Целый пакет зловредных вирусов!

Printable View

28.03.2010, 19:54
noonehome

Целый пакет зловредных вирусов!

Наблюдаются следующие проблемы:
1) слетает звук, причем именно стандартные виндовские микшеры
2) вылетает ошибка Generic Host Win32 processes
3) периодически начинают бешено генерироваться окна с какой ошибкой несуществующей программы, при этом диспетчер задач показывает множественный запуск процесса syre32
4) множество "левых" процессов: umdmgr.exe, syre32.exe, cidrive.exe, X.exe, где Х-число от 1 до 1000

Соответственно серьезно упала производительность машины. Антивирусы оказались бессильны. Помогите пожалуйста!
28.03.2010, 20:22
миднайт

Закройте/выгрузите все программы кроме AVZ и Internet Explorer.

- Отключите ПК от интернета/локалки
- Отключите Антивирус и Файрвол.
- Отключите Системное восстановление.

В AVZ выполните скрипт:

[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFileMask(GetAVZDirectory+'Quarantine', '*.*', true);
terminateprocessbyname('F:\WINDOWS\system32\umdmgr.exe');
QuarantineFile('F:\RECYCLER\S-1-5-21-8562727992-8274133030-328035668-9419\syscr.exe','');
QuarantineFile('F:\WINDOWS\system32\logon.scr','');
QuarantineFile('F:\System Volume Information\_restore{BC6241A9-BF3C-475E-94D7-56CD9D7E7FA3}\RP1\A0000029.scr','');
QuarantineFile('F:\WINDOWS\system32\umdmgr.exe','');
QuarantineFile('F:\WINDOWS\system32\syre32.exe','');
QuarantineFile('F:\WINDOWS\system32\msvmcls64.exe','');
QuarantineFile('F:\WINDOWS\system32\.exe','');
QuarantineFile('F:\WINDOWS\ndll.exe','');
QuarantineFile('F:\WINDOWS\jjdrive32.exe','');
QuarantineFile('F:\WINDOWS\cidrive32.exe','');
QuarantineFile('F:\RECYCLER\S-1-5-21-8562727992-8274133030-328035668-9419\syscr.exe','');
QuarantineFile('F:\RECYCLER\S-1-5-21-8256274527-0381162581-259373066-8863\wmfcgr.exe','');
QuarantineFile('F:\RECYCLER\S-1-5-21-4924529600-7314696115-643252364-0428\syscr.exe','');
QuarantineFile('F:\RECYCLER\S-1-5-21-0609913008-5857336788-697393397-2702\wmfcgr.exe','');
QuarantineFile('F:\RECYCLER\S-1-5-21-0609913008-5857336788-697393397-2702\wmfcgr.exe','');
QuarantineFile('C:\RECYCLER\S-1-5-21-0243936033-3052116371-381863308-1811\vsbntlo.exe','');
DeleteService('Nimb8xhmwm');
QuarantineFile('Nimb8xhmwm.sys','');
QuarantineFile('f:\windows\system32\wuauclt.exe','');
DeleteFile('Nimb8xhmwm.sys');
DeleteFile('C:\RECYCLER\S-1-5-21-0243936033-3052116371-381863308-1811\vsbntlo.exe');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','12CFG214-K641-12SF-N85P');
DeleteFile('F:\RECYCLER\S-1-5-21-0609913008-5857336788-697393397-2702\wmfcgr.exe');
DeleteFile('F:\RECYCLER\S-1-5-21-0609913008-5857336788-697393397-2702\wmfcgr.exe');
DeleteFile('F:\WINDOWS\cidrive32.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Microsoft Driver Setup');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','Microsoft Driver Setup');
DeleteFile('F:\WINDOWS\jjdrive32.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Microsoft Update Setup');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','Microsoft Update Setup');
DeleteFile('F:\WINDOWS\ndll.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','oo');
DeleteFile('F:\WINDOWS\system32\.exe');
DeleteFile('F:\WINDOWS\system32\msvmcls64.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','MS Virtual CLS');
DeleteFile('F:\WINDOWS\system32\syre32.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','syre32');
DeleteFile('F:\WINDOWS\system32\umdmgr.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','003');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','916');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','658');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','582');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','770');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','227');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','207');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','044');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','912');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','996');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','612');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','881');
DeleteFile('F:\System Volume Information\_restore{BC6241A9-BF3C-475E-94D7-56CD9D7E7FA3}\RP1\A0000029.scr');
DeleteFile('F:\RECYCLER\S-1-5-21-8562727992-8274133030-328035668-9419\syscr.exe');
DeleteFileMask('F:\RECYCLER', '*.*', true);
DeleteFileMask('C:\RECYCLER', '*.*', true);
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
ExecuteWizard('TSW',2,2,true);
ExecuteWizard('SCU',3,3,true);
RebootWindows(true);
end.
[/code]

После перезагрузки

[code]
begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.
[/code]

Пришлите карантин quarantine.zip по красной ссылке Прислать запрошенный карантин вверху темы
Логи повторите.
28.03.2010, 21:33
thyrex

+ к [B]миднайт[/B]

Такой лог сделайте [url]http://virusinfo.info/showpost.php?p=493610&postcount=1[/url]
31.03.2010, 13:01
noonehome

Карантин прислал, логи прилагаю

лог combofix пришлю чуть позже
31.03.2010, 13:23
noonehome

лог combofix

собственно
31.03.2010, 14:19
thyrex

F:\WINDOWS\system32\logon.scr замените чистым с дистрибутива [url]http://virusinfo.info/showthread.php?t=51654[/url]

Выполните скрипт в AVZ
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('F:\RECYCLER\S-1-5-21-0911685631-5193644208-367697053-9507\syscr.exe');
DeleteFile('F:\WINDOWS\cidrive32.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Microsoft Driver Setup');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','Microsoft Driver Setup');
RenameFile('%windir%\system32\wuauclt.exe', '%windir%\system32\wuauclt.bak');
CopyFile('%windir%\system32\dllcache\wuauclt.exe', '%windir%\system32\wuauclt.exe');
DeleteFile('%windir%\system32\wuauclt.bak');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Winlogon','Taskman');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end. [/code]Компьютер перезагрузится.

Сделайте новые логи
01.04.2010, 14:19
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]42[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] f:\recycler\s-1-5-21-0609913008-5857336788-697393397-2702\wmfcgr.exe - [B]Trojan.Win32.VBKrypt.ia[/B] ( DrWEB: Trojan.Inject.8502, BitDefender: Trojan.Generic.3600853, AVAST4: Win32:VB-OTY [Drp] )[*] f:\recycler\s-1-5-21-8562727992-8274133030-328035668-9419\syscr.exe - [B]P2P-Worm.Win32.Palevo.ytp[/B] ( DrWEB: Trojan.Inject.8500, AVAST4: Win32:VB-OTV [Drp] )[*] f:\windows\cidrive32.exe - [B]Net-Worm.Win32.Kolab.hms[/B] ( DrWEB: Trojan.MulDrop1.10519, AVAST4: Win32:Rootkit-gen [Rtk] )[*] f:\windows\system32\umdmgr.exe - [B]Trojan.Win32.VB.adqj[/B] ( DrWEB: Trojan.MulDrop1.10172, BitDefender: Gen:Heur.VB.Krypt.12, AVAST4: Win32:Malware-gen )[/LIST][/LIST]