Еще один зараженный комп

Printable View

14.04.2010, 15:47
Тарасов Сергей

Еще один зараженный комп

Что делает вирус
1. Изменяет файл хост.
2. Блокирует изменение настроек сетевого подключения
3. Модифицирует диспетчер задач
4. Мониторит сетку по 445 порту, инсталит свои копии на другие компьютеры локалки. Из тех, где стоит касперский - заражения ноль, из тех, где стоит trendmicro - 100% зараженность.
5. При подключении к компу флэшки сразу копирует туда autoran.inf и две папки "scan" и "driver"
Вирсу еще делает многое другое, перечислять долго, включая блокировку хайджека и авз(хорошо хоть переименование авз помогло, с hj так не получилось)

Собсно тоже что и в предыдущей теме, только с вариациями.
14.04.2010, 15:57
Шапельский Александр

Выполните скрипт
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\zowozoky.exe','');
QuarantineFile('C:\WINDOWS\system32\userini.exe','');
QuarantineFile('C:\Documents and Settings\NetworkService\jftgs.exe','');
QuarantineFile('C:\Documents and Settings\Latyshkova\gakd.exe','');
QuarantineFile('C:\Documents and Settings\Latyshkova\Application Data\szywo.exe','');
QuarantineFile('C:\Cookie.bat','');
QuarantineFile('C:\WINDOWS\System32\Drivers\xfdagnyv.sys','');
DeleteService('xfdagnyv');
QuarantineFile('C:\WINDOWS\System32\Drivers\xerbacpz.sys','');
DeleteService('xerbacpz');
QuarantineFile('C:\WINDOWS\System32\Drivers\vybppluf.sys','');
DeleteService('vybppluf');
QuarantineFile('C:\WINDOWS\System32\Drivers\utowkuiw.sys','');
DeleteService('utowkuiw');
QuarantineFile('C:\WINDOWS\System32\Drivers\ohbwnnag.sys','');
DeleteService('ohbwnnag');
QuarantineFile('C:\WINDOWS\System32\Drivers\ocqoqvls.sys','');
DeleteService('ocqoqvls');
QuarantineFile('C:\WINDOWS\System32\Drivers\mbusseff.sys','');
DeleteService('mbusseff');
QuarantineFile('C:\WINDOWS\System32\Drivers\djsewtua.sys','');
DeleteService('djsewtua');
QuarantineFile('c:\windows\system32\winupd01.exe','');
TerminateProcessByName('c:\windows\system32\winupd01.exe');
QuarantineFile('c:\windows\explorer.exe:userini.exe','');
TerminateProcessByName('c:\windows\explorer.exe:userini.exe');
DeleteFile('c:\windows\explorer.exe:userini.exe');
DeleteFile('c:\windows\system32\winupd01.exe');
DeleteFile('C:\WINDOWS\System32\Drivers\djsewtua.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\mbusseff.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\ocqoqvls.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\ohbwnnag.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\utowkuiw.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\vybppluf.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\xerbacpz.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\xfdagnyv.sys');
DeleteFile('C:\Cookie.bat');
DeleteFile('C:\Documents and Settings\Latyshkova\Application Data\szywo.exe');
DeleteFile('C:\Documents and Settings\Latyshkova\gakd.exe');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','MSConfig');
DeleteFile('C:\Documents and Settings\NetworkService\jftgs.exe');
RegKeyParamDel('HKEY_USERS','.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run','MSConfig');
RegKeyParamDel('HKEY_USERS','S-1-5-18\Software\Microsoft\Windows\CurrentVersion\Run','MSConfig');
DeleteFile('C:\WINDOWS\system32\userini.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','userini');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','userini');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','userini');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','userini');
DeleteFile('C:\WINDOWS\system32\zowozoky.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','voudammou');
BC_ImportAll;
ExecuteSysClean;
Executerepair(6);
Executerepair(11);
Executerepair(12);
Executerepair(17);
RegKeyIntParamWrite('HKLM', 'SOFTWARE\Microsoft\Windows\CurrentVersion\policies\NonEnum', '{BDEADF00-C265-11D0-BCED-00A0C90AB50F}', 1);
ExecuteWizard('TSW', 2, 2, true);
BC_Activate;
RebootWindows(true);
end.[/CODE]закачайте карантин по ссылке [B][COLOR=Red]Прислать запрошенный карантин[/COLOR][/B] в шапке Вашей темы (Приложение 3 правил).
Повторите действия, описанные в п. 1 - 3 Диагностики и новые логи прикрепите к новому сообщению.
14.04.2010, 16:53
Тарасов Сергей

Логи авз прикрепил.
14.04.2010, 16:56
Шапельский Александр

Лог Hijack пробовали сделать, если нет, пробуйте.
14.04.2010, 16:58
Тарасов Сергей

Пробовал, извините что не написал сразу. Не открывается. Точнее открывается но на процессе сканирования - вылетает.
14.04.2010, 17:00
Шапельский Александр

Выполните скрипт
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\$NtServicePackUninstall$\explorer.exe:userini.exe:$DATA','');
QuarantineFile('C:\System Volume Information\_restore{D4214EA3-7D0D-4B40-8703-6151EBBD56B7}\RP196\A0011676.exe:userini.exe:$DATA','');
QuarantineFile('C:\System Volume Information\_restore{D4214EA3-7D0D-4B40-8703-6151EBBD56B7}\RP196\A0014875.exe:userini.exe:$DATA','');
QuarantineFile('c:\windows\system32\winupd01.exe','');
TerminateProcessByName('c:\windows\system32\winupd01.exe');
DeleteFile('c:\windows\system32\winupd01.exe');
DeleteFile('C:\System Volume Information\_restore{D4214EA3-7D0D-4B40-8703-6151EBBD56B7}\RP196\A0014875.exe:userini.exe:$DATA');
DeleteFile('C:\System Volume Information\_restore{D4214EA3-7D0D-4B40-8703-6151EBBD56B7}\RP196\A0011676.exe:userini.exe:$DATA');
DeleteFile('C:\WINDOWS\$NtServicePackUninstall$\explorer.exe:userini.exe:$DATA');
BC_ImportAll;
ExecuteSysClean;
Executerepair(12);
Executerepair(13);
BC_Activate;
RebootWindows(true);
end.[/CODE]закачайте карантин по ссылке [B][COLOR=Red]Прислать запрошенный карантин[/COLOR][/B] в шапке Вашей темы (Приложение 3 правил).
Повторите действия, описанные в п. 1 - 3 Диагностики и новые логи прикрепите к новому сообщению.
14.04.2010, 17:18
Тарасов Сергей

Карантин загружен, логи прикреплены.
14.04.2010, 17:27
polword

Закройте все открытые приложения, кроме АVZ и Internet Explorer.
Отключите
- ПК от интернета/локалки
- Выгрузите антивирус и/или Файрвол
- Закройте все программы
- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/URL]
[CODE]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
TerminateProcessByName('c:\windows\system32\zowozoky.exe');
DeleteFile('c:\windows\system32\zowozoky.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','voudammou');
BC_ImportAll;
ExecuteSysClean;
ExecuteRepair(9);
BC_DeleteFile('c:\windows\system32\zowozoky.exe');
BC_Activate;
RebootWindows(true);
end.[/CODE]

После перезагрузки:
- Сделайте повторные логи по [URL="http://virusinfo.info/pravila_old.html"]правилам[/URL] п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip; hijackthis.log)
14.04.2010, 17:35
Тарасов Сергей

логи прикрепил.
14.04.2010, 17:39
Шапельский Александр

Выполните скрипт
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\zowozoky.exe','');
QuarantineFile('c:\windows\system32\vifoubequo.exe','');
TerminateProcessByName('c:\windows\system32\vifoubequo.exe');
DeleteService('zqlecfuuocg4kh');
DeleteFile('c:\windows\system32\vifoubequo.exe');
DeleteFile('C:\WINDOWS\system32\zowozoky.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','voudammou');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]закачайте карантин по ссылке [B][COLOR=Red]Прислать запрошенный карантин[/COLOR][/B] в шапке Вашей темы (Приложение 3 правил).
Сделайте новый лог virusinfo_syscheck.zip
14.04.2010, 17:47
Тарасов Сергей

Лог прикрепил, карантин тоже.
14.04.2010, 18:00
polword

- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/URL]
[CODE]
begin
ExecuteWizard('TSW', 2, 2, true);
RebootWindows(true);
end.[/CODE]

После перезагрузки:
- Сделайте повторныЙ лог virusinfo_syscheck.zip;
14.04.2010, 18:13
Тарасов Сергей

Лог прикрепил.
14.04.2010, 18:26
polword

тут чисто.

Делайте логи с других машин и в новые темы- будем лечить
14.04.2010, 18:30
Тарасов Сергей

Спасибо большое. Горящая машинка осталась пока одна, а вот завтра еще штук 10 нужно. Сейчас по горящей наклепаю логов. Тут закройте пожалуйста.
15.04.2010, 18:30
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]3[/B][*]Обработано файлов: [B]36[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\documents and settings\latyshkova\application data\szywo.exe - [B]Backdoor.Win32.EggDrop.aod[/B] ( DrWEB: Trojan.MulDrop.55658, BitDefender: Gen:Trojan.Heur.Hype.hGW@amU1HPp, AVAST4: Win32:Flot-E [Trj] )[*] c:\documents and settings\latyshkova\gakd.exe - [B]Trojan.Win32.Agent.droq[/B] ( DrWEB: BackDoor.Tofsee, BitDefender: Trojan.Generic.3626722, AVAST4: Win32:Malware-gen )[*] c:\documents and settings\networkservice\jftgs.exe - [B]Trojan.Win32.Agent.droq[/B] ( DrWEB: BackDoor.Tofsee, BitDefender: Trojan.Generic.3626722, AVAST4: Win32:Malware-gen )[*] c:\system volume information\_restore{d4214ea3-7d0d-4b40-8703-6151ebbd56b7}\rp196\a0011676.exe:userini.exe:$data - [B]Trojan-Dropper.Win32.Agent.bvsb[/B] ( DrWEB: Trojan.Spambot.6788, BitDefender: Trojan.Spammer.Tedroo.CD, AVAST4: Win32:Rootkit-gen [Rtk] )[*] c:\system volume information\_restore{d4214ea3-7d0d-4b40-8703-6151ebbd56b7}\rp196\a0014875.exe:userini.exe:$data - [B]Trojan-Dropper.Win32.Agent.bvsb[/B] ( DrWEB: Trojan.Spambot.6788, BitDefender: Trojan.Spammer.Tedroo.CD, AVAST4: Win32:Rootkit-gen [Rtk] )[*] c:\windows\$ntservicepackuninstall$\explorer.exe:userini.exe:$data - [B]Trojan-Dropper.Win32.Agent.bvsb[/B] ( DrWEB: Trojan.Spambot.6788, BitDefender: Trojan.Spammer.Tedroo.CD, AVAST4: Win32:Rootkit-gen [Rtk] )[*] c:\windows\system32\userini.exe - [B]Trojan-Dropper.Win32.Agent.bvsb[/B] ( DrWEB: Trojan.Spambot.6788, BitDefender: Trojan.Spammer.Tedroo.CD, AVAST4: Win32:Rootkit-gen [Rtk] )[*] c:\windows\system32\winupd01.exe - [B]Net-Worm.Win32.Kolab.hrr[/B] ( DrWEB: BackDoor.IRC.Bot.267, BitDefender: Trojan.Inject.VB.AM, AVAST4: Win32:Malware-gen )[*] c:\windows\system32\zowozoky.exe - [B]Trojan-Dropper.Win32.Vidro.am[/B] ( DrWEB: Trojan.Packed.19930, AVAST4: Win32:Crypt-GCF [Trj] )[*] f:\autorun.inf - [B]Trojan.Win32.AutoRun.afj[/B] ( NOD32: INF/Autorun.gen trojan )[*] f:\driver\drivers1.exe - [B]Backdoor.Win32.EggDrop.aod[/B] ( DrWEB: Trojan.MulDrop.55658, BitDefender: Gen:Trojan.Heur.Hype.hGW@amU1HPp, AVAST4: Win32:Flot-E [Trj] )[/LIST][/LIST]