Подозрение на вирус - постоянные запросы к флоппи

Printable View

31.03.2010, 16:41
denis920

Подозрение на вирус - постоянные запросы к флоппи

Здравствуйте. Пару дней назад подключил флушку и антивирус (Avast) обнаружил вирус (авторан помойму) я его благополучно удалил. После начелись запросы к флоппи дисководу с интервалом 2-3 сек. Сканирование CureIt в безопасном режиме и Avastom при загрузке нечего не дали никакие вирусы не найдены. Но мне кажется вирус есть. Высылаю логи. Спасибо.

ЗЫ создался файл virusinfo_cure.zip размером 1 кб что с ним делать? Высылать нужно ?
31.03.2010, 16:55
V_Bond

выполните скрипт
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\drivers\ws2_32sik.sys','');
DeleteService('ws2_32sik');
DeleteFile('C:\WINDOWS\system32\drivers\ws2_32sik.sys');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
пришлите карантин согласно приложения 3 правил
повторите логи
31.03.2010, 17:22
denis920

Высылаю новые логи.

В AVZ- файл -> просмотр карантина ничего нет.

Создался файл virusinfo_cure.zip размером 1 кб Пробывал прислать через ссылку "Прислать запрошенный карантин" выскочило сообщение что уже загружен.

К флоппи запросы идут попрежнему
31.03.2010, 20:20
thyrex

Сделайте такой лог [url]http://virusinfo.info/showpost.php?p=457118&postcount=1[/url]
01.04.2010, 10:05
denis920

[QUOTE=thyrex;613620]Сделайте такой лог [url]http://virusinfo.info/showpost.php?p=457118&postcount=1[/url][/QUOTE]

Высылаю лог.
01.04.2010, 10:21
polword

1. удалите в MBAM
[CODE]
Зараженные ключи в реестре:
HKEY_CLASSES_ROOT\CLSID\{fffc57db-1de3-4303-b24d-cee6dcdd3d86} (Adware.MyCentria) -> No action taken.
HKEY_CLASSES_ROOT\CLSID\{1408e208-2ac1-42d3-9f10-78a5b36e05ac} (Trojan.BHO) -> No action taken.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Stats\{fffc57db-1de3-4303-b24d-cee6dcdd3d86} (Adware.MyCentria) -> No action taken.
HKEY_USERS\.DEFAULT\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\{19127ad2-394b-70f5-c650-b97867baa1f7} (Backdoor.Bot) -> No action taken.
HKEY_USERS\.DEFAULT\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\{43bf8cd1-c5d5-2230-7bb2-98f22c2b7dc6} (Backdoor.Bot) -> No action taken.
HKEY_USERS\S-1-5-18\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\{19127ad2-394b-70f5-c650-b97867baa1f7} (Backdoor.Bot) -> No action taken.
HKEY_USERS\S-1-5-18\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\{43bf8cd1-c5d5-2230-7bb2-98f22c2b7dc6} (Backdoor.Bot) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\MyCentria (Adware.MyCentria) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\regedit.Exe (Trojan.Agent) -> No action taken.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Bind (Malware.Trace) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\cmd.exe (Security.Hijack) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\msconfig.exe (Security.Hijack) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\regedt32.exe (Security.Hijack) -> No action taken.

Зараженные параметры в реестре:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\SharedDLLs\C:\WINDOWS\system32\vfp8rrus.dll (Malware.Packer.Gen) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Network\uid (Malware.Trace) -> No action taken.
[/CODE]
2.Закройте все открытые приложения, кроме АVZ и Internet Explorer.
Отключите
- ПК от интернета/локалки
- Выгрузите антивирус и/или Файрвол
- Закройте все программы
- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/URL]
[CODE]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFileMask(GetAVZDirectory + 'Quarantine', '*.*', true);
QuarantineFile('C:\Documents and Settings\Админ\Application Data\AD ON Multimedia\eBay Shortcuts\eBayShortcuts.exe','');
DeleteFile('C:\Documents and Settings\Админ\Application Data\AD ON Multimedia\eBay Shortcuts\eBayShortcuts.exe');
QuarantineFile('C:\WINDOWS\system32\vfp8rrus.dll','');
DeleteFile('C:\WINDOWS\system32\vfp8rrus.dll');
QuarantineFile('C:\WINDOWS\system32\twain32\local.ds','');
DeleteFile('C:\WINDOWS\system32\twain32\local.ds');
QuarantineFile('C:\WINDOWS\system32\twain32\user.ds','');
DeleteFile('C:\WINDOWS\system32\twain32\user.ds');
QuarantineFile('C:\xmp.bat','');
DeleteFile('C:\xmp.bat');
QuarantineFile('C:\WINDOWS\system32\drivers\str.sys','');
DeleteFile('C:\WINDOWS\system32\drivers\str.sys');
QuarantineFile('C:\WINDOWS\system32\shell31.dll','');
DeleteFile('C:\WINDOWS\system32\shell31.dll');
DeleteFileMask('C:\Program Files\MyCentria', '*.*', true);
DeleteDirectory('C:\Program Files\MyCentria');
DeleteFileMask('C:\WINDOWS\system32\twain32 ', '*.*', true);
DeleteDirectory('C:\WINDOWS\system32\twain32 ');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]

После перезагрузки:
- выполните такой скрипт
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
- Файл [B][COLOR="Red"]quarantine.zip[/COLOR][/B] из папки AVZ загрузите по ссылке [B][COLOR="Red"]Прислать запрошенный карантин[/COLOR][/B] вверху темы
- Сделайте повторные лог MBAM
01.04.2010, 11:20
denis920

- Карантин выслал

Результат загрузки Файл сохранён как 100401_111919_quarantine_4bb448f7e3c54.zip
Размер файла 452557
MD5 66506258f5a1124a533d85d62cf65d60

- Лог прикрепил
01.04.2010, 11:29
polword

удалите в MBAM
[CODE]
Зараженные папки:
C:\WINDOWS\system32\twain32 (Backdoor.Bot) -> No action taken.
[/CODE]
- Сделайте повторные лог MBAM
01.04.2010, 12:56
denis920

Высылаю новые логи к MBAM

В логах ничего нет. Но проблема не решена, запросы к флоппи продолжаются.
01.04.2010, 14:25
thyrex

Такой лог сделайте [url]http://virusinfo.info/showpost.php?p=493610&postcount=1[/url]
01.04.2010, 15:55
denis920

[QUOTE=thyrex;614097]Такой лог сделайте [url]http://virusinfo.info/showpost.php?p=493610&postcount=1[/url][/QUOTE]

Высылаю лог.

Во время сканирования ComboFix какой то процесс выдал ошибку и запросы к флоппи прекратились, но после перезагрузки опять начались.
01.04.2010, 16:06
thyrex

Выполните скрипт в AVZ
[code]begin
QuarantineFile('C:\Program Files\Common Files\DeviceHelper\DeviceManager.exe','');
end. [/code]

Пришлите карантин согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы
01.04.2010, 16:35
denis920

Карантин выслал по ссылке [U][B]Прислать запрошенный карантин[/B][/U]

Результат загрузкиФайл сохранён как 100401_163406_virus_4bb492bec1885.zip
Размер файла 14701
MD5 0a67b73b8ec6067512349e96ecb896c5

Файл закачан, спасибо!
01.04.2010, 16:40
V_Bond

отключите флоп в биос ...
01.04.2010, 16:51
denis920

[QUOTE=V_Bond;614179]отключите флоп в биос ...[/QUOTE]

Отключить можно, но он нужен для работы.

Кстати когда я нахожусь в режиме переключения :" Пользователь-Администратор " запросы к флоппу прекращаются!
01.04.2010, 16:54
thyrex

Файл чистый.

Попробуйте сделать так: отключите через [B]msconfig[/B] все лишнее в автозапуске, а потом включайте по одной программе и сравнивайте результат (после перезагрузки конечно). Может удастся отследить
01.04.2010, 16:55
V_Bond

отключите - перегрузитесь ... и можно снова включать
01.04.2010, 18:13
denis920

[QUOTE=V_Bond;614196]отключите - перегрузитесь ... и можно снова включать[/QUOTE]

Можно поподробнее как это сделать?

Зайти в биос ...

[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]

[QUOTE=thyrex;614193]Файл чистый.

Попробуйте сделать так: отключите через [B]msconfig[/B] все лишнее в автозапуске, а потом включайте по одной программе и сравнивайте результат (после перезагрузки конечно). Может удастся отследить[/QUOTE]

Сейчас буду пробовать

[size="1"][color="#666686"][B][I]Добавлено через 1 час 6 минут[/I][/B][/color][/size]

[QUOTE=thyrex;614193]Файл чистый.

Попробуйте сделать так: отключите через [B]msconfig[/B] все лишнее в автозапуске, а потом включайте по одной программе и сравнивайте результат (после перезагрузки конечно). Может удастся отследить[/QUOTE]

Ваш совет помог!

Не поверите в флопик стучался процесс svyaznoymodem.exe (или как то так точно название процесса я не запомнил). На него я даже и не думал.

Пару дней назад я устанавливал USB модем Связной 3G.

После его удаления флоп затих. Непонятно только зачем он туда "стучался". Может как то некорректно стали драйвера!

Проблема решена, тему можно закрывать! Всем спасибо!
02.04.2010, 10:19
thyrex

[URL="http://virusinfo.info/showpost.php?p=500136&postcount=2"]Удалите ComboFix[/URL]
03.04.2010, 10:19
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]20[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]