:\WINDOWS\system32\spoolsvv.exe
c:\windows\system32\_mzu_stonedrv3.exe
C:\DOCUME~1\AFTERG~1\LOCALS~1\Temp\176\gm.exe
C:\WINDOWS\system32\dxvwrxjd.exe
C:\WINDOWS\system32\wservice.exe
C:\DOCUME~1\AFTERG~1\LOCALS~1\Temp\E.tmp
C:\WINDOWS\system32\rpcc.dll
C:\WINDOWS\system32\geczt.dll
C:\WINDOWS\RGVuaXNvNGth\command.exe
c:\windows\system32\taskdir.exe
C:\WINDOWS\system32\adir.dll
C:\WINDOWS\system32\daoprint.dll
srvc.dll
C:\WINDOWS\system32\oyethk32.dll
C:\WINDOWS\system32\guard.tmp
C:\WINDOWS\system32\svclient.dll
C:\WINDOWS\system32\scnike.dll
C:\WINDOWS\system32\izpromon.dll
C:\Documents and Settings\afterglow\Local Settings\Temp\00000727.tmp
C:\Documents and Settings\afterglow\Local Settings\Temp\00000748.tmp
C:\Documents and Settings\afterglow\Local Settings\Temp\snatch2.exe (вот этот файл нужен в первую очередь)
C:\Documents and Settings\afterglow\Local Settings\Temporary Internet Files\Content.IE5\A3KJZOLS\00000753.tmp
C:\Documents and Settings\afterglow\Local Settings\Temporary Internet Files\Content.IE5\OZEV21M1\se[1].exe
C:\WINDOWS\system32\se.exe.exe
C:\WINDOWS\system32\vxgame*.exe
после указанных операций - перезагрузить компьютер и сделать новые логи, которые приложить к теме.

Диспатчер вернулся, спасибо! :)
А насчёт всего остального - логи чистые?

[QUOTE=afterglow]Диспатчер вернулся, спасибо! :)
А насчёт всего остального - логи чистые?[/QUOTE]
читайте предыдущее сообщение - я там добавил еще много нового

[quote=MOCT](предварительно убедитесь, что включено противодействие руткитам в AVZ!)[/quote]
Я правильно понял, что для этого нужно проставить галки на всех трёх боксах в разделе RootKit в закладке "Параметры поиска"?

Там на самом деле надо две галки поставить.
В строках:
"Блокировать работу RootKit User-Mode"
и
"Блокировать работу RootKit Kernel-Mode"

HJT пофиксил.
А архив с найденными AVZ файлами слишком большой - 355кб, не влезает в отведённое под вложения место.
Может быть отправить на почту?

[B]Палыч[/B]
Ага, так и сделал уже. Спасибо!

Файлы сюда прикреплять не надо.
В Правилах написано, как надо отправлять запрошенные файлы. Смотри приложения к Правилам.

Oops. Сорри за невнимательность.
Файл отправил.

по присланным файлам: все прияланное - трояны. нужно удалять через отложенное удаление в AVZ.

C:\WINDOWS\system32\rpcc.dll - SpamBot
C:\WINDOWS\system32\dxvwrxjd.exe - троян
C:\WINDOWS\system32\adir.dll - Email-Worm.Win32.Banwarum.f (Касперский)
c:\windows\system32\taskdir.exe - недетектируемый кусок червя Banwarum, по совместительству Trojan.SpamBot (DrWeb)
C:\WINDOWS\system32\vxgame1.exe - Trojan-Proxy.Win32.Xorpix.au (внутри - разновидность .at) (Касперский)
C:\WINDOWS\system32\vxgame3.exe - троян-дроппер Trojan-Downloader.Win32.Small.coy (Касперский)
C:\WINDOWS\system32\vxgame4.exe - троян-дроппер Trojan-Downloader.Win32.Small.dzd (Касперский)

C:\Documents and Settings\afterglow\Local Settings\Temp\00000727.tmp
C:\Documents and Settings\afterglow\Local Settings\Temporary Internet Files\Content.IE5\A3KJZOLS\00000753.tmp
C:\Documents and Settings\afterglow\Local Settings\Temp\snatch2.exe
эти три файла одинаковые Trojan-Spy.Win32.Goldun.ms (Касперский)

C:\WINDOWS\system32\se.exe.exe
C:\Documents and Settings\afterglow\Local Settings\Temporary Internet Files\Content.IE5\OZEV21M1\se[1].exe
эти два файла одинаковые, недетектируемые трояны для скачивания других троянов.

ждем логи сделанные после чистки заразы

Новые логи

уже гораздо лучше, осталось несколько хвостов.

пофиксить с помощью HijackThis:
O4 - HKCU\..\Run: [_mzu_stonedrv3] c:\windows\system32\_mzu_stonedrv3.exe
O4 - HKCU\..\Run: [taskdir] C:\WINDOWS\system32\taskdir.exe
O16 - DPF: {FAB8A8E6-219A-4C0A-AD91-BF4AB3947D6B} (SingleClient Class) - file://C:\DOCUME~1\AFTERG~1\LOCALS~1\Temp\aChat\achat_default-3.3.1.0.cab
O20 - Winlogon Notify: rpcc - C:\WINDOWS\system32\rpcc.dll (file missing)
O23 - Service: Command Service (cmdService) - Unknown owner - C:\WINDOWS\RGVuaXNvNGth\command.exe (file missing)

из "Менеджера расширений проводника" в AVZ удалить строки с упоминанием следующих файлов:
C:\WINDOWS\system32\oyethk32.dll
C:\WINDOWS\system32\guard.tmp
C:\WINDOWS\system32\svclient.dll
C:\WINDOWS\system32\scnike.dll
C:\WINDOWS\system32\izpromon.dll

из "Менеджера файла Hosts" в AVZ удалить все строки, кроме строки
127.0.0.1 localhost

удалить все файлы вида:
C:\Documents and Settings\afterglow\Local Settings\Temporary Internet Files\Content.IE5\A3KJZOLS\000007*.tmp

после этого перезагрузиться, сделать новые логи и прикрепить их к теме.

Ещё раз логи

В диспетчере служб и драйверов AVZ удалите строки ссылающиеся на файл C:\WINDOWS\RGVuaXNvNGth\command.exe

Что-то не нравится мне что у Вас каждый раз лечатся одни и те же архивы... Да и строки от Look2Me из реестра так и не удалились:
C:\WINDOWS\system32\oyethk32.dll
C:\WINDOWS\system32\guard.tmp
C:\WINDOWS\system32\svclient.dll
C:\WINDOWS\system32\scnike.dll
C:\WINDOWS\system32\izpromon.dll

а симптомы заражения какие-нибудь остались?

Строку, ссылавшуюся на файл С:\WINDOWS\RGVuaXNvNGth\command.exe убрал

А строки от Look2ME вообще удаляться оттуда не хотят - с них можно только галки убрать.

Видимых симптомов заражения не осталось, кроме 16килобайтных файлов *.exe в архивах *.rar.
Все *.exe, инфицированные Glowa, почистил из найденных AVZ архивов вручную, логи сделал уже после этого.

все выглядит чистым

Несмотря на это - Касперский опять находит вирусы :(
Сразу нашёл
С:\WINDOWS\system32\taskdir~.exe
и
C:\WINDOWS\system32\se.exe.exe

Дальше я его гонять не стал.

Всё-таки где-то что-то осталось?

вряд ли. видимо это резервные копии заразы, из которых они должны были восстанавливаться или распространяться. эти файлы можно спокойно удалить.

Отлично! Спасибо огромное! :)