Как вылечить и исправить ущерб? Trojan.Gigagen и Win32.HLLM.Beagle

Printable View

16.01.2007, 12:13
fraulein

Вложений: 3

Как вылечить и исправить ущерб? Trojan.Gigagen и Win32.HLLM.Beagle

Экзешники антивирусов тают при создании и копировании на глазах. Поставить ни один антивирь не дает. Из реестра пропал SafeBoot, WindowsUpdate ругается на отключенные службы, которые включены.
При сканированиии утилитой Dr.Web найдены
Trojan.Gigagen и Win32.HLLM.Beagle
Лечение не помогает, отлично реинкарнируются.

Как восстановить "безопасный режим" с помощью AVZ прочитала, правда, пока не пробовала. А вот что с остальным делать, ума не приложу. В панике. Резервных копий реестра и точек восстановления системы нет.
16.01.2007, 12:50
Зайцев Олег

У вас на компьютере завелся троян с руткит-маскировкой. Для борьбы с ним необходимо:
1. Выполнить скрипт AVZ (файл/выполнить скрипт - в открывшееся окно вставитьскрипт и нажать кнопку "Запустить":
[CODE]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
// Карантин файлов
QuarantineFile('C:\Documents and Settings\Andrej\Application Data\hidires\m_hook.sys','');
QuarantineFile('c:\windows\system32\hldrrr.exe','');
QuarantineFile('c:\windows\system32\wintems.exe','');
// Добавление в сценарий команды удаления драйвера hidires\m_hook.sys
BC_DeleteFile('\C:\Documents and Settings\Andrej\Application Data\hidires\m_hook.sys');
// Настройка протокола
BC_LogFile(GetAVZDirectory + 'boot_clr.log');
// Активация драйвера
BC_Activate;
// Перезагрузка
RebootWindows(true);
end.
[/CODE]
В ходе выполнения скрипта ПК уйдет на перезагрузку.
2. Пришлите согласно правилам файлы, которые попадут в карантин
16.01.2007, 17:13
fraulein

Архив выложила (не уверена на счет пароля, переархивировать вручную страшно, а программа не попросила присвоить).

Компу особо легче не стало, экзешники антивирусов продолжают пропадать. В каком месте реестра может быть это прописано и как это лечить? Третий день уже с ума схожу... :(
16.01.2007, 17:49
Numb

Из присланного
c:\windows\system32\wintems.exe - Email-Worm.Win32.Bagle.hg (по Касперскому)
C:\Documents and Settings\Andrej\Application Data\hidires\m_hook.sys - Trojan.Gigagen (По DrWeb)
c:\windows\system32\hldrrr.exe - Win32.HLLM.Beagle (по DrWeb)
Программа AVZ - файл - выполнить скрипт - выполните скрипт: [code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
BC_DeleteFile('c:\windows\system32\hldrrr.exe');
BC_DeleteFile('c:\windows\system32\wintems.exe');
BC_Activate;
RebootWindows(true);
end.[/code] Система будет перезагружена. После перезагрузки, выложите, пожалуйста, новые логи.
16.01.2007, 19:45
fraulein

Вложений: 3

После последнего скрипта запустила все с самого начала, начиная с утилиты Dr.Web
Найден Trojan.Gigagen, после перезагрузки появляется вновь. Экзешники так и пропадают.

В карантин попадает один файл. Его выслала.
А логи вот.
16.01.2007, 20:04
Numb

Остался один файл. Попробуйте так: AVZ-файл-выполнить скрипт - выполните следующий скрипт: [code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\Documents and Settings\Andrej\Application Data\hidires\m_hook.sys');
ExecuteSysClean;
RebootWindows(true);
end.[/code]
16.01.2007, 20:07
drongo

А если так попробовать :

[code]
begin
SetAVZGuardStatus(True);
SearchRootkit(true, true);
QuarantineFile('C:\Program Files\PTH Anti-Ban\change.exe','');
QuarantineFile('C:\Documents and Settings\Andrej\Local Settings\Temp\upd.exE','');
QuarantineFile('C:\PROGRA~1\2NDSPE~1\tts4ie.dll','');
QuarantineFile('C:\WINDOWS\system32\wintems.exe','');
QuarantineFile('C:\WINDOWS\system32\hldrrr.exe','');
QuarantineFile('\SystemRoot\system32\DRIVERS\splitcam.sys','');
QuarantineFile('C:\WINDOWS\system32\drivers\oreans32.sys','');
QuarantineFile('C:\Documents and Settings\Andrej\Application Data\hidires\m_hook.sys','');
QuarantineFile('\WINDOWS\system32\LOGOOS.EXE','');
QuarantineFile('c:\docume~1\andrej\locals~1\temp\rarsfx0\_start.exe','');
DeleteFile('C:\Documents and Settings\Andrej\Application Data\hidires\m_hook.sys');
DeleteFile('C:\WINDOWS\system32\hldrrr.exe');
DeleteFile('C:\Documents and Settings\Andrej\Local Settings\Temp\upd.exe');
ExecuteSysClean;
RebootWindows(true);
end.
[/code]

то , что в карантине соберётся прислать .
16.01.2007, 21:02
fraulein

После запуска скрипта от Numb карантин был пустой. После перезагрузки запустила скрипт от drongo, в карантин попало 7 файлов, архив выслала.
После перезапуска Dr.Web находит все ту же заразу в c:\documents and settings\andrej\application data\hidires\m_hook.sys
16.01.2007, 21:12
drongo

У меня такой план , сначала восстановить возможность загружаться в safe mode с помощью авз . Я вижу вы уже читали . Так флаг вам в руки :)
Затем в safe mode загрузиться и пролечиться с cure-it( поставить на удаление этой штуковины , когда найдёт. )
16.01.2007, 21:52
fraulein

Яхоу!!! (Тайный смысл аватарки мне теперь ясен)
Восстановила СейвБут, пролечила (нашелся тот самый сис и еще один экзешник в той же папке), удалила, перезагрузила - "вирусов не обнаружено", запускающие файлы Аваста и прочих антивирусов, (на которых теперь надежды никакой :) ) не пропадают. Мужчины, я вас люблю!
16.01.2007, 21:59
fraulein

Ах, да. Забыла... С П А С И Б О!
16.01.2007, 23:55
drongo

Bitte schön :)
Только, держать один антивирусный монитор в системе , иначе хуже будет .
Если возможно, поддерживайте нас [url]http://virusinfo.info/showthread.php?t=3519[/url]
[url]http://virusinfo.info/showthread.php?t=1739[/url]
22.02.2009, 01:35
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]3[/B][*]Обработано файлов: [B]11[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\documents and settings\\andrej\\application data\\hidires\\m_hook.sys - [B]Email-Worm.Win32.Bagle.gy[/B] (DrWEB: Trojan.Gigagen)[*] c:\\windows\\system32\\hldrrr.exe - [B]Trojan-Downloader.Win32.Bagle.bk[/B] (DrWEB: Win32.HLLM.Beagle)[*] c:\\windows\\system32\\wintems.exe - [B]Email-Worm.Win32.Bagle.hg[/B] (DrWEB: Win32.HLLM.Beagle)[/LIST][/LIST]