Заражен ПК, Троян Clicker.Win32.Cycler заражен userini.exe.

Printable View

24.04.2010, 01:05
forever

Заражен ПК, Троян Clicker.Win32.Cycler заражен userini.exe.

Доброй ночи. Есть зараженный ПК, просьба помочь вылечить.
В начале просканировал антивирусом IKARUS, нашел порядка 350 инфицированных файлов (до этого стоял Avast), но IKARUS не все может удалить, если удалять вручную сразу появляется синий экран смерти.
После ребута поновой зараженный userini.exe загружается в процесы.

Далее просканировал AVZ. Логи привожу.
Заранее спасибо!
24.04.2010, 01:18
thyrex

Приготовтесь. Борьба будет длительной.

Выполните скрипт в AVZ
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
TerminateProcessByName('c:\program files\common files\yandex\yupdate\yupdate .exe');
TerminateProcessByName('c:\program files\internet explorer\wmpscfgs .exe');
TerminateProcessByName('c:\windows\system32\userini.exe');
QuarantineFile('c:\program files\internet explorer\wmpscfgs .exe','');
QuarantineFile('c:\program files\common files\yandex\yupdate\yupdate .exe','');
QuarantineFile('c:\windows\explorer.exe:userini.exe:$DATA','');
QuarantineFile('C:\WINDOWS\system32\megepudo.exe','');
QuarantineFile('C:\WINDOWS\system32\gavuku.exe','');
QuarantineFile('C:\WINDOWS\system32\cehoow.exe','');
QuarantineFile('C:\Documents and Settings\ЖЕНЯиДИМА\tgo.exe','');
QuarantineFile('C:\Documents and Settings\ЖЕНЯиДИМА\Application Data\gkewzr.exe','');
QuarantineFile('C:\Documents and Settings\LocalService\Application Data\Microsoft\megepudo.exe','');
QuarantineFile('C:\DOCUME~1\AD22~1\LOCALS~1\Temp\qumhyem.sys','');
QuarantineFile('C:\WINDOWS\system32\drivers\protect.sys','');
QuarantineFile('C:\DOCUME~1\AD22~1\LOCALS~1\Temp\bjwlj.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\kzvolixl.sys','');
QuarantineFile('C:\WINDOWS\system32\gyvy.exe','');
QuarantineFile('C:\WINDOWS\system32\jotourysib.exe','');
QuarantineFile('C:\WINDOWS\system32\licoofoucoo.exe','');
QuarantineFile('C:\WINDOWS\system32\app_dll.dll','');
QuarantineFile('c:\windows\system32\userini.exe','');
DeleteFile('c:\windows\system32\userini.exe');
DeleteFile('c:\program files\internet explorer\wmpscfgs .exe');
DeleteFile('c:\program files\common files\yandex\yupdate\yupdate .exe');
DeleteFile('C:\WINDOWS\system32\app_dll.dll');
DeleteFile('C:\WINDOWS\system32\licoofoucoo.exe');
DeleteFile('C:\WINDOWS\system32\jotourysib.exe');
DeleteFile('C:\WINDOWS\system32\gyvy.exe');
DeleteFile('C:\WINDOWS\System32\Drivers\kzvolixl.sys');
DeleteFile('C:\DOCUME~1\AD22~1\LOCALS~1\Temp\bjwlj.sys');
DeleteFile('C:\WINDOWS\system32\drivers\protect.sys');
DeleteFile('C:\WINDOWS\system32\megepudo.exe');
DeleteFile('c:\windows\explorer.exe:userini.exe:$DATA');
DeleteFile('C:\DOCUME~1\AD22~1\LOCALS~1\Temp\qumhyem.sys');
DeleteFile('C:\Documents and Settings\LocalService\Application Data\Microsoft\megepudo.exe');
DeleteFile('C:\Documents and Settings\ЖЕНЯиДИМА\Application Data\gkewzr.exe');
DeleteFile('C:\Documents and Settings\ЖЕНЯиДИМА\tgo.exe');
DeleteFile('C:\WINDOWS\system32\cehoow.exe');
DeleteFile('C:\WINDOWS\system32\gavuku.exe');
RegKeyParamDel('HKEY_USERS','.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run','louzovew');
RegKeyParamDel('HKEY_USERS','S-1-5-18\Software\Microsoft\Windows\CurrentVersion\Run','louzovew');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','MSConfig');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','jycyb');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','louzovew');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','hoofouzy');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','userini');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','userini');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','userini');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','userini');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Adobe_Reader');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Winlogon','Taskman');
DeleteService('protect');
DeleteService('usacnlx');
DeleteService('ooiztm');
DeleteService('kzvolixl');
DeleteService('uuyajlaryeycbll');
DeleteService('oyxaakeoyiv');
DeleteService('ju9dni7aiebuea');
DeleteFileMask('%windir%\Tasks', 'At*.job', true);
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
ExecuteRepair(13);
ExecuteRepair(17);
RebootWindows(true);
end. [/code]Компьютер перезагрузится.

Пришлите карантин согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

Сделайте новые логи + лог [URL="http://virusinfo.info/showpost.php?p=493610&postcount=1"]ComboFix[/URL]

P.S. [B]Продолжение завтра (точнее уже сегодня) утром или в обед[/B]
24.04.2010, 12:56
forever

Готов!

Спасибо за то что взялись за это не маленькое дело :).

Логи сделал.
Лог загрузки карантина:

[SIZE=2][U]Файл сохранён как[/U] [/SIZE][SIZE=2]100424_125331_virus_4bd2b18b87fb8.zip[/SIZE][SIZE=2]
[U]Размер файла[/U][/SIZE][SIZE=2] 299315[/SIZE][SIZE=2]
[U]MD5[/U][/SIZE][SIZE=2] c9afb05b2ddd12a3d98ffbe798bb9795[/SIZE][I]

Жду дальнейшей инструкции..[/I]
24.04.2010, 15:29
thyrex

Cycler не успел расплодиться ;)

В именах этих легитимных файлах вирус дописал лишние пробелы перед расширением. Удалите лишние пробелы
[code]<pre>
c:\program files\ATI Technologies\ATI.ACE\clistart .exe
c:\program files\Common Files\Yandex\Yupdate\yupdate .exe
c:\program files\IKARUS\virus.utilities\bin\guardxkickoff .exe
c:\program files\Messenger\msmsgs .exe
</pre>[/code]

Скопируйте текст ниже в блокнот и сохраните как файл с названием CFScript.txt на рабочий стол.
[code]KillAll::

File::
c:\program files\5161765.dat
c:\program files\50046.dat
c:\program files\220484.dat
c:\program files\22258437.dat
c:\program files\6948687.dat
c:\program files\4918578.dat
c:\program files\25123375.dat
c:\program files\350203.dat

Driver::

Folder::

Registry::
[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"Yupdate!"="c:\program files\common files\yandex\yupdate\yupdate.exe"

FileLook::

DirLook::[/code]
После сохранения переместите CFScript.txt на пиктограмму ComboFix.exe.
[IMG]http://i076.radikal.ru/1003/e5/554faea12baf.gif[/IMG]
Когда сохранится новый отчет ComboFix, запакуйте ComboFix.txt и прикрепите к сообщению.
24.04.2010, 18:33
forever

Это хорошо, что он не расплодился.:)
Все сделал. Лог от ComboFix привожу.
24.04.2010, 19:16
thyrex

Файлы C:\disable_Network.cmd и C:\enable_Network.cmd Вам известны?
25.04.2010, 00:12
forever

[QUOTE=thyrex;627326]Файлы C:\disable_Network.cmd и C:\enable_Network.cmd Вам известны?[/QUOTE]
Да, когда то создавал для удаленного отключения сети через консоль.
25.04.2010, 08:25
thyrex

Скопируйте, пожалуйста, папку [B]C:\Qoobox[/B] на другой диск (в другую папку), переименуйте, запакуйте с паролем [B]virus[/B] и пришлите на thyrex2002<at>tut.by (at=@) с указанной ссылкой на тему.

[URL="http://virusinfo.info/showpost.php?p=493610&postcount=1"]Удалите ComboFix[/URL]

Пофиксите в hijack
[CODE]F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe[/CODE]

Установите [url="http://www.microsoft.com/downloads/details.aspx?FamilyID=5b33b5a8-5e76-401f-be08-1e1555d4f3d4&displaylang=ru"]SP3[/url] (может потребоваться активация) + все новые патчи
Установите [url="http://www.microsoft.com/rus/windows/internet-explorer/default.aspx"]Internet Explorer 8[/url] (даже если им не пользуетесь)
25.04.2010, 12:52
forever

Сделано!

thyrex - Все сделал.
Qoobox - Отправил
По hijack - не делал так как в списке F2 нет.
ComboFix - удалил

Обновления сегодня поставлю.

В который раз, спасибо за помощь :beer:
26.04.2010, 12:52
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]10[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\documents and settings\женяидима\tgo.exe - [B]Trojan-Clicker.Win32.Cycler.ozk[/B] ( DrWEB: Win32.HLLC.Asdas.4, BitDefender: Trojan.Agent.APHU, AVAST4: Win32:Spambot-EL [Trj] )[*] c:\program files\common files\yandex\yupdate\yupdate .exe - [B]Trojan-Clicker.Win32.Cycler.ozk[/B] ( DrWEB: Win32.HLLC.Asdas.4, BitDefender: Trojan.Agent.APHU, AVAST4: Win32:Spambot-EL [Trj] )[*] c:\program files\internet explorer\wmpscfgs .exe - [B]Trojan-Clicker.Win32.Cycler.ozk[/B] ( DrWEB: Win32.HLLC.Asdas.4, BitDefender: Trojan.Agent.APHU, AVAST4: Win32:Spambot-EL [Trj] )[*] c:\windows\explorer.exe:userini.exe:$data - [B]Packed.Win32.Krap.gy[/B] ( DrWEB: Trojan.Packed.20025, AVAST4: Win32:Spambot-EL [Trj] )[*] c:\windows\system32\app_dll.dll - [B]Trojan.Win32.FraudPack.apul[/B] ( DrWEB: Trojan.Siggen.59885, BitDefender: Trojan.Generic.3602389, AVAST4: Win32:Spambot-EL [Trj] )[*] c:\windows\system32\cehoow.exe - [B]Trojan-Clicker.Win32.Cycler.ozk[/B] ( DrWEB: Win32.HLLC.Asdas.4, BitDefender: Trojan.Agent.APHU, AVAST4: Win32:Spambot-EL [Trj] )[*] c:\windows\system32\gavuku.exe - [B]Trojan-Clicker.Win32.Cycler.ozk[/B] ( DrWEB: Win32.HLLC.Asdas.4, BitDefender: Trojan.Agent.APHU, AVAST4: Win32:Spambot-EL [Trj] )[*] c:\windows\system32\megepudo.exe - [B]Trojan-Clicker.Win32.Cycler.ozk[/B] ( DrWEB: Win32.HLLC.Asdas.4, BitDefender: Trojan.Agent.APHU, AVAST4: Win32:Spambot-EL [Trj] )[*] c:\windows\system32\userini.exe - [B]Trojan.Win32.FraudPack.asww[/B] ( AVAST4: Win32:Spambot-EL [Trj] )[/LIST][/LIST]