После удаления и перезагрузки вирус опять появляется

Printable View

07.04.2010, 17:43
Сантьяга

После удаления и перезагрузки вирус опять появляется

Здравствуйте!
Касперский находит у меня вирус HEUR.Trojan.Win32.Generic
CureIt находит Trojan.Packed.19845 в папке Documents and Settings\Admin\Local settings\Temp файл размножается с цифровым названием: например 435.exe 980.exe и т.п.
а еще Trojan.MulDrop1.11256 в Temporary Internet Files
После их удаления все нормально, но стоит перезагрузить компьютер они опять лезут.
Логи прилагаются
07.04.2010, 17:49
Никита Соловьев

Выполните скрипт в AVZ (AVZ, Меню Файл\Выполнить скрипт. [URL="http://virusinfo.info/showthread.php?t=7239"]Подробнее...[/URL]):
[code]
begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(true);
TerminateProcessByName('c:\windows\cidrive32.exe');
TerminateProcessByName('c:\docume~1\admin\locals~1\temp\066.exe');
QuarantineFile('C:\WINDOWS\system32\14.exe','');
DelBHO('{6B5863A0-C43F-4C0A-982B-CC0E9125783F}');
QuarantineFile('C:\Documents and Settings\Admin\Application Data\Microsoft\Internet Explorer\qstatsrv.dll','');
QuarantineFile('C:\WINDOWS\system32\msvmcls64.exe','');
QuarantineFile('C:\RECYCLER\S-1-5-21-8952429016-0788414204-724593319-4086\syscr.exe','');
QuarantineFile('c:\docume~1\admin\locals~1\temp\066.exe','');
QuarantineFile('C:\WINDOWS\cidrive32.exe','');
DeleteFile('C:\WINDOWS\cidrive32.exe');
DeleteFile('c:\docume~1\admin\locals~1\temp\066.exe');
DeleteFile('C:\RECYCLER\S-1-5-21-8952429016-0788414204-724593319-4086\syscr.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','Microsoft Driver Setup');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Microsoft Driver Setup');
DeleteFile('C:\WINDOWS\system32\msvmcls64.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','MS Virtual CLS');
DeleteFile('C:\Documents and Settings\Admin\Application Data\Microsoft\Internet Explorer\qstatsrv.dll');
DeleteFile('C:\WINDOWS\system32\14.exe');
DeleteFileMask('c:\docume~1\admin\locals~1\temp','*.*',true);
BC_ImportDeletedList;
ExecuteSysClean;
ExecuteWizard('TSW', 2, 2, true);
BC_Activate;
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
RebootWindows(true);
end.
[/code]
После выполнения скрипта компьютер перезагрузится.

Файл [B]quarantine.zip[/B] из папки AVZ загрузите по ссылке [B]прислать запрошенный карантин[/B] вверху темы.

Сделайте новые логи
07.04.2010, 20:23
Сантьяга

Сделал новые логи.Карантин отправил
07.04.2010, 21:39
thyrex

Выполните скрипт в AVZ
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
TerminateProcessByName('c:\docume~1\admin\locals~1\temp\557.exe');
QuarantineFile('C:\WINDOWS\system32\sobvmwb.dll','');
QuarantineFile('C:\WINDOWS\system32\78.exe','');
QuarantineFile('C:\WINDOWS\system32\x','');
QuarantineFile('C:\WINDOWS\system32\msvmcls64.exe','');
QuarantineFile('C:\RECYCLER\S-1-5-21-0319696928-3222612214-419385111-7102\syscr.exe','');
QuarantineFile('c:\docume~1\admin\locals~1\temp\557.exe','');
DeleteFile('c:\docume~1\admin\locals~1\temp\557.exe');
DeleteFile('C:\RECYCLER\S-1-5-21-0319696928-3222612214-419385111-7102\syscr.exe');
DeleteFile('C:\WINDOWS\system32\msvmcls64.exe');
DeleteFile('C:\WINDOWS\system32\x');
DeleteFile('C:\WINDOWS\system32\78.exe');
DeleteFile('C:\WINDOWS\system32\sobvmwb.dll');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','MS Virtual CLS');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Winlogon','Taskman');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end. [/code]Компьютер перезагрузится.

Пришлите карантин согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

Сделайте новые логи + лог [URL="http://virusinfo.info/showthread.php?t=40118"]gmer[/URL] + лог [URL="http://virusinfo.info/showpost.php?p=493610&postcount=1"]ComboFix[/URL]
08.04.2010, 19:01
Сантьяга

Все готово!
08.04.2010, 19:37
polword

Закройте все открытые приложения, кроме АVZ и Internet Explorer.
Отключите
- ПК от интернета/локалки
- Выгрузите антивирус и/или Файрвол
- Закройте все программы
- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/URL]
[CODE]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFileMask(GetAVZDirectory + 'Quarantine', '*.*', true);
QuarantineFile('C:\WINDOWS\system32\sobvmwb.dll','');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]

После перезагрузки:

Сохраните текст ниже как 1.bat в ту же папку, где находится yf2elj0w.exe (GMER) и запустите этот батник(1.bat):
[CODE]
yf2elj0w.exe -del service ytpdglyk
yf2elj0w.exe -del file "C:\WINDOWS\system32\sobvmwb.dll"
yf2elj0w.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\ytpdglyk\Parameters"
yf2elj0w.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\ytpdglyk"
yf2elj0w.exe -del reg "HKLM\SYSTEM\CurrentControlSet002\Services\ytpdglyk\Parameters"
yf2elj0w.exe -del reg "HKLM\SYSTEM\CurrentControlSet002\Services\ytpdglyk"
yf2elj0w.exe -reboot
[/CODE]
Компьютер перезагрузится

После перезагрузки:

- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/URL]
[CODE]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('logon.scr','');
QuarantineFile('C:\WINDOWS\System32\Drivers\sptd.sys','');
DeleteFile('C:\RECYCLER\S-1-5-21-6293463697-9101140980-566248946-5861\syscr.exe');
DeleteFile('C:\WINDOWS\cidrive32.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','Microsoft Driver Setup');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Microsoft Driver Setup');
DeleteFile('C:\WINDOWS\ndll.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','oo');
BC_ImportAll;
ExecuteSysClean;
ExecuteRepair(11);
BC_Activate;
RebootWindows(true);
end.[/CODE]

- выполните такой скрипт
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
- Файл [B][COLOR="Red"]quarantine.zip[/COLOR][/B] из папки AVZ загрузите по ссылке [B][COLOR="Red"]Прислать запрошенный карантин[/COLOR][/B] вверху темы
- Сделайте повторные логи по [URL="http://virusinfo.info/pravila_old.html"]правилам[/URL] п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip; hijackthis.log)

[size="1"][color="#666686"][B][I]Добавлено через 43 секунды[/I][/B][/color][/size]

- Сделайте новый лог [URL="http://virusinfo.info/showthread.php?t=40118"]Gmer[/URL]
08.04.2010, 23:00
thyrex

Дополнительно к советам [B]polword[/B]

Скопируйте текст ниже в блокнот и сохраните как файл с названием CFScript.txt на рабочий стол.
[code]KillAll::

File::
C:\WINDOWS\system32\Instmsv.exe

Driver::
eiovbpxai
yymgx
ytpdglyk
kojrfb

NetSvc::
eiovbpxai
yymgx
ytpdglyk
kojrfb

Folder::

Registry::
[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\GloballyOpenPorts\List]
"8151:TCP"=-

FileLook::

DirLook::[/code]
После сохранения переместите CFScript.txt на пиктограмму ComboFix.exe.
[IMG]http://i076.radikal.ru/1003/e5/554faea12baf.gif[/IMG]
Когда сохранится новый отчет [B]ComboFix.txt[/B], прикрепите его к сообщению.
09.04.2010, 14:21
Сантьяга

Указания выполнены:)
09.04.2010, 15:08
thyrex

Срочно нужно устанавливать все обновления, вышедшие после SP3

Скопируйте текст ниже в блокнот и сохраните как файл с названием CFScript.txt на рабочий стол.
[code]KillAll::

File::
c:\windows\ndll.exe
c:\windows\system32\sobvmwb.dll

Driver::
gzcbavzg

NetSvc::
gzcbavzg

Folder::

Registry::
[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\GloballyOpenPorts\List]
"8151:TCP"=-

FileLook::

DirLook::[/code]
После сохранения переместите CFScript.txt на пиктограмму ComboFix.exe.
[IMG]http://i076.radikal.ru/1003/e5/554faea12baf.gif[/IMG]
Когда сохранится новый отчет [B]ComboFix.txt[/B], прикрепите его к сообщению.
09.04.2010, 18:32
Сантьяга

Скачал обновления,устал их устанавливать:)Теперь стоят все до 1 апреля 2010 включительно.Новый лог сделал
09.04.2010, 22:47
thyrex

Чисто. Проблема решена?

[URL="http://virusinfo.info/showpost.php?p=500136&postcount=2"]Удалите ComboFix[/URL]
11.04.2010, 07:47
Сантьяга

Спасибо огромное!Вроде все в норме!
12.04.2010, 07:47
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]3[/B][*]Обработано файлов: [B]25[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\recycler\s-1-5-21-6293463697-9101140980-566248946-5861\syscr.exe - [B]P2P-Worm.Win32.Palevo.aary[/B] ( DrWEB: Trojan.DownLoad.35732, BitDefender: Trojan.Agent.VB.BIY, AVAST4: Win32:Malware-gen )[*] c:\recycler\s-1-5-21-8952429016-0788414204-724593319-4086\syscr.exe - [B]P2P-Worm.Win32.Palevo.aaos[/B] ( DrWEB: Trojan.MulDrop1.11256, BitDefender: Trojan.Agent.APED, AVAST4: Win32:Malware-gen )[*] c:\windows\cidrive32.exe - [B]HEUR:Trojan.Win32.Generic[/B] ( DrWEB: Trojan.MulDrop1.11256, AVAST4: Win32:Rootkit-gen [Rtk] )[*] c:\windows\cidrive32.exe - [B]Backdoor.Win32.IRCBot.opx[/B] ( DrWEB: Trojan.Packed.19901, BitDefender: Trojan.Agent.VB.BIY, AVAST4: Win32:Rootkit-gen [Rtk] )[*] c:\windows\ndll.exe - [B]Backdoor.Win32.IRCBot.opx[/B] ( DrWEB: Trojan.Packed.19901, BitDefender: Trojan.Agent.VB.BIY, AVAST4: Win32:Rootkit-gen [Rtk] )[*] c:\windows\system32\msvmcls64.exe - [B]Trojan.Win32.VBKrypt.iw[/B] ( DrWEB: Trojan.Packed.19845, BitDefender: Win32.Worm.Kolab.AV, AVAST4: Win32:Malware-gen )[*] c:\windows\system32\14.exe - [B]P2P-Worm.Win32.Palevo.aaos[/B] ( DrWEB: Trojan.MulDrop1.11256, BitDefender: Trojan.Agent.APED, AVAST4: Win32:Malware-gen )[/LIST][/LIST]