Трояны, ggdrive32.exe, ошибки...

Printable View

Показывать 40 сообщений этой темы на одной странице

23.01.2011, 14:35
Pomor

Трояны, ggdrive32.exe, ошибки...

[B]Здравствуйте,
[/B]
У меня такая проблемы: программа [B]ggdrive32.exe[/B](видимо червь) в диспетчере задач постоянно, какие то файлы [B]42.exe[/B], [B]38.exe[/B] тоже. Прогу эту находил в поисковике удалял но она все равно возвращается. Что то мне подсказывает что это вирус какой-то. Инет стал постоянно вылетать, скорости совсем нет, виндовс виснет. А посл время стала выходить ещё одна ошибка [B]Generic Host Process for Win32 Services. Инет сразу падает, комп виснет.

Помогите пожалуйста

[/B]
23.01.2011, 14:59
Acidorum

Здравствуйте.
Отключите:
-ПК от интернета
-Все защитные приложения
Выполните скрипт в AVZ:
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
QuarantineFile('C:\WINDOWS\system32\88.exe','');
QuarantineFile('C:\WINDOWS\system32\80.exe','');
QuarantineFile('C:\WINDOWS\system32\77.exe','');
QuarantineFile('C:\WINDOWS\system32\72.exe','');
QuarantineFile('C:\WINDOWS\system32\66.exe','');
QuarantineFile('C:\WINDOWS\system32\63.exe','');
QuarantineFile('C:\WINDOWS\system32\61.exe','');
QuarantineFile('C:\WINDOWS\system32\56.exe','');
QuarantineFile('C:\WINDOWS\system32\42.exe','');
QuarantineFile('C:\WINDOWS\system32\41.exe','');
QuarantineFile('C:\WINDOWS\system32\30.exe','');
QuarantineFile('C:\WINDOWS\system32\28.exe','');
QuarantineFile('C:\WINDOWS\system32\26.exe','');
QuarantineFile('C:\WINDOWS\system32\18.exe','');
QuarantineFile('C:\WINDOWS\system32\13.exe','');
QuarantineFile('C:\WINDOWS\system32\08.exe','');
QuarantineFile('C:\WINDOWS\system32\03.exe','');
QuarantineFile('C:\WINDOWS\system32\01.exe','');
QuarantineFile('C:\WINDOWS\ggdrive32.exe','');
QuarantineFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1413\syitm.exe','');
QuarantineFile('C:\WINDOWS\system32\Drivers\removeany.sys','');
DeleteFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1413\syitm.exe');
DeleteFile('C:\WINDOWS\ggdrive32.exe');
DeleteFile('C:\WINDOWS\system32\01.exe');
DeleteFile('C:\WINDOWS\system32\03.exe');
DeleteFile('C:\WINDOWS\system32\08.exe');
DeleteFile('C:\WINDOWS\system32\13.exe');
DeleteFile('C:\WINDOWS\system32\18.exe');
DeleteFile('C:\WINDOWS\system32\26.exe');
DeleteFile('C:\WINDOWS\system32\28.exe');
DeleteFile('C:\WINDOWS\system32\30.exe');
DeleteFile('C:\WINDOWS\system32\41.exe');
DeleteFile('C:\WINDOWS\system32\42.exe');
DeleteFile('C:\WINDOWS\system32\56.exe');
DeleteFile('C:\WINDOWS\system32\61.exe');
DeleteFile('C:\WINDOWS\system32\63.exe');
DeleteFile('C:\WINDOWS\system32\66.exe');
DeleteFile('C:\WINDOWS\system32\72.exe');
DeleteFile('C:\WINDOWS\system32\77.exe');
DeleteFile('C:\WINDOWS\system32\80.exe');
DeleteFile('C:\WINDOWS\system32\88.exe');
DelBHO('710EB7A1-45ED-11D0-924A-0020AFC7AC4D');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Microsoft Driver Setup');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','Microsoft Driver Setup');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Tnaww');
BC_ImportAll;
ExecuteSysClean;
ExecuteWizard('TSW',2,3,true);
BC_Activate;
RebootWindows(true);
end.[/CODE]
Компьютер перезагрузится.
Затем выполните ещё один скрипт:
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
И пришлите quarantine.zip из папки AVZ согласно правилам (через красную ссылку "[B][COLOR="Red"][U]Прислать запрошенный карантин[/U][/COLOR][/B]" наверху темы).
Повторите логи.
23.01.2011, 16:05
Pomor

карантин выслал. ggdrive32.exe все ещё висит в диспетчере задач. повторяю логи
23.01.2011, 16:16
Acidorum

Отключите:
-ПК от интернета
-Все защитные приложения
Выполните скрипт в AVZ:
[CODE]begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(true);
TerminateProcessByName('c:\windows\ggdrive32.exe');
QuarantineFile('c:\RECYCLER\R-1-5-21-1482476501-1644491937-682003330-1013\acleaner.exe','');
QuarantineFile('C:\Documents and Settings\Администратор\Application Data\bowcav.exe','');
QuarantineFile('C:\WINDOWS\system32\28.exe','');
DeleteFile('C:\WINDOWS\system32\28.exe');
DeleteFile('c:\windows\ggdrive32.exe');
DeleteFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1413\syitm.exe');
DeleteFile('C:\Documents and Settings\Администратор\Application Data\bowcav.exe');
DeleteFile('c:\RECYCLER\R-1-5-21-1482476501-1644491937-682003330-1013\acleaner.exe');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Tnaww');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Microsoft Driver Setup');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','Microsoft Driver Setup');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Winlogon','Taskman');
BC_ImportAll;
ExecuteSysClean;
ExecuteRepair(16);
ExecuteWizard('TSW',2,3,true);
BC_Activate;
RebootWindows(true);
end.[/CODE]
Компьютер перезагрузится.
Затем выполните ещё один скрипт:
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
И пришлите quarantine.zip из папки AVZ согласно правилам (через красную ссылку "[B][COLOR="Red"][U]Прислать запрошенный карантин[/U][/COLOR][/B]" наверху темы).
Повторите логи.
23.01.2011, 17:18
Pomor

новый карантин выслал. ggdrive32.exe все ещё висит в диспетчере задач. Повторяю логи
23.01.2011, 17:39
Acidorum

Живучий червяк.
Отключите:
-ПК от интернета
-Все защитные приложения
Выполните скрипт в AVZ:
[CODE]begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(true);
QuarantineFile('C:\WINDOWS\system32\75.exe','');
QuarantineFile('C:\WINDOWS\system32\21.exe','');
DeleteFile('C:\WINDOWS\system32\21.exe');
DeleteFile('C:\WINDOWS\system32\75.exe');
BC_DeleteFile('C:\Documents and Settings\Администратор\Application Data\bowcav.exe');
BC_DeleteFile('C:\RECYCLER\R-1-5-21-1482476501-1644491937-682003330-1013\acleaner.exe');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]
Компьютер перезагрузится.
Затем выполните ещё один скрипт:
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
И пришлите quarantine.zip из папки AVZ согласно правилам (через красную ссылку "[B][COLOR="Red"][U]Прислать запрошенный карантин[/U][/COLOR][/B]" наверху темы).
Повторите логи.
Подготовьте лог [URL="http://virusinfo.info/showthread.php?t=53070"]MBAM[/URL].
23.01.2011, 17:51
Bratez

[QUOTE]Platform: [COLOR="Red"][B]Windows XP SP2[/B][/COLOR] (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)[/QUOTE]
Систему надо обновлять, иначе эта зараза будет пролазить снова и снова.
23.01.2011, 18:46
Pomor

карантин выслал. ggdrive32.exe живее всех живых) Повторные логи выслал. Ребят объясните нужно сервис пак 3, обновления какие то?
23.01.2011, 18:54
Pomor

Лог mbam
23.01.2011, 19:16
thyrex

Систему обновили?

[url="http://virusinfo.info/showpost.php?p=493584&postcount=2"]Удалите в МВАМ[/url] все найденное
23.01.2011, 19:29
Pomor

Здравствуйте, обновить конкретно что надо? Поставить Сервис пак 3 и обновить интернет эксплоуер?

[size="1"][color="#666686"][B][I]Добавлено через 51 секунду[/I][/B][/color][/size]

в mbam все удалил
23.01.2011, 19:40
thyrex

[QUOTE='Pomor;759078']обновить конкретно что надо?[/QUOTE][color="#FF0000"][b]Внимание![/b][/color] Официальная поддержка (и выпуск обновлений) для Windows XP SP2 [b]прекращена[/b]

Установите [url="http://www.microsoft.com/downloads/details.aspx?FamilyID=5b33b5a8-5e76-401f-be08-1e1555d4f3d4&displaylang=ru"]SP3[/url] (может потребоваться активация) + все [url="http://www.update.microsoft.com/microsoftupdate/v6/default.aspx?ln=ru"]новые обновления[/url] для Windows
Установите [url="http://www.microsoft.com/rus/windows/internet-explorer/default.aspx"]Internet Explorer 8[/url] (даже если им не пользуетесь)

[QUOTE='Pomor;759078']в mbam все удалил[/QUOTE]Обновитеcm и сделайте новый лог МВАМ
26.01.2011, 02:22
Pomor

Здравствуйте ещё раз... Наконец поставил sp3, эксплоуер 8 и обновления. Сделал лог mbam
26.01.2011, 02:32
миднайт

Удалите в mbam:

[CODE]
Заражённые файлы:
c:\WINDOWS\system32\30.scr (Trojan.Dropper) -> No action taken.
c:\WINDOWS\system32\txyrm.exe (Trojan.Dropper) -> No action taken.
c:\WINDOWS\system32\36.scr (Trojan.Dropper) -> No action taken.
c:\WINDOWS\system32\48.scr (Trojan.Dropper) -> No action taken.
c:\WINDOWS\system32\53.scr (Trojan.Dropper) -> No action taken.
c:\WINDOWS\system32\62.scr (Trojan.Dropper) -> No action taken.
c:\documents and settings\networkservice\local settings\temporary internet files\Content.IE5\Q9IJKL6B\yy[1].exe (Trojan.Dropper) -> No action taken.
c:\WINDOWS\system32\41.exe (Trojan.FakeAlert) -> No action taken.
c:\WINDOWS\logfile32.txt (Malware.Trace) -> No action taken.
[/CODE]
Повторите лог mbam
26.01.2011, 17:05
Pomor

Вложений: 1

В mbam всё удалил. Извините не понял куда последний код вводить? в AVZ там не подходит вроде: ни шапки и конца нет. Повторный лог mbam прилагаю...
26.01.2011, 18:30
миднайт

Чисто.
[url=http://virusinfo.info/showthread.php?t=7239]Выполните в AVZ скрипт[/url] из файла [URL=http://dataforce.ru/~kad/ScanVuln.txt]ScanVuln.txt[/URL] откройте файл avz_log.txt из под-папки log.
Пройдитесь по ссылкам из файла avz_log.txt и установите обновления. (Обратите внимание, при установке сервис паков, обновлении ОС, может потребоваться повторная активация Windows)
Перезагрузите компьютер.
Повторите выполнение скрипта, чтобы убедиться, что уязвимости устранены.
Что с проблемой?
27.01.2011, 00:10
Pomor

Скрипт сделал он нашел одну уязвимость. обновил. повторно уязвимостей не было найдено. Основная проблема с ggdrive32.exe устранена, ошибка больше не вылазит. посмотрите ещё раз лог mbam - вроде удаляешь все в mbam а зараженные ключи, зараженные параметры реестра всё равно находяться при новом сканировании... В принципе по работоспособности инета притензий нет. может сами по себе они эти зараженные объекты не опасны? Посоветуйте пожалуйста. Лог mbam прилагаю
27.01.2011, 02:06
миднайт

Раньше этих находок не было. Удалите все найденно в mbam в безопасном режиме.
27.01.2011, 03:43
Pomor

Не могу зайти в безопасный режим. При попытке зайти появляется надпись Press ESC to cancel loading [B]SPTD[/B].[B]sys[/B]. и комп перезагружается. SPTD.sys это как я понимаю нормальный драйвер вроде как эмуляторов дисков типа Daemon tools который у меня как раз стоит. Пришлось удалять в обычном режиме виндовс. После перезагрузки сканирую в mbam - новые зараженные объекты. Что посоветуете? лог mbam прилагаю
27.01.2011, 03:48
Pomor

лог mbam

Показывать 40 сообщений этой темы на одной странице