BackDoor.Bulknet.507,Trojan.Packed.21005

Printable View

05.10.2010, 23:42
рамиль

BackDoor.Bulknet.507,Trojan.Packed.21005

Добрый вечер !
Тормозит комп,вылетает мозилла,обнаружена масса вирусов.После лечения доктор WEB пишет - "будет исцелен после рестарта",
но не исцеляет.
Обьект Путь Статус

ndis.sys C:\WINDOWS\system32\dllcache BackDoor.Bulknet.507
ndis.sys C:\WINDOWS\system32\drivers BackDoor.Bulknet.507
Dc137.part C:\RECYCLER \S-1-5-21-1343024091-1844237615-682003330-1004 Tool.SMSSend.44

A0045383.exe C:\System Volume Information\_restore{B1D02688-BF11-430E-90A6-755FF3765979}\RP73 Trojan.Packed.21005

drw4.tmp C:\WINDOWS\system32\drivers BackDoor.Bulknet.507
06.10.2010, 07:05
polword

- [B][COLOR="Red"]Обязательно Отключите!!! Системное восстановление!!![/COLOR][/B][URL="http://avptool.ru/ru/AVPTool_helpdesk_sysrestore.htm"] как- посмотреть можно тут[/URL]
- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/URL]
[CODE]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\explorer.exe:userini.exe:$DATA','');
QuarantineFile('C:\System Volume Information\_restore{B1D02688-BF11-430E-90A6-755FF3765979}\RP73\A0045473.exe:userini.exe:$DATA','');
QuarantineFile('C:\Documents and Settings\рамиль\DoctorWeb\Quarantine\A0042828.exe:userini.exe:$DATA','');
QuarantineFile('C:\Documents and Settings\рамиль\DoctorWeb\Quarantine\A0039657.exe:userini.exe:$DATA','');
QuarantineFile('c:\windows\explorer.exe:userini.exe:$DATA','');
QuarantineFile('c:\windows\explorer.exe:userini.exe','');
QuarantineFile('C:\WINDOWS\system32\userini.exe','');
QuarantineFile('C:\WINDOWS\system32\Drivers\NDIS.sys','');
QuarantineFile('c:\windows\system32\winlagon.exe','');
TerminateProcessByName('c:\windows\system32\winlagon.exe');
DeleteFile('c:\windows\system32\winlagon.exe');
DeleteFile('C:\WINDOWS\system32\userini.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','userini');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','userini');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','userini');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','userini');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','winlagon');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','winlagon');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','winlagon');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','winlagon');
DeleteFile('c:\windows\explorer.exe:userini.exe');
DeleteFile('c:\windows\explorer.exe:userini.exe:$DATA');
DeleteFile('C:\Documents and Settings\рамиль\DoctorWeb\Quarantine\A0039657.exe:userini.exe:$DATA');
DeleteFile('C:\Documents and Settings\рамиль\DoctorWeb\Quarantine\A0042828.exe:userini.exe:$DATA');
DeleteFile('C:\System Volume Information\_restore{B1D02688-BF11-430E-90A6-755FF3765979}\RP73\A0045473.exe:userini.exe:$DATA');
DeleteFile('C:\WINDOWS\explorer.exe:userini.exe:$DATA');
DeleteFileMask(':\Documents and Settings\рамиль\DoctorWeb\Quarantine', '*.*', true);
BC_ImportAll;
ExecuteSysClean;
ExecuteWizard('TSW', 2, 2, true);
ExecuteWizard('SCU', 2, 2, true);
BC_Activate;
RebootWindows(true);
end.[/CODE]

После перезагрузки:
- выполните такой скрипт
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
- Файл [B][COLOR="Red"]quarantine.zip[/COLOR][/B] из папки AVZ загрузите по ссылке [B][COLOR="Red"]Прислать запрошенный карантин[/COLOR][/B] вверху темы
- Замените файл C:\WINDOWS\system32\Drivers\NDIS.sys на чистый из [URL="http://virusinfo.info/showthread.php?t=51654"]дистрибутива[/URL].
- Сделайте повторные логи по [URL="http://virusinfo.info/pravila_old.html"]правилам[/URL] п.2 и 3 раздела Диагностика.([COLOR="Blue"]virusinfo_syscheck.zip;hijackthis.log[/COLOR])
- Сделайте лог [URL="http://virusinfo.info/showpost.php?p=457118&postcount=1"][COLOR="Blue"][B]MBAM[/B][/COLOR][/URL]
06.10.2010, 20:12
рамиль

Запрошенный карантин отправил.
06.10.2010, 21:59
рамиль

Вирусы не обнаруживаются

После выполнения всех рекомендаций все чисто.Высылаю новые
результаты скриптов.
Надо ли запускать mbam ?
07.10.2010, 00:13
thyrex

Надо
07.10.2010, 06:10
polword

1.[URL="http://virusinfo.info/showthread.php?t=4491"]Профиксите[/URL] в HijackThis
[CODE]
O9 - Extra button: (no name) - {8DAE90AD-4583-4977-9DD4-4360F7A45C74} - (no file)
[/CODE]
2.[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/URL] с подключенной флешкой, если диск G - это флешка
[CODE]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFileMask(GetAVZDirectory + 'Quarantine', '*.*', true);
QuarantineFile('C:\WINDOWS\explorer.exe:userini.exe:$DATA','');
QuarantineFile('C:\DOCUME~1\4707~1\LOCALS~1\Temp\stxco9y6.sys','');
QuarantineFile('C:\Documents and Settings\рамиль\DoctorWeb\Quarantine\A0045017.exe:userini.exe:$DATA','');
QuarantineFile('c:\windows\explorer.exe:userini.exe:$DATA','');
QuarantineFile('G:\IZUVAS\izcipica.exe','');
QuarantineFile('C:\RECYCLER\S-1-5-21-3710830396-2030815903-499977804-6679\yv8g67.exe','');
DeleteFile('C:\RECYCLER\S-1-5-21-3710830396-2030815903-499977804-6679\yv8g67.exe');
DeleteFile('G:\IZUVAS\izcipica.exe');
DeleteFile('c:\windows\explorer.exe:userini.exe:$DATA');
DeleteFile('C:\Documents and Settings\рамиль\DoctorWeb\Quarantine\A0045017.exe:userini.exe:$DATA');
DeleteFile('C:\DOCUME~1\4707~1\LOCALS~1\Temp\stxco9y6.sys');
DeleteFile('C:\WINDOWS\explorer.exe:userini.exe:$DATA');
DeleteFileMask('C:\Documents and Settings\рамиль\DoctorWeb\Quarantine', '*.*', true);
DeleteFile('c:\windows\explorer.exe:userini.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Winlogon','Taskman ');
BC_ImportAll;
ExecuteSysClean;
ExecuteRepair(11);
BC_Activate;
RebootWindows(true);
end.[/CODE]

После перезагрузки:
- выполните такой скрипт
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
- Файл [B][COLOR="Red"]quarantine.zip[/COLOR][/B] из папки AVZ загрузите по ссылке [B][COLOR="Red"]Прислать запрошенный карантин[/COLOR][/B] вверху темы
- Сделайте повторные логи по [URL="http://virusinfo.info/pravila_old.html"]правилам[/URL] п.2 и 3 раздела Диагностика.([COLOR="Blue"]virusinfo_syscheck.zip;hijackthis.log[/COLOR])
[B] + лог[/B] [URL="http://virusinfo.info/showpost.php?p=457118&postcount=1"][COLOR="Blue"][B]MBAM[/B][/COLOR][/URL]
07.10.2010, 08:58
рамиль

Видимо для второй флеши F надо выполнить те же операции,
заменив G на F ?
07.10.2010, 11:43
polword

карантин уберите из темы

[size="1"][color="#666686"][B][I]Добавлено через 3 минуты[/I][/B][/color][/size]

- [URL="http://virusinfo.info/showpost.php?p=493584&postcount=2"]удалите[/URL] в [B]MBAM[/B]
[CODE]
Зараженные параметры в реестре:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Services\del (Malware.Trace) -> No action taken.

Зараженные файлы:
C:\Documents and Settings\рамиль\Application Data\wiaservg.log (Malware.Trace) -> No action taken.
C:\WINDOWS\system32\_id.dat (Malware.Trace) -> No action taken.
[/CODE]

1.[URL="http://virusinfo.info/showthread.php?t=4491"]Профиксите[/URL] в HijackThis
[CODE]
O9 - Extra button: (no name) - {8DAE90AD-4583-4977-9DD4-4360F7A45C74} - (no file)
[/CODE]
2.[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/URL]
[CODE]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFileMask(GetAVZDirectory + 'Quarantine', '*.*', true);
QuarantineFile('C:\DOCUME~1\4707~1\LOCALS~1\Temp\vm0yeO5g.sys','');
DeleteFile('C:\DOCUME~1\4707~1\LOCALS~1\Temp\vm0yeO5g.sys');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Winlogon','Taskman ');
QuarantineFile('C:\Program Files\Driver\Driver.DLL','');
BC_ImportAll;
ExecuteSysClean;
ExecuteRepair(11);
BC_Activate;
RebootWindows(true);
end.[/CODE]

После перезагрузки:
- выполните такой скрипт
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
- Файл [B][COLOR="Red"]quarantine.zip[/COLOR][/B] из папки AVZ загрузите по ссылке [B][COLOR="Red"]Прислать запрошенный карантин[/COLOR][/B] вверху темы
- Сделайте повторные логи по [URL="http://virusinfo.info/pravila_old.html"]правилам[/URL] п.2 и 3 раздела Диагностика.([COLOR="Blue"]virusinfo_syscheck.zip;hijackthis.log[/COLOR])
07.10.2010, 12:35
рамиль

Карантин из темы удалил.
В MBAM остался неудаленным один зараженный файл.
07.10.2010, 13:14
polword

В логах подозрительного нет.

Обновите систему
- SP2 обновите до [URL="http://www.microsoft.com/Downloads/details.aspx?displaylang=ru&FamilyID=5b33b5a8-5e76-401f-be08-1e1555d4f3d4"]Service Pack 3[/URL](может потребоваться активация)
[B]*[/B] Перед установкой Сервис Пака необходимо выгрузить антивирус, файрвол, а так же резидентные приложения типа TeaTimer (Spybot Search and Destroy) и др.)
[B]*[/B] Microsoft остановил поддержку и выпуск обновлений безопасности для ОС Windows XP без установленного SP3, см.[URL="http://windows.microsoft.com/ru-ru/windows/help/end-support-windows-xp-sp2-windows-vista-without-service-packs?os=xp"]тут[/URL]
- Установите [URL="http://www.microsoft.com/rus/windows/internet-explorer/default.aspx"]Internet-Explorer 8[/URL].(даже если Вы его не используете)
- Поставте все последние обновления системы Windows - [URL="http://www.update.microsoft.com"]тут[/URL]
07.10.2010, 14:02
рамиль

Огромная благодарность всем тем,то исправляет наши ошибки и помогает нам!!!
08.10.2010, 14:02
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]3[/B][*]Обработано файлов: [B]45[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\documents and settings\\рамиль\\doctorweb\\quarantine\\a0039657.exe:userini.exe:$data - [B]Trojan-Spy.Win32.Zbot.aovi[/B] ( DrWEB: Trojan.Packed.21552, BitDefender: Gen:Variant.Kazy.466, AVAST4: Win32:MalOb-CS [Cryp] )[*] c:\\documents and settings\\рамиль\\doctorweb\\quarantine\\a0042828.exe:userini.exe:$data - [B]Trojan-Downloader.Win32.FraudLoad.haz[/B] ( DrWEB: Trojan.Packed.21552, BitDefender: Gen:Variant.Kazy.774, AVAST4: Win32:MalOb-CS [Cryp] )[*] c:\\documents and settings\\рамиль\\doctorweb\\quarantine\\a0045017.exe:userini.exe:$data - [B]Trojan-Downloader.Win32.FraudLoad.haz[/B] ( DrWEB: Trojan.Packed.21552, BitDefender: Gen:Variant.Kazy.774, AVAST4: Win32:MalOb-CS [Cryp] )[*] c:\\windows\\explorer.exe:userini.exe - [B]Trojan-Dropper.Win32.HDrop.abi[/B] ( DrWEB: Trojan.Packed.21552, BitDefender: Gen:Variant.Kazy.574, AVAST4: Win32:Crypto-G [Drp] )[*] c:\\windows\\explorer.exe:userini.exe:$data - [B]Trojan-Dropper.Win32.HDrop.abi[/B] ( DrWEB: Trojan.Packed.21552, BitDefender: Gen:Variant.Kazy.574, AVAST4: Win32:Crypto-G [Drp] )[*] c:\\windows\\system32\\drivers\\ndis.sys - [B]Virus.Win32.Protector.f[/B] ( DrWEB: BackDoor.Bulknet.417, BitDefender: Rootkit.Kobcka.Patched.Gen, NOD32: Win32/Protector.K virus, AVAST4: Win32:Cutwail-AP [Rtk] )[*] c:\\windows\\system32\\userini.exe - [B]Trojan-Dropper.Win32.HDrop.abi[/B] ( DrWEB: Trojan.Packed.21552, BitDefender: Gen:Variant.Kazy.574, AVAST4: Win32:Crypto-G [Drp] )[*] c:\\windows\\system32\\winlagon.exe - [B]Trojan-Downloader.Win32.Small.kxp[/B] ( DrWEB: Trojan.Packed.21552, BitDefender: Gen:Variant.Kazy.508, AVAST4: Win32:MalOb-CS [Cryp] )[*] g:\\izuvas\\izcipica.exe - [B]P2P-Worm.Win32.Palevo.ayal[/B] ( DrWEB: Trojan.Packed.21005, BitDefender: Gen:Variant.Rimecud.3, AVAST4: Win32:Crumpache [Cryp] )[/LIST][/LIST]
Рекомендации:
[LIST=1][*]Обнаружены троянские программы класса Trojan-PSW/Trojan-Spy - настоятельно рекомендуется поменять все пароли ![/LIST]