vsbntlo,txyrm.exe, ggdrive32,wjdrive32 и ...

Printable View

24.01.2011, 08:04
koalexx

vsbntlo,txyrm.exe, ggdrive32,wjdrive32 и ...

Плиз требуется помощь :(
Пытался помочь знакомому, в результате сам "накушался" по реестру сам не смог ничего сделать- ползает Хад, после подключения к инету активизируется!

vsbntlo,txyrm.exe, ggdrive32,wjdrive32 и чота еще может быть.

После перегруза системы между 1 и 2 пунктом система при загрузке на "Свхост" многократно ругнулась.
И ДИКО тормозит :( С первого раза 2 пункт не удалось выполнить, АВЗ закрылась и перестала переключаться раскладка, пришлось еще раз перегрузиться чтоб вкачать логи.

--------
Ps Не подскажете вероятный путь заражения (ну исполн. файл, почта или)
--------
24.01.2011, 08:24
light59

[URL="http://virusinfo.info/showthread.php?t=7239"]В AVZ -> файл-> Выполнить скрипт[/URL]

[CODE]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('D:\Documents and Settings\Admin\Application Data\bowcav.exe','');
QuarantineFile('D:\WINDOWS\system32\01.exe','');
QuarantineFile('D:\WINDOWS\system32\13.exe','');
QuarantineFile('D:\WINDOWS\system32\14.exe','');
QuarantineFile('D:\WINDOWS\system32\17.exe','');
QuarantineFile('D:\WINDOWS\system32\20.scr','');
QuarantineFile('D:\WINDOWS\system32\21.exe','');
QuarantineFile('D:\WINDOWS\system32\25.exe','');
QuarantineFile('D:\WINDOWS\system32\27.exe','');
QuarantineFile('D:\WINDOWS\system32\32.exe','');
QuarantineFile('D:\WINDOWS\system32\42.exe','');
QuarantineFile('D:\WINDOWS\system32\51.exe','');
QuarantineFile('D:\WINDOWS\system32\68.exe','');
QuarantineFile('D:\WINDOWS\system32\70.exe','');
QuarantineFile('D:\WINDOWS\system32\86.exe','');
QuarantineFile('D:\WINDOWS\system32\txyrm.exe','');
TerminateProcessByName('d:\windows\ggdrive32.exe');
QuarantineFile('D:\WINDOWS\ggdrive32.exe','');
QuarantineFile('D:\CLTest.exe','');
QuarantineFile('D:\Documents and Settings\Admin\pf.exe','');
QuarantineFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1413\syitm.exe','');
DeleteFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1413\syitm.exe');
DeleteFile('D:\Documents and Settings\Admin\pf.exe');
DeleteFile('D:\WINDOWS\ggdrive32.exe');
DeleteFile('D:\WINDOWS\system32\txyrm.exe');
DeleteFile('D:\WINDOWS\system32\86.exe');
DeleteFile('D:\WINDOWS\system32\70.exe');
DeleteFile('D:\WINDOWS\system32\68.exe');
DeleteFile('D:\WINDOWS\system32\51.exe');
DeleteFile('D:\WINDOWS\system32\42.exe');
DeleteFile('D:\WINDOWS\system32\32.exe');
DeleteFile('D:\WINDOWS\system32\27.exe');
DeleteFile('D:\WINDOWS\system32\25.exe');
DeleteFile('D:\WINDOWS\system32\21.exe');
DeleteFile('D:\WINDOWS\system32\20.scr');
DeleteFile('D:\WINDOWS\system32\17.exe');
DeleteFile('D:\WINDOWS\system32\14.exe');
DeleteFile('D:\WINDOWS\system32\13.exe');
DeleteFile('D:\WINDOWS\system32\01.exe');
DeleteFile('D:\Documents and Settings\Admin\Application Data\bowcav.exe');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Tnaww');
RegKeyParamDel('HKEY_LOCAL_MACHINE',' Software\Microsoft\Windows NT\CurrentVersion\Winlogon',' Taskman');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Microsoft Driver Setup');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','Microsoft Driver Setup');
BC_ImportAll;
ExecuteSysClean;
ExecuteWizard('TSW',2,3,true);
BC_Activate;
RebootWindows(true);
end.
[/CODE]
Компьютер перезагрузится.

- выполните такой скрипт

[CODE]
begin
CreateQurantineArchive(GetAVZDirectory+'quarantine .zip');
end.
[/CODE]

- Файл [b][color=Red]quarantine.zip[/color][/b] из папки AVZ пришлите по ссылке [COLOR="Red"][B]Прислать запрошенный карантин[/B][/COLOR].

Повторите логи по правилам. Перед созданием логов
[QUOTE]закройте игры, текстовые редакторы и любые другие программы, оставьте запущенным только программу-браузер (например, Internet Explorer); если он не запущен - запустите.[/QUOTE]
24.01.2011, 09:17
koalexx

Карантин выслан
24.01.2011, 09:30
light59

D:\CLTest.exe - ваше?
24.01.2011, 09:52
koalexx

да, это программа настройки монитора

[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]

она установлена не только на этом компе, в других местах виря нет- не проявлений по крайней мере
24.01.2011, 09:54
light59

[CODE]begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('D:\Documents and Settings\Admin\Application Data\bowcav.exe');
BC_DeleteFile('D:\Documents and Settings\Admin\Application Data\bowcav.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]
Пункт 1 диагностики повторите
24.01.2011, 10:25
koalexx

Опять пока комп стоял подключенным к инету ggdrive вылез...
24.01.2011, 11:32
thyrex

Выполните скрипт в AVZ
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
TerminateProcessByName('d:\windows\ggdrive32.exe');
QuarantineFile('d:\windows\ggdrive32.exe','');
QuarantineFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1413\syitm.exe','');
QuarantineFile('D:\WINDOWS\ggdrive32.exe','');
QuarantineFile('D:\WINDOWS\system32\86.exe','');
QuarantineFile('D:\WINDOWS\system32\37.exe','');
QuarantineFile('D:\WINDOWS\system32\30.exe','');
QuarantineFile('D:\WINDOWS\system32\05.exe','');
QuarantineFile('c:\RECYCLER\R-1-5-21-1482476501-1644491937-682003330-1013\acleaner.exe','');
DeleteFile('c:\RECYCLER\R-1-5-21-1482476501-1644491937-682003330-1013\acleaner.exe');
DeleteFile('D:\WINDOWS\system32\05.exe');
DeleteFile('D:\WINDOWS\system32\30.exe');
DeleteFile('D:\WINDOWS\system32\37.exe');
DeleteFile('D:\WINDOWS\system32\86.exe');
DeleteFile('D:\WINDOWS\ggdrive32.exe');
DeleteFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1413\syitm.exe');
DeleteFile('d:\windows\ggdrive32.exe');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Tnaww');
DeleteFile('D:\Documents and Settings\Admin\pfs.exe,explorer.exe,C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1413\syitm.exe,Explorer.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Microsoft Driver Setup');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','Microsoft Driver Setup');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Winlogon','Taskman');
RebootWindows(true);
end. [/code]Компьютер перезагрузится.

Пришлите карантин согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

Установите все [url="http://www.update.microsoft.com/microsoftupdate/v6/default.aspx?ln=ru"]новые обновления[/url] для Windows

Сделайте новые логи

Сделайте лог [URL="http://virusinfo.info/showpost.php?p=457118&postcount=1"]полного сканирования МВАМ[/URL]
24.01.2011, 12:09
koalexx

Cкрипт выполнил, после перегрузки запустился c Yota чтобы скачать обновления, ругнулся опять на svhost, что не может память быть перезаписана (не знаю имеет ли это отношение, но ранее после крипта так же было), и после этого сильные "тормоза" на компе с "замираниями" между приложениями ТОЛЬКО через Тab+АLT, панель "Пуск" не работает.
По предыдущим экспериментам - заработает после очередного перегруза системы.
У меня уже установлен 8 и sp3. Что именно нужно обновить еще? По ссылке громадный список с поиском.
В системе автоматическое обновление не происходит, т.е. при выборе обновить просто тишина.
24.01.2011, 14:04
koalexx

Вложений: 1

Вот сделал таки логи. Карантин отослал также чуть ранее
24.01.2011, 14:13
light59

Скачайте на каком либо компьютере [URL="http://forum.oszone.net/thread-182066.html"]Security Service Pack 4 для русской Windows XP SP3.[/URL] и установите.
24.01.2011, 17:16
koalexx

Вот логи после установления Security Service Pack 4 для русской Windows XP SP3
Только что узнал, в сети ggdrive32 тоже на паре компов "гонял" администратор :(
24.01.2011, 17:55
light59

Блин, куда у вас АВ смотрит...
Сейчас скрипт сделаю

[size="1"][color="#666686"][B][I]Добавлено через 6 минут[/I][/B][/color][/size]

[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('D:\WINDOWS\system32\87.exe','');
QuarantineFile('D:\WINDOWS\system32\61.exe','');
QuarantineFile('D:\WINDOWS\system32\46.exe','');
QuarantineFile('D:\WINDOWS\system32\36.exe','');
QuarantineFile('D:\WINDOWS\ggdrive32.exe','');
QuarantineFile('D:\Documents and Settings\Admin\Application Data\bowcav.exe','');
QuarantineFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1413\syitm.exe,explorer.exe,D:\Documents and Settings\Admin\Application Data\bowcav.exe,Explorer.exe','');
QuarantineFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1413\syitm.exe','');
TerminateProcessByName('d:\windows\ggdrive32.exe');
QuarantineFile('d:\windows\ggdrive32.exe','');
DeleteFile('d:\windows\ggdrive32.exe');
DeleteFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1413\syitm.exe');
DeleteFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1413\syitm.exe,explorer.exe,D:\Documents and Settings\Admin\Application Data\bowcav.exe,Explorer.exe');
DeleteFile('D:\Documents and Settings\Admin\Application Data\bowcav.exe');
DeleteFile('D:\WINDOWS\ggdrive32.exe');
DeleteFile('D:\WINDOWS\system32\36.exe');
DeleteFile('D:\WINDOWS\system32\46.exe');
DeleteFile('D:\WINDOWS\system32\61.exe');
DeleteFile('D:\WINDOWS\system32\87.exe');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Tnaww');
RegKeyParamDel('HKEY_LOCAL_MACHINE',' Software\Microsoft\Windows NT\CurrentVersion\Winlogon',' Taskman');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Microsoft Driver Setup');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','Microsoft Driver Setup');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]
шлём карантин.
Делаем логи.

[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]

Для справки
D:\CLTest.exe - [noparse]not-a-virus:PSWTool.Win32.OEPass.dv[/noparse]
24.01.2011, 19:09
koalexx

Вот логи, карантин вкачал
24.01.2011, 19:31
light59

[CODE]begin
ExecuteWizard('TSW',2,3,true);
end.[/CODE]

Пока ничего плохого.
24.01.2011, 21:53
koalexx

Буду надеятся :) Большое спасибо за помощь - последний скрипт к сожалению выполню и проверю теперь только через пару дней. :)
25.01.2011, 21:53
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]4[/B][*]Обработано файлов: [B]115[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\recycler\\r-1-5-21-1482476501-1644491937-682003330-1013\\acleaner.exe - [B]Trojan.Win32.Pincav.awwj[/B] ( DrWEB: BackDoor.IRC.Bot.166, BitDefender: Trojan.Generic.KD.115940, AVAST4: Win32:Trojan-gen )[*] c:\\recycler\\s-1-5-21-0243556031-888888379-781863308-1413\\syitm.exe - [B]P2P-Worm.Win32.Palevo.bphn[/B] ( DrWEB: BackDoor.IRC.Bot.166, BitDefender: Trojan.Generic.KD.115940, AVAST4: Win32:Trojan-gen )[*] c:\\recycler\\s-1-5-21-0243556031-888888379-781863308-1413\\syitm.exe - [B]P2P-Worm.Win32.Palevo.bpga[/B] ( DrWEB: BackDoor.Ddoser.131, BitDefender: Trojan.Generic.KD.115184, AVAST4: Win32:Trojan-gen )[*] c:\\windows\\system32\\krdnnsc.dll - [B]Trojan-Ransom.Win32.Cidox.gen[/B] ( DrWEB: Trojan.Mayachok.based, BitDefender: Trojan.Generic.6258885, NOD32: Win32/Agent.SFM trojan )[*] d:\\documents and settings\\admin\\application data\\bowcav.exe - [B]P2P-Worm.Win32.Palevo.bpim[/B] ( DrWEB: BackDoor.Ddoser.131, BitDefender: Trojan.Generic.KD.115526, NOD32: Win32/Bflient.K worm, AVAST4: Win32:Trojan-gen )[*] d:\\documents and settings\\admin\\pf.exe - [B]P2P-Worm.Win32.Palevo.bpgy[/B] ( DrWEB: BackDoor.Ddoser.131, BitDefender: Trojan.Generic.KD.115526, NOD32: Win32/Bflient.K worm, AVAST4: Win32:Trojan-gen )[*] d:\\windows\\ggdrive32.exe - [B]Net-Worm.Win32.Kolab.sel[/B] ( DrWEB: BackDoor.Ddoser.131, BitDefender: Trojan.Generic.5893988, AVAST4: Win32:Trojan-gen )[*] d:\\windows\\ggdrive32.exe - [B]Net-Worm.Win32.Kolab.sfy[/B] ( DrWEB: BackDoor.IRC.Bot.166, BitDefender: Trojan.Generic.5750516, AVAST4: Win32:Trojan-gen )[*] d:\\windows\\system32\\txyrm.exe - [B]Backdoor.Win32.SdBot.wac[/B] ( DrWEB: BackDoor.IRC.Bot.743, BitDefender: Backdoor.Bot.133463, NOD32: Win32/AutoRun.IRCBot.FC worm, AVAST4: Win32:VB-YLY [Trj] )[*] d:\\windows\\system32\\01.exe - [B]Packed.Win32.Krap.ig[/B] ( DrWEB: BackDoor.Ddoser.131, BitDefender: Trojan.Generic.KD.115526, NOD32: Win32/AutoRun.KS worm, AVAST4: Win32:Trojan-gen )[*] d:\\windows\\system32\\05.exe - [B]Trojan.Win32.Pincav.awwj[/B] ( DrWEB: BackDoor.IRC.Bot.166, BitDefender: Trojan.Generic.KD.115940, AVAST4: Win32:Trojan-gen )[*] d:\\windows\\system32\\13.exe - [B]Trojan.Win32.Pincav.awuy[/B] ( DrWEB: BackDoor.Ddoser.131, BitDefender: Trojan.Generic.KD.115184, NOD32: Win32/AutoRun.KS worm, AVAST4: Win32:Trojan-gen )[*] d:\\windows\\system32\\14.exe - [B]Trojan.Win32.Pincav.awuy[/B] ( DrWEB: BackDoor.Ddoser.131, BitDefender: Trojan.Generic.KD.115184, NOD32: Win32/AutoRun.KS worm, AVAST4: Win32:Trojan-gen )[*] d:\\windows\\system32\\17.exe - [B]Trojan.Win32.Pincav.awvo[/B] ( DrWEB: BackDoor.Ddoser.131, BitDefender: Trojan.Generic.KD.115184, AVAST4: Win32:Trojan-gen )[*] d:\\windows\\system32\\20.scr - [B]Backdoor.Win32.SdBot.wac[/B] ( DrWEB: BackDoor.IRC.Bot.743, BitDefender: Backdoor.Bot.133463, NOD32: Win32/AutoRun.IRCBot.FC worm, AVAST4: Win32:VB-YLY [Trj] )[*] d:\\windows\\system32\\21.exe - [B]Trojan.Win32.Pincav.awuy[/B] ( DrWEB: BackDoor.Ddoser.131, BitDefender: Trojan.Generic.KD.115184, NOD32: Win32/AutoRun.KS worm, AVAST4: Win32:Trojan-gen )[*] d:\\windows\\system32\\25.exe - [B]Trojan.Win32.Pincav.awuy[/B] ( DrWEB: BackDoor.Ddoser.131, BitDefender: Trojan.Generic.KD.115184, NOD32: Win32/AutoRun.KS worm, AVAST4: Win32:Trojan-gen )[*] d:\\windows\\system32\\27.exe - [B]Trojan.Win32.Pincav.awuz[/B] ( DrWEB: BackDoor.Ddoser.131, BitDefender: Trojan.Generic.KD.115184, NOD32: Win32/AutoRun.KS worm, AVAST4: Win32:Trojan-gen )[*] d:\\windows\\system32\\30.exe - [B]Trojan.Win32.Pincav.awwj[/B] ( DrWEB: BackDoor.IRC.Bot.166, BitDefender: Trojan.Generic.KD.115940, AVAST4: Win32:Trojan-gen )[*] d:\\windows\\system32\\32.exe - [B]Trojan.Win32.Pincav.awuz[/B] ( DrWEB: BackDoor.Ddoser.131, BitDefender: Trojan.Generic.KD.115184, NOD32: Win32/AutoRun.KS worm, AVAST4: Win32:Trojan-gen )[*] d:\\windows\\system32\\36.exe - [B]Trojan.Win32.Pincav.awwj[/B] ( DrWEB: BackDoor.IRC.Bot.166, BitDefender: Trojan.Generic.KD.115940, AVAST4: Win32:Trojan-gen )[*] d:\\windows\\system32\\37.exe - [B]Trojan.Win32.Pincav.awwr[/B] ( DrWEB: BackDoor.IRC.Bot.166, BitDefender: Trojan.Generic.6699674, NOD32: Win32/AutoRun.KS worm, AVAST4: Win32:Trojan-gen )[*] d:\\windows\\system32\\42.exe - [B]Trojan.Win32.Pincav.awuz[/B] ( DrWEB: BackDoor.Ddoser.131, BitDefender: Trojan.Generic.KD.115184, NOD32: Win32/AutoRun.KS worm, AVAST4: Win32:Trojan-gen )[*] d:\\windows\\system32\\46.exe - [B]Trojan.Win32.Pincav.awwj[/B] ( DrWEB: BackDoor.IRC.Bot.166, BitDefender: Trojan.Generic.KD.115940, AVAST4: Win32:Trojan-gen )[*] d:\\windows\\system32\\51.exe - [B]Trojan.Win32.Pincav.awvo[/B] ( DrWEB: BackDoor.Ddoser.131, BitDefender: Trojan.Generic.KD.115184, AVAST4: Win32:Trojan-gen )[*] d:\\windows\\system32\\61.exe - [B]Trojan.Win32.Pincav.awwj[/B] ( DrWEB: BackDoor.IRC.Bot.166, BitDefender: Trojan.Generic.KD.115940, AVAST4: Win32:Trojan-gen )[*] d:\\windows\\system32\\68.exe - [B]Trojan.Win32.Pincav.awuy[/B] ( DrWEB: BackDoor.Ddoser.131, BitDefender: Trojan.Generic.KD.115184, NOD32: Win32/AutoRun.KS worm, AVAST4: Win32:Trojan-gen )[*] d:\\windows\\system32\\70.exe - [B]Trojan.Win32.Pincav.awuz[/B] ( DrWEB: BackDoor.Ddoser.131, BitDefender: Trojan.Generic.KD.115184, NOD32: Win32/AutoRun.KS worm, AVAST4: Win32:Trojan-gen )[*] d:\\windows\\system32\\86.exe - [B]Trojan.Win32.Pincav.awwj[/B] ( DrWEB: BackDoor.IRC.Bot.166, BitDefender: Trojan.Generic.KD.115940, AVAST4: Win32:Trojan-gen )[*] d:\\windows\\system32\\86.exe - [B]Trojan.Win32.Pincav.awvo[/B] ( DrWEB: BackDoor.Ddoser.131, BitDefender: Trojan.Generic.KD.115184, AVAST4: Win32:Trojan-gen )[*] d:\\windows\\system32\\87.exe - [B]Trojan.Win32.Pincav.awwr[/B] ( DrWEB: BackDoor.IRC.Bot.166, BitDefender: Trojan.Generic.6699674, NOD32: Win32/AutoRun.KS worm, AVAST4: Win32:Trojan-gen )[/LIST][/LIST]