Многочисленные ТРОЯНЫ и сбои IE и запуска программ

Printable View

20.01.2011, 23:49
Gadzilla

Многочисленные ТРОЯНЫ и сбои IE и запуска программ

Запустил неизвестный файл. В результате:
- снесло антивирус ESET напрочь;
- нестабильное поведение программ: IE - пропадание/сворачивание окна, при запуске других программ сворачиваются и не запускаются и т.п.;
- не отключается восстановление системы.
После лечения осталось третье!
21.01.2011, 01:09
polword

Отключите[B][COLOR="Red"] Системное восстановление!!![/COLOR][/B][URL="http://avptool.ru/ru/AVPTool_helpdesk_sysrestore.htm"] как- посмотреть можно тут[/URL]
- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/URL]
[CODE]
procedure FixServiceStart(ServiceName:string;);
var j:integer; NumStr:string;
begin
for j:=0 to 999 do
begin
if j=0 then
NumStr:='CurrentControlSet' else
if j<10 then
NumStr:='ControlSet00'+IntToStr(j) else
if j<100 then
NumStr:='ControlSet0'+IntToStr(j) else
NumStr:='ControlSet'+IntToStr(j);
if RegKeyExistsEx('HKLM', 'SYSTEM\'+NumStr+'\Services\' + ServiceName) then
begin
RegKeyResetSecurity('HKLM', 'SYSTEM\'+NumStr+'\Services\' + ServiceName);
RegKeyStrParamWrite('HKLM', 'SYSTEM\'+NumStr+'\Services\' + ServiceName, 'ImagePath', '%SystemRoot%\System32\svchost.exe -k netsvcs');
AddToLog('Значение параметра ImagePath в разделе реестра HKLM\SYSTEM\'+NumStr+'\Services\' + ServiceName + ' исправлено на оригинальное.');
if (RegKeyIntParamRead('HKLM', 'SYSTEM\'+NumStr+'\Services\' + ServiceName, 'Start') = 0) then
begin
RegKeyIntParamWrite('HKLM', 'SYSTEM\'+NumStr+'\Services\' + ServiceName,'Start', 2);
AddToLog('Тип запуска службы ' + ServiceName + ' переведен в режим Авто.');
end;
end;
end;
end;

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('F:\autorun.inf','');
QuarantineFile('C:\WINDOWS\l1rezerv.exe','');
QuarantineFile('C:\WINDOWS\system32\drivers\srvkp.sys','');
QuarantineFile('C:\WINDOWS\sysdriver32.exe','');
DeleteService('srvsysdriver32');
DeleteService('srviecheck');
QuarantineFile('c:\windows\iecheck.exe','');
TerminateProcessByName('c:\windows\iecheck.exe');
DeleteFile('c:\windows\iecheck.exe');
DeleteFile('C:\WINDOWS\sysdriver32.exe');
DeleteFile('C:\WINDOWS\l1rezerv.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','l1rezerv.exe');
DeleteFile('F:\autorun.inf');
QuarantineFile('C:\WINDOWS\killwindtitle.exe','');
QuarantineFile('C:\WINDOWS\sysdriver32.exe','');
DeleteFile('C:\WINDOWS\sysdriver32.exe');
FixServiceStart('wscsvc');
SaveLog(GetAVZDirectory+'LOG\avz.log');
BC_ImportAll;
ExecuteSysClean;
ExecuteRepair(16);
ExecuteWizard('TSW', 2, 2, true);
ExecuteWizard('SCU', 2, 2, true);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
BC_Activate;
RebootWindows(true);
end. [/CODE]

После перезагрузки:
- выполните такой скрипт
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
- Файл [B][COLOR="Red"]quarantine.zip[/COLOR][/B] из папки AVZ загрузите по ссылке [B][COLOR="Red"]Прислать запрошенный карантин[/COLOR][/B] вверху темы
- Сделайте повторные логи по [URL="http://virusinfo.info/pravila_old.html"]правилам[/URL] п.2 и 3 раздела Диагностика.([COLOR="Blue"]virusinfo_syscheck.zip;hijackthis.log[/COLOR])
21.01.2011, 12:43
Gadzilla

Восстановление Системы

Этот пункт отсутствует как класс :(
Раньше был...)))
Возможно ли отключить его через Администрирование?

[size="1"][color="#666686"][B][I]Добавлено через 48 минут[/I][/B][/color][/size]

[QUOTE=Gadzilla;758031]Этот пункт отсутствует как класс :(
Раньше был...)))
Возможно ли отключить его через Администрирование?[/QUOTE]
Ура! Разобрался! Верно??
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\SystemRestore
RestoreStatus-0
DisableSR-1
21.01.2011, 13:58
polword

1.[URL="http://virusinfo.info/showthread.php?t=4491"]Профиксите[/URL] в HijackThis
[CODE]
R3 - URLSearchHook: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - (no file)
[/CODE]
2.[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/URL]
[CODE]
begin
DeleteFileMask(GetAVZDirectory + 'Quarantine', '*.*', true);
QuarantineFile('C:\WINDOWS\system32\drivers\srvkp.sys','');
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]

- Файл [B][COLOR="Red"]quarantine.zip[/COLOR][/B] из папки AVZ загрузите по ссылке [B][COLOR="Red"]Прислать запрошенный карантин[/COLOR][/B] вверху темы
21.01.2011, 18:11
Gadzilla

Какой результат диагностики карантина?

?
21.01.2011, 18:14
polword

файл чистый

Обновите систему
- Установите [URL="http://www.microsoft.com/rus/windows/internet-explorer/default.aspx"]Internet-Explorer 8[/URL].(даже если Вы его не используете)
- Поставте все последние обновления системы Windows - [URL="http://www.update.microsoft.com"]тут[/URL]

После обновления:
- Откройте файл [URL="http://df.ru/~kad/ScanVuln.txt"]ScanVuln.txt[/URL]. Выполните из этого файла скрипт в AVZ. В результате работы скрипта будет создан файл - avz_log.txt.
Пройдитесь по ссылкам из файла avz_log.txt и установите все рекомендуемые обновления(если таковые будут).
Перезагрузите компьютер.
Снова выполните этот скрипт и убедитесь, что уязвимости устранены.
24.01.2011, 19:38
Gadzilla

Сбои при загрузке сайтов!!!

Не грузится сайт [url]www.vkontakte.ru[/url]
Пробовал IE, Maxthon и Mazilla :(
25.01.2011, 08:06
polword

сделайте логи еще раз
25.01.2011, 18:18
Gadzilla

Выкладываю...

Логи еще раз:
26.01.2011, 10:45
Gadzilla

Посмотрели логи?

Что посоветуете?
26.01.2011, 12:37
polword

- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/URL]
[CODE]
begin
DeleteFileMask(GetAVZDirectory + 'Quarantine', '*.*', true);
ExecuteRepair(13);
RebootWindows(true);
end.[/CODE]

- Сделайте лог [URL="http://virusinfo.info/showpost.php?p=457118&postcount=1"][COLOR="Blue"][B]MBAM[/B][/COLOR][/URL]
27.01.2011, 12:37
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]4[/B][*]Обработано файлов: [B]33[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\windows\\iecheck.exe - [B]Trojan.Win32.VkHost.cso[/B] ( DrWEB: Trojan.KillProc.4440, BitDefender: Generic.Malware.SFHYVdWkg.5AA66DB7, AVAST4: Win32:Delf-QBF [Trj] )[*] \\quarantine\\index.php - [B]Trojan.HTML.Agent.ap[/B] ( DrWEB: archive: archive: VBS.PackFor, BitDefender: Trojan.JS.PYC )[*] \\quarantine\\index[1].htm - [B]Trojan.HTML.Agent.ap[/B] ( DrWEB: archive: VBS.PackFor, BitDefender: Trojan.JS.PYC, AVAST4: JS:Packed-X [Trj] )[*] \\quarantine\\killwindtitle.exe - [B]Trojan.Win32.Scar.dhxa[/B] ( DrWEB: Trojan.MulDrop1.57842, BitDefender: DeepScan:Generic.Malware.SP!BVPkTkg.6B8B14EA, NOD32: Win32/KillAV.NKK trojan, AVAST4: Win32:Malware-gen )[*] \\quarantine\\l1rezerv.exe - [B]Trojan.Win32.Scar.djln[/B] ( DrWEB: Trojan.KillProc.4306, BitDefender: Trojan.Generic.5380680, NOD32: Win32/TrojanDownloader.Delf.QFH trojan, AVAST4: Win32:Delf-QBF [Trj] )[*] \\quarantine\\slavamur.zip.exe - [B]Trojan-PSW.Win32.VKont.apm[/B] ( DrWEB: Trojan.DownLoader1.55943, BitDefender: Trojan.Generic.KD.113039, NOD32: Win32/Delf.PTD trojan, AVAST4: Win32:Downloader-FFG [Trj] )[*] \\quarantine\\sysdriver32.exe - [B]Backdoor.Win32.Delf.xyl[/B] ( DrWEB: Trojan.KillProc.4345, BitDefender: DeepScan:Generic.Malware.SFTkg.88903B92, NOD32: Win32/TrojanDownloader.Delf.QCY trojan, AVAST4: Win32:Delf-QBF [Trj] )[*] \\quarantine\\sysdriver32_.exe - [B]Backdoor.Win32.Delf.xyl[/B] ( DrWEB: Trojan.KillProc.4345, BitDefender: DeepScan:Generic.Malware.SFTkg.88903B92, NOD32: Win32/TrojanDownloader.Delf.QCY trojan, AVAST4: Win32:Delf-QBF [Trj] )[*] \\quarantine\\tray_tmp.exe - [B]Trojan-PSW.Win32.VKont.apm[/B] ( DrWEB: Trojan.DownLoader1.55943, BitDefender: Trojan.Generic.KD.113039, NOD32: Win32/Delf.PTD trojan, AVAST4: Win32:Downloader-FFG [Trj] )[*] \\quarantine\\217061.exe - [B]Trojan.Win32.Scar.djln[/B] ( DrWEB: Trojan.KillProc.4306, BitDefender: Trojan.Generic.5380680, NOD32: Win32/TrojanDownloader.Delf.QFH trojan, AVAST4: Win32:Delf-QBF [Trj] )[*] \\quarantine\\4221310.exe - [B]Trojan.Win32.Scar.djln[/B] ( DrWEB: Trojan.KillProc.4306, BitDefender: Trojan.Generic.5380680, NOD32: Win32/TrojanDownloader.Delf.QFH trojan, AVAST4: Win32:Delf-QBF [Trj] )[*] \\quarantine\\7165571.exe - [B]Trojan.Win32.Zapchast.crh[/B] ( DrWEB: Trojan.Siggen2.11644, BitDefender: Gen:Variant.Zusy.Elzob.5495, AVAST4: Win32:Malware-gen )[*] \\quarantine\\7366030.exe - [B]Trojan.Win32.Agent.gjja[/B] ( DrWEB: Trojan.MulDrop1.57516, BitDefender: Trojan.Generic.5494203, NOD32: Win32/DisableSR.A trojan, AVAST4: Win32:Malware-gen )[*] \\quarantine\\94802291.exe - [B]Backdoor.Win32.Delf.xyl[/B] ( DrWEB: Trojan.KillProc.4345, BitDefender: DeepScan:Generic.Malware.SFTkg.88903B92, NOD32: Win32/TrojanDownloader.Delf.QCY trojan, AVAST4: Win32:Delf-QBF [Trj] )[/LIST][/LIST]
Рекомендации:
[LIST=1][*]Обнаружены троянские программы класса Trojan-PSW/Trojan-Spy - настоятельно рекомендуется поменять все пароли ![/LIST]