при загрузке explorer сразу лезет в сеть.

Printable View

19.03.2007, 12:33
Николай

Вложений: 3

при загрузке explorer сразу лезет в сеть.

Здравствуйте. У меня такая проблема - при загрузке Винды - explorer сразу пытается вылезти в сеть... NOd 32 сразу перехватывает подключение, и указывает на следющее.
[url]hXXp://82.98.235.61/nauj/really.dll?uid=042F4534D3B611DB8F730015C55D3487&guid=4037cc8b+5E7CCF79718B4763962739EF0F575570[/url] Win32/BHO.G - троян - изолирован - Связь завершена
[url]hXXp://82.98.235.61/ms_s_2.dll?uid=042F4534D3B611DB8F730015C55D3487&guid=4037cc8b+5E7CCF79718B4763962739EF0F575570[/url] Win32/Spy.VBStat.J - троян изолирован - Связь завершена
C:\DOCUME~1\Nick\LOCALS~1\Temp\iujatidy.dll Win32/Adware.Virtumonde.HB - приложение - изолирован - удален. Событие в новом файле, созданном приложением C:\WINDOWS\Explorer.EXE. Файл был перемещен в карантин. Вы можете закрыть это окно.
C:\DOCUME~1\Nick\LOCALS~1\Temp\xemjpska.exe - Win32/Adware.Toolbar.SearchColours приложение изолирован - удален. Событие в новом файле, созданном приложением C:\WINDOWS\Explorer.EXE. Файл был перемещен в карантин. Вы можете закрыть это окно.

Подскажите, что можно сделать. Спсибо
19.03.2007, 12:38
drongo

[b]Перед выполнением скрипта нужно отключиться от интернета и отключить модуль резидентной защиты NOD, чтобы он не мешал. [/b]
[url=http://virusinfo.info/showthread.php?t=7239]AVZ Файл - Выполнить скрипт --Скопировать ниже написанный скрипт-- Запустить.[/url]
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\user32.exe','');
QuarantineFile('C:\PROGRA~1\LAUNCH~1\CPLBCL53.EXE','');
QuarantineFile('C:\WINDOWS\system32\wunauclt.exe','');
QuarantineFile('C:\WINDOWS\dr.exe','');
QuarantineFile('C:\WINDOWS\system32\appmgmts.dll','');
QuarantineFile('C:\WINDOWS\system32\xxywwwx.dll','');
QuarantineFile('C:\WINDOWS\system32\jkhhf.dll','');
CreateQurantineArchive(GetAVZDirectory+'virusinfo_8501_quarantine.zip');
RebootWindows(true);
end.
[/code]

[b]После перезагрузки NOD нужно включить! [/b]

Загрузите файл virusinfo_8501_quarantine.zip из каталога AVZ через форму [url]http://virusinfo.info/upload_virus.php[/url], указав ссылку на тему [url]http://virusinfo.info/showthread.php?t=8501[/url]
19.03.2007, 14:22
Макcим

[B]C:\WINDOWS\system32\wunauclt.exe[/B] - [B]P2P-Worm.Win32.Padonak.a[/B] (По Kaspersky)

C:\WINDOWS\system32\xxywwwx.dll- Trojan.Virtumod (Dr.Web)

[url]http://www.virustotal.com/vt/en/resultadof?3285609159dbdf491f7e080f89330741[/url]

C:\WINDOWS\system32\jkhhf.dll -Trojan.Virtumod (Dr.Web)

[url]http://www.virustotal.com/vt/en/resultadof?4cf64d3eecd669d90402f37a1f61cf5e[/url]

[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните[/URL] скрипт в AVZ
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\WINDOWS\system32\jkhhf.dll');
DeleteFile('C:\WINDOWS\system32\xxywwwx.dll');
DeleteFile('C:\WINDOWS\system32\wunauclt.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_LogFile(GetAVZDirectory + 'boot_clr.log');
BC_Activate;
RebootWindows(true);
end.[/CODE]
Повторите логи, а также добавьте файл 'bclr.log' из папки AVZ.
19.03.2007, 15:16
Николай

Вложений: 4

после выполнения скрипта...

после выполнения скрипта - всё по-прежнему лезет в и-нет при загрузке :?
19.03.2007, 15:25
Макcим

[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните[/URL] скрипт в AVZ
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\WINDOWS\system32\jkhhf.dll');
DeleteFile('C:\WINDOWS\system32\xxywwwx.dll');
BC_ImportDeletedList;
ExecuteSysClean;
BC_LogFile(GetAVZDirectory + 'boot_clr.log');
BC_Activate;
RebootWindows(true);
end.[/CODE]
После перезагрузки файл 'bclr.log' из папки AVZ прикрепите к следующему сообщению.
19.03.2007, 15:35
Николай

после выполнения последнего скрипта, пока в сетку не побежал.

после выполнения последнего скрипта, пока в сетку не побежал.:)
19.03.2007, 15:36
Николай

Вложений: 1

после выполнения последнего скрипта, пока в сетку не побежал.

после выполнения последнего скрипта, пока в сетку не побежал.
19.03.2007, 15:39
Макcим

Уверен что больше не побежит. Мы его прибили основательно :) Повторите ещё раз логи на всякий случай. А каким антивирусом Вы пользуетесь? Ещё хорошо файрвол бы поставить ;)
19.03.2007, 15:39
PavelA

Не так все гладко :)

в ControlPanel в Планировщике заданий посмотреть задания.
Интересует на какое время назначен их запуск. Скорее всего, их можно
удалить.

в AVZ поискать user32.exe и dr.exe. Если найдутся, то добавить в карантин и прислать согласно Правил.
Плюс wunauclt.exe
19.03.2007, 15:43
Николай

использую Nod32, Ad-Aware SE Personal и RemoveIT Pro XT2 - SE... спасибо за помощь и советы, но с фаерволом (это вроде был ОУТПОСТ) у меня сразу отношения не наладились ;-(. Но теперь учту.
Откуда взял не понятно, если в случае с klez4 сам виноват, то тут...иг знает.
еще раз спс.
19.03.2007, 15:49
Макcим

[B]PavelA[/B], Вы такой же не внимательный как и я.
[QUOTE]в AVZ поискать user32.exe и dr.exe. Если найдутся, то добавить в карантин и прислать согласно Правил.[/QUOTE]Уже сделанно - это чистые файлы. [B]wunauclt.exe[/B] - мы уже прибили :)

[B]Николай[/B], повторите ещё раз логи и удалите задания в планировщике.
19.03.2007, 16:32
Николай

Вложений: 3

очередная стадия борьбы :-E

explorer теперь в сеть не проситься.
повторил всё логи. К сожалению , задания удалил и на какое они были запланированы не посмотрел. :embarasse
еще залез в "менеджер автозапуска" в avz - там в WINLOGON по-прежнему висит, или может просто остался "горячо" знакомый xxywwwx.dll, но в system32 (где он покоился ранее) его нет.
можно его из "менеджер автозапуска" пофиксить?:)
19.03.2007, 16:46
Макcим

Пофиксите в hijackthis [CODE]O2 - BHO: (no name) - {C18872E2-D171-4527-A60D-029224B10FFB} - C:\WINDOWS\system32\xxywwwx.dll (file missing)
O2 - BHO: (no name) - {DAAA8F1C-5E5B-4FB8-9D30-7C5130B8803E} - C:\WINDOWS\system32\jkhhf.dll (file missing)
O20 - Winlogon Notify: jkhhf - C:\WINDOWS\
O20 - Winlogon Notify: jkhhf- - C:\WINDOWS\
O20 - Winlogon Notify: xxywwwx - xxywwwx.dll (file missing)
O20 - Winlogon Notify: xxywwwx- - xxywwwx.dll (file missing)
[/CODE]
Автозагрузку лучше не трогайте. Там можно пофиксить только xxywwwx.dll, если останется после hijackthis.
19.03.2007, 17:03
Николай

в hijackthis пофиксил, в avz следов тоже нету. Спасибо. Извините, что оторвал:)
19.03.2007, 17:09
Макcим

Вы можете нас отблагодарить [URL="http://www.virusinfo.info/showthread.php?t=3519"]так[/URL] Мы будем Вам очень благодарны!
22.02.2009, 01:40
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]8[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\windows\\system32\\jkhhf.dll - [B]not-a-virus:AdWare.Win32.Virtumonde.fl[/B] (DrWEB: Trojan.Virtumod)[*] c:\\windows\\system32\\wunauclt.exe - [B]P2P-Worm.Win32.Padonak.a[/B] (DrWEB: Trojan.AVKill.248)[*] c:\\windows\\system32\\xxywwwx.dll - [B]not-a-virus:AdWare.Win32.Virtumonde.hr[/B] (DrWEB: Trojan.Virtumod)[/LIST][/LIST]