monoca32.exe

Printable View

24.08.2010, 15:43
kage123

monoca32.exe

Нод блокирует попытки подключения к discountprowatch.com, svchost.exe сжирает 50% CPU, половина программ стала отнимать раз в десять больше оперативки, чем обычно. Просканировал Нодом, AVPTool и Dr. Web CureIt! — ничего.
Погуглив, пришел в выводу, что дело в monoca32.exe, которая появилась в автозагрузке. Я ее оттуда удалил и провел диагностику.
24.08.2010, 15:49
polword

1. Скачайте "[B]OSAM[/B]" Online Solutions Autorun Manager [URL="http://www2.online-solutions.ru/ru/download_file.php?p=65580"]тут[/URL]. В меню драйверов правой кнопкой по [B]gxzht[/B] и выберите "[B]Turn Run Off[/B]". Перезагрузку подтвердите.

2. [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/URL] [B][COLOR="Blue"]в безопасном режиме[/COLOR][/B]
[CODE]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
RegKeyStrParamWrite('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon','UserInit', GetEnvironmentVariable ('WinDir')+'\System32\userinit.exe,');
QuarantineFile('C:\Program Files\Internet Explorer\setupapi.dll','');
QuarantineFile('C:\WINDOWS\system32\atrac3.acm','');
QuarantineFile('C:\WINDOWS\system32\cb4adb13.exe','');
QuarantineFile('C:\Documents and Settings\KYO\Главное меню\Программы\Автозагрузка\monoca32.exe','');
QuarantineFile('C:\WINDOWS\System32\Drivers\gxzht.SYS','');
DeleteFile('C:\WINDOWS\System32\Drivers\gxzht.SYS');
DeleteFile('C:\Documents and Settings\KYO\Главное меню\Программы\Автозагрузка\monoca32.exe');
DeleteFile('C:\WINDOWS\system32\cb4adb13.exe');
DeleteFile('C:\Program Files\Internet Explorer\setupapi.dll');
QuarantineFile('%windir%\system32\Drivers\sfc.SYS','');
QuarantineFile('%windir%\system32\sfcfiles.dll','');
QuarantineFile('%windir%\system32\mssfc.dll','');
DeleteFile('%windir%\system32\drivers\sfc.sys');
DeleteFile('%windir%\system32\mssfc.dll');
RenameFile('%windir%\system32\sfcfiles.dll', '%windir%\system32\sfcfiles.bak');
if FileExists ('%windir%\system32\dllcache\sfcfiles.dll') then
begin
if CheckFile('%windir%\system32\dllcache\sfcfiles.dll')=3 then
begin
CopyFile('%windir%\system32\dllcache\sfcfiles.dll','%windir%\system32\sfcfiles.dll');
AddToLog('Замена sfcfiles.dll успешно произведена из кеша');
SaveLog('sfcfiles.log');
end
else
begin
AddToLog('файл sfcfiles.dll в кеше не прошел по базе безопасных');
SaveLog('sfcfiles.log');
if FileExists ('%windir%\ServicePackFiles\i386\sfcfiles.dll') then
begin
if CheckFile('%windir%\ServicePackFiles\i386\sfcfiles.dll')=3 then
begin
CopyFile('%windir%\ServicePackFiles\i386\dllcache\sfcfiles.dll','%windir%\system32\sfcfiles.dll');
AddToLog('Замена sfcfiles.dll успешно произведена из i386');
SaveLog('sfcfiles.log');
end
else
begin
AddToLog('файл sfcfiles.dll в i386 не прошел по базе безопасных');
SaveLog('sfcfiles.log');
end;
end
else
begin
AddToLog('Файл sfcfiles.dll отсутствует в i386');
SaveLog('sfcfiles.log');
end;
end;
end
else
begin
AddToLog('Файл sfcfiles.dll отсутствует в кеше');
SaveLog('sfcfiles.log');
if FileExists ('%windir%\ServicePackFiles\i386\sfcfiles.dll') then
begin
if CheckFile('%windir%\ServicePackFiles\i386\sfcfiles.dll')=3 then
begin
CopyFile('%windir%\ServicePackFiles\i386\dllcache\sfcfiles.dll','%windir%\system32\sfcfiles.dll');
AddToLog('Замена sfcfiles.dll успешно произведена из i386');
SaveLog('sfcfiles.log');
end
else
begin
AddToLog('файл sfcfiles.dll в i386 не прошел по базе безопасных');
SaveLog('sfcfiles.log');
end;
end
else
begin
AddToLog('Файл sfcfiles.dll отсутствует в i386');
SaveLog('sfcfiles.log');
end;
end;
DeleteFile('%windir%\system32\sfcfiles.bak');
BC_ImportALL;
ExecuteSysClean;
BC_DeleteFile('%windir%\System32\sfcfiles.bak');
BC_DeleteSvc('sfc');
ExecuteWizard('TSW', 2, 2, true);
ExecuteWizard('SCU', 2, 2, true);
RegKeyIntParamWrite('HKLM','SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer','NoDriveTypeAutoRun',221);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1001', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
BC_Activate;
RebootWindows(true);
end.[/CODE]

После перезагрузки:
- выполните такой скрипт
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
- Файл [B][COLOR="Red"]quarantine.zip[/COLOR][/B] из папки AVZ загрузите по ссылке [B][COLOR="Red"]Прислать запрошенный карантин[/COLOR][/B] вверху темы
- Сделайте повторные логи по [URL="http://virusinfo.info/pravila_old.html"]правилам[/URL] п.2 и 3 раздела Диагностика.([COLOR="Blue"][B]virusinfo_syscheck.zip[/B]; [B]hijackthis.log[/B][/COLOR])
- Скачайте [B]RSIT[/B] [URL="http://images.malwareremoval.com/random/RSIT.exe"]тут[/URL]. Запустите, выберите проверку файлов за последние три месяца и нажмите продолжить. Должны открыться два отчета [COLOR="Blue"][B]log.txt[/B][/COLOR] и [COLOR="Blue"][B]info.txt[/B][/COLOR]. Прикрепите их к следующему сообщению. Если вы их закрыли, то логи по умолчанию сохраняются в одноименной папке (RSIT) в корне системного диска.
24.08.2010, 17:15
kage123

Все сделал.
24.08.2010, 17:33
PavelA

O4 - HKLM\..\Run: [Автоподключение] rasdial *** **** **** - вот это знает что такое?
24.08.2010, 17:47
kage123

[QUOTE=PavelA;694261]O4 - HKLM\..\Run: [Автоподключение] rasdial *** **** **** - вот это знает что такое?[/QUOTE]

Автоподкючалка к VPN, название подключения, логин и пароль. Лучше сотрите :)
24.08.2010, 17:49
PavelA

Профиксите эту строчку.
Через ОСАМ найдите о отключите:
xjjuuhu
24.08.2010, 18:02
kage123

[QUOTE=PavelA;694272]Профиксите эту строчку.
Через ОСАМ найдите о отключите:
xjjuuhu[/QUOTE]

Ничего такого там нет.
24.08.2010, 20:36
polword

- файл [B]sfcfiles.log[/B] прикрепите к сообщению

- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/URL]
[CODE]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFileMask(GetAVZDirectory + 'Quarantine', '*.*', true);
DeleteService('xjjuuhu');
QuarantineFile('C:\WINDOWS\system32\Drivers\xjjuuhu.sys','');
DeleteFile('C:\WINDOWS\system32\Drivers\xjjuuhu.sys');
RegKeyDel('HKLM', 'software\microsoft\shared tools\msconfig\startupfolder\C:^Documents and Settings^KYO^Главное меню^Программы^Автозагрузка^monoca32.exe');
BC_ImportAll;
ExecuteSysClean;
BC_DeleteSvc('xjjuuhu');
BC_DeleteFile('C:\WINDOWS\system32\Drivers\xjjuuhu.sys');
BC_Activate;
RebootWindows(true);
end.[/CODE]

После перезагрузки:
- выполните такой скрипт
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
- Файл [B][COLOR="Red"]quarantine.zip[/COLOR][/B] из папки AVZ загрузите по ссылке [B][COLOR="Red"]Прислать запрошенный карантин[/COLOR][/B] вверху темы
- Сделайте повторный лог [B]virusinfo_syscheck.zip[/B];
25.08.2010, 08:11
kage123

Сделал.
25.08.2010, 08:29
polword

- Восстановите файл C:\WINDOWS\system32\sfcfiles.dll , скачайте[URL="http://virusinfo.info/attachment.php?attachmentid=263212&d=1282579794"] отсюда[/URL]
25.08.2010, 09:21
kage123

Готово.
25.08.2010, 09:49
polword

В остальном подозрительного нет.

- Откройте файл [URL="http://df.ru/~kad/ScanVuln.txt"]ScanVuln.txt[/URL]. Выполните из этого файла скрипт в AVZ. В результате работы скрипта будет создан файл - avz_log.txt.
Пройдитесь по ссылкам из файла avz_log.txt и установите все рекомендуемые обновления(если таковые будут).
Перезагрузите компьютер.
Снова выполните этот скрипт и убедитесь, что уязвимости устранены.
На этом можно считать лечение законченным.
25.08.2010, 13:30
kage123

Все сделал. Спасибо!
26.08.2010, 13:30
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]9[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\documents and settings\\kyo\\главное меню\\программы\\автозагрузка\\monoca32.exe - [B]Trojan.Win32.Agent.ezad[/B] ( DrWEB: Trojan.Botnetlog.515, BitDefender: Trojan.Generic.4708530, AVAST4: Win32:Zbot-MVR [Trj] )[*] c:\\program files\\internet explorer\\setupapi.dll - [B]Trojan.Win32.Zapchast.caz[/B] ( DrWEB: Trojan.WinSpy.935, BitDefender: Trojan.Generic.4672676, NOD32: Win32/Agent.OSS trojan, AVAST4: Win32:Patched-TI [Trj] )[*] c:\\windows\\system32\\cb4adb13.exe - [B]Packed.Win32.Krap.hr[/B] ( DrWEB: Trojan.Packed.20771, BitDefender: Gen:Heur.FKP.1, AVAST4: Win32:MalOb-DS [Cryp] )[*] c:\\windows\\system32\\drivers\\gxzht.sys - [B]Rootkit.Win32.Agent.biiu[/B] ( DrWEB: Trojan.Packed.20819, BitDefender: Rootkit.40832, NOD32: Win32/Bubnix.AU trojan, AVAST4: Win32:Bubnix-J [Rtk] )[*] c:\\windows\\system32\\sfcfiles.dll - [B]Trojan-Spy.Win32.Agent.binm[/B] ( DrWEB: Trojan.WinSpy.925, BitDefender: Gen:Variant.Kazy.5984, AVAST4: Win32:Small-NTF [Trj] )[/LIST][/LIST]
Рекомендации:
[LIST=1][*]Обнаружены троянские программы класса Trojan-PSW/Trojan-Spy - настоятельно рекомендуется поменять все пароли ![/LIST]