Помогите удалить Backdoor.Win32.Haxdoor.lq

Printable View

02.02.2007, 15:48
Ilia

Помогите удалить Backdoor.Win32.Haxdoor.lq

Я решил проверить свой PC KAV 6.0.2.614 предварительно скачав его с сайта Касперского, запустил и тут он как стал мне выкидывать:
Вот из журнала отчёт сканирования Касперского:
обнаружено: троянская программа Backdoor.Win32.Haxdoor.lq Файл: C:\WINDOWS\SYSTEM32\SVСHOST.EXE//FSG//PE_Patch.DotFix
обнаружено: троянская программа Backdoor.Win32.Haxdoor.lq Файл: c:\windows\system32\сsrss.exe//FSG//PE_Patch.DotFix
обнаружено: троянская программа Backdoor.Win32.Haxdoor.lq Файл: C:\WINDOWS\system32\winhlp32.dll//ASPack
обнаружено: троянская программа Backdoor.Win32.Haxdoor.lq Файл: C:\WINDOWS\system32\w32tm.dll//ASPack
обнаружено: троянская программа Backdoor.Win32.Haxdoor.lq Файл: C:\System Volume
Information\_restore{7729A365-E0A8-4763-A206-37299B7B7365}\RP1\A0000001.EXE//FSG//PE_Patch.DotFix
обнаружено: троянская программа Backdoor.Win32.Haxdoor.lq Файл: C:\System Volume
Information\_restore{7729A365-E0A8-4763-A206-37299B7B7365}\RP1\A0000002.EXE//FSG//PE_Patch.DotFix
обнаружено: троянская программа Backdoor.Win32.Haxdoor.lq Файл: C:\WINDOWS\system32\winhelp.ocx//FSG//PE_Patch.DotFix
обнаружено: троянская программа Backdoor.Win32.Haxdoor.lq Файл: C:\System Volume
Information\_restore{7729A365-E0A8-4763-A206-37299B7B7365}\RP1\A0000008.dll//ASPack
обнаружено: троянская программа Backdoor.Win32.Haxdoor.lq Файл: C:\System Volume
Information\_restore{7729A365-E0A8-4763-A206-37299B7B7365}\RP1\A0000009.ocx//FSG//PE_Patch.DotFix
обнаружено: троянская программа Backdoor.Win32.Haxdoor.lq Файл: C:\System Volume
Information\_restore{7729A365-E0A8-4763-A206-37299B7B7365}\RP1\A0000010.dll//ASPack
обнаружено: троянская программа Backdoor.Win32.Haxdoor.lq Файл: C:\Recycled\Dc13.exe//FSG//PE_Patch.DotFix
обнаружено: потенциально опасное ПО Invader (loader) Процесс: C:\WINDOWS\Explorer.EXE
обнаружено: потенциально опасное ПО Invader (loader) Процесс: D:\Program Files\FilterGate\filtergate.exe
Что мне делать сносить 6.0 (т.к. в версии 5.0 такого не было) заново, устанавливать обратно 5.0 или ставить заново ОС? Помогите, спасибо.:?
02.02.2007, 16:01
Geser

Выполните скрипт

[CODE]begin
SearchRootkit(true, true);
QuarantineFile('C:\WINDOWS\System32\Drivers\Sfloppy.SYS','');
RebootWindows(true);
end.[/CODE]

После перегрузки пришлите карантин как указано в правилах
02.02.2007, 17:20
Ilia

Вложений: 3

Не удаляется Backdoor.Win32.Haxdoor.lq

Я всё сделал и как Вы написали и скрипт установил, а всё рвно KAV 6.0 визжит и находит вирусы и предлагает удалить эти файлы т.к. лечение невозможно и вот файлы после работы со скриптом. Но как мне кажется, AVZ4 их не может распознать т.к. они появились совсем недавно т.е. на сайте Касперского написано, что он появился 19.01.2007г. [COLOR=#000000][FONT='Courier New'][FONT=Verdana]Backdoor.Win32.Haxdoor.lq и написано, что описания его нет![/FONT][/FONT][/COLOR]
[COLOR=#000000][FONT='Courier New'][FONT=Verdana]А может я не прав, я просто не знаю что и делать.:'-( [/FONT][/FONT][/COLOR]
02.02.2007, 17:26
Зайцев Олег

[QUOTE=Ilia;94049]Я всё сделал и как Вы написали и скрипт установил, а всё рвно KAV 6.0 визжит и находит вирусы и предлагает удалить эти файлы т.к. лечение невозможно и вот файлы после работы со скриптом. Но как мне кажется, AVZ4 их не может распознать т.к. они появились совсем недавно т.е. на сайте Касперского написано, что он появился 19.01.2007г. [COLOR=#000000][FONT='Courier New'][FONT=Verdana]Backdoor.Win32.Haxdoor.lq и написано, что описания его нет![/FONT][/FONT][/COLOR]
[COLOR=#000000][FONT='Courier New'][FONT=Verdana]А может я не прав, я просто не знаю что и делать.:'-( [/FONT][/FONT][/COLOR][/QUOTE]
Так в чем проблема ? Нужно для начала разрешить KAV удалить все файлы, которые он находит (это Backdoor/Trojan - т.е. лечить там нечего, лечение сводится к уничтожению принадлежащих зловреду файлов - KAV в этом случае как раз и говорит "лечение невозможно, удалить"). Тем более судя по логу часть файлов находятся в папке восстановления системы. Но еще лучше - для начала прислать файлы, на которые ругается KAV, согласно правилам - для проверки, зловред это или ложное срабатывание
02.02.2007, 18:05
Ilia

[quote=Зайцев Олег;94051]Так в чем проблема ? Нужно для начала разрешить KAV удалить все файлы, которые он находит (это Backdoor/Trojan - т.е. лечить там нечего, лечение сводится к уничтожению принадлежащих зловреду файлов - KAV в этом случае как раз и говорит "лечение невозможно, удалить"). Тем более судя по логу часть файлов находятся в папке восстановления системы. Но еще лучше - для начала прислать файлы, на которые ругается KAV, согласно правилам - для проверки, зловред это или ложное срабатывание[/quote]
Как я могу позволить удалить т.к. там к примеру есть хорошие программы и приложения (см. выше.) и вдруг вообще РС работать не будет так лучше просто сначала тщательно всё проверить.
А вот файлы которые якобы зараженные:
[SIZE=1][FONT=Courier New]обнаружено: троянская программа Backdoor.Win32.Haxdoor.lq Файл: C:\windows\system32\сsrss.exe//FSG//PE_Patch.DotFix[/FONT][/SIZE]
[SIZE=1][FONT=Courier New]обнаружено: троянская программа Backdoor.Win32.Haxdoor.lq Файл: C:\windows\system32\svсhost.exe//FSG//PE_Patch.DotFix[/FONT][/SIZE]
[SIZE=1][FONT=Courier New]обнаружено: троянская программа Backdoor.Win32.Haxdoor.lq Файл: C:\WINDOWS\System32\winhlp32.dll//ASPack[/FONT][/SIZE]
[SIZE=1][FONT=Courier New]обнаружено: троянская программа Backdoor.Win32.Haxdoor.lq Файл: C:\WINDOWS\System32\winhelp.ocx//FSG//PE_Patch.DotFix[/FONT][/SIZE]
[FONT=Courier New][SIZE=1]обнаружено: троянская программа Backdoor.Win32.Haxdoor.lq Файл: C:\WINDOWS\System32\w32tm.dll//ASPack[/SIZE][/FONT]
02.02.2007, 18:14
Geser

Написано же русским языком. Троян, нужно удалить. На каком языке Вы хотите что бы Вам объяснили?
02.02.2007, 18:26
Ilia

[quote=Geser;94059]Написано же русским языком. Троян, нужно удалить. На каком языке Вы хотите что бы Вам объяснили?[/quote]
Он меня просил ещё прислать файлы и я их прислал и вот жду, что Вы скажите т.к. KAV 6.0 говорит, что они заражены, а их проверяли на другом PC и там они здоровые и нормальные, вот поэтому я и жду, что бы мне сказали удалять их или нет т.к. KAV 6.0 ругался и на Explorer.exe и др.:?
02.02.2007, 18:29
Geser

Во первых - логи прикрепляют к теме, а зараженные файлы посылают через отдельную форму, и это описано в правилах.
Во вторых, просили прислать файлы из карантина АВЗ, а не то что Вы прислали.
В третьих, если КАВ написал что троян, значит троян и удалять. Темболее что файлы ваши я проверил, и это трояны на 100%
02.02.2007, 18:46
Ilia

[quote=Geser;94065]Во первых - логи прикрепляют к теме, а зараженные файлы посылают через отдельную форму, и это описано в правилах.
Во вторых, просили прислать файлы из карантина АВЗ, а не то что Вы прислали.
В третьих, если КАВ написал что троян, значит троян и удалять. Темболее что файлы ваши я проверил, и это трояны на 100%[/quote]
Я просто был не внимателен и теперь отсылаю как Вы просили этот файл из AVZ4 , а затем буду с помощью KAV 6.0 удалять файлы трояна. Спасибо.
02.02.2007, 18:51
Geser

Скрипт который я написал был выполнен?
02.02.2007, 19:05
Зайцев Олег

[QUOTE=Ilia;94069]Я просто был не внимателен и теперь отсылаю как Вы просили этот файл из AVZ4 , а затем буду с помощью KAV 6.0 удалять файлы трояна. Спасибо.[/QUOTE]
Пришел файл CatchOp.dll - он чистый, от Reget. Я понял, в чем заковыка ... пришлите согласно правилам файлы:
C:\windows\system32\сsrss.exe
C:\windows\system32\svсhost.exe
C:\WINDOWS\System32\winhlp32.dll
C:\WINDOWS\System32\winhelp.ocx
C:\WINDOWS\System32\w32tm.dll
При это обязательно [B]обратите внимание[/B] на то, что в файле [B]с[/B]srss.exe первая буква русская ! Аналогично в файле sv[B]с[/B]host.exe - там русская третья буква. Т.е. визуально эти имена похожи на имена системных объектов, но это только визуально. Карантин файлов я советую сделать скриптом:
[CODE]
begin
SearchRootkit(true, true);
QuarantineFile('C:\windows\system32\сsrss.exe,'');
QuarantineFile('C:\windows\system32\svсhost.exe','');
QuarantineFile('C:\WINDOWS\System32\winhlp32.dll','');
QuarantineFile('C:\WINDOWS\System32\winhelp.ocx','');
QuarantineFile('C:\WINDOWS\System32\w32tm.dll','');
RebootWindows(true);
end.
[/CODE]
02.02.2007, 22:43
Ilia

[quote=Зайцев Олег;94080]Пришел файл CatchOp.dll - он чистый, от Reget. Я понял, в чем заковыка ... пришлите согласно правилам файлы:[/quote]
Уже видимо поздно т.к. я как Вы мне сказали удалил все эти файлы с помощью KAV 6.0 и вроде бы перестал визжать и PC работает. Поэтому скажите нужно ли мне всё таки по ним пройтись ещё Вашим скриптом?! Спасибо.:)
P.S.
Я хотел всё же выполнить Ваш скрипт через AVZ4, но он мне сказал, что не может выполнить т.к. синтаксис не позволяет!
05.02.2007, 10:03
Ilia

[B]Зайцев Олег[/B]
[B]Geser[/B]
Большое Вам спасибо, хотя я не смог выполнить последний ваш скрипт, но как мне кажется я его [I]удалил с помощью первого скрипта и KAV 6.0[/I], ещё раз Спасибо!!!
05.02.2007, 13:29
pig

Сделайте новые логи. Посмотрим, кажется или на самом деле.
05.02.2007, 16:35
Ilia

Вложений: 3

[B]Зайцев Олег[/B]
[quote]При это обязательно обратите внимание на то, что в файле сsrss.exe первая буква русская ! Аналогично в файле svсhost.exe - там русская третья буква. Т.е. визуально эти имена похожи на имена системных объектов, но это только визуально. Карантин файлов я советую сделать скриптом:

Код:
begin
SearchRootkit(true, true);
QuarantineFile('C:\windows\system32\сsrss.exe,'');
QuarantineFile('C:\windows\system32\svсhost.exe','');
QuarantineFile('C:\WINDOWS\System32\winhlp32.dll','');
QuarantineFile('C:\WINDOWS\System32\winhelp.ocx','');
QuarantineFile('C:\WINDOWS\System32\w32tm.dll','');
RebootWindows(true);
end.[/quote]
Извините, но мне кажется, что в Вашем скрипте пропущен знак (') т.е. фраза должна быть наверное такой:
[B]QuarantineFile('C:\windows\system32\сsrss.exe','');[/B] и видимо поэтому AVZ4 не смог его выполнить?
[B]pig[/B]
[quote]Сделайте новые логи. Посмотрим, кажется или на самом деле.[/quote]
Вот мои новые логи. Спасибо.
P.S.
Я с помощью KAV 6.0 удалил зараженные файлы, а потом везде во всех отчётах KAV 6.0 от них очистил информацию, но при перезапуске PC они вновь появились в "Резервном хранилище", а зачем они вообще нужны можно ли их вообще удалить с PC?

[QUOTE]"Резервное хранилище"
Заражен: троянская программа Backdoor.Win32.Haxdoor.lq c:\windows\system32\svсhost.exe 35.2 КБ
Заражен: троянская программа Backdoor.Win32.Haxdoor.lq c:\windows\system32\сsrss.exe 64.7 КБ
Заражен: троянская программа Backdoor.Win32.Haxdoor.lq c:\windows\system32\winhlp32.dll 30.5 КБ
Заражен: троянская программа Backdoor.Win32.Haxdoor.lq c:\windows\system32\winhelp.ocx 64.7 КБ
Заражен: троянская программа Backdoor.Win32.Haxdoor.lq c:\windows\system32\w32tm.dll 57 КБ
Заражен: троянская программа Backdoor.Win32.Haxdoor.lq c:\system volume information\_restore{7729a365-e0a8-4763-a206-37299b7b7365}\rp1\a0000010.exe 35.2 КБ
Заражен: троянская программа Backdoor.Win32.Haxdoor.lq c:\system volume information\_restore{7729a365-e0a8-4763-a206-37299b7b7365}\rp1\a0000011.exe 64.7 КБ
Заражен: троянская программа Backdoor.Win32.Haxdoor.lq c:\system volume information\_restore{7729a365-e0a8-4763-a206-37299b7b7365}\rp1\a0000023.dll 30.5 КБ
Заражен: троянская программа Backdoor.Win32.Haxdoor.lq c:\system volume information\_restore{7729a365-e0a8-4763-a206-37299b7b7365}\rp1\a0000024.ocx 64.7 КБ
Заражен: троянская программа Backdoor.Win32.Haxdoor.lq c:\system volume information\_restore{7729a365-e0a8-4763-a206-37299b7b7365}\rp1\a0000025.dll 57 КБ
Заражен: троянская программа Backdoor.Win32.Haxdoor.lq d:\recycled\dd9.exe 64.7 КБ
Заражен: троянская программа Backdoor.Win32.Haxdoor.lq d:\recycled\dd10.exe 35.2 КБ
Заражен: троянская программа Backdoor.Win32.Haxdoor.lq d:\recycled\dd11.dll 30.5 КБ
Заражен: троянская программа Backdoor.Win32.Haxdoor.lq d:\recycled\dd12.ocx 64.7 КБ
Заражен: троянская программа Backdoor.Win32.Haxdoor.lq d:\recycled\dd13.dll 57 КБ[/QUOTE]
И ещё почему-то у меня KAV 6.0 до сих пор пишет в отчётах, что
Процесс C:\WINDOWS\Explorer.EXE, обнаружено: потенциально опасное ПО 'Invader (loader)' (модификация).
Процесс D:\Program Files\FilterGate\filtergate.exe, обнаружено: потенциально опасное ПО 'Invader (loader)' (модификация).
Что мне с ними делать и как можно проверить их т.к. KAV 6.0 на них не визжит, но в отчётах их постоянно пишет, разделы "лечить" "удалить" не высвечиваются, а есть в меню пункт "добавить в доверенную зону .."? Спасибо.::?
05.02.2007, 17:13
Geser

Вот этот файл пришлите
C:\WINDOWS\System32\Drivers\Sfloppy.SYS
05.02.2007, 17:34
Ilia

[B]Geser[/B]
[quote]Вот этот файл пришлите
C:\WINDOWS\System32\Drivers\Sfloppy.SYS [/quote]
Вот этот файл , спасибо.
22.02.2009, 01:37
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]1[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]