Printable View
Троян открывает всплывающие окна и загружает страницы из интернета, используя как MSExplorer, так и Firefox. Файрвол COMODO ругается что-то по поводу WinApi_DllInit, или вроде того. При сканировании система пару раз уходила в ребут. Ранее был заражен также LdPinch, но видимо удалил не польностью, до сих пор его находит НОД в временных файлах.
Помогите разобраться.
Логи в аттаче.
Выполните скрипт в AVZ:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\DRIVERS\rminiv3.sys','');
QuarantineFile('C:\WINDOWS\system32\drivers\pstrip.sys','');
QuarantineFile('C:\WINDOWS\system32\vturopo.dll','');
QuarantineFile('C:\WINDOWS\system32\awvtt.dll','');
QuarantineFile('c:\windows\explorer.exe','');
BC_ImportQuarantineList;
BC_Activate;
RebootWindows(true);
end.[/code]
Компьютер перезагрузится.
Пришлите содержимое карантина согласно приложению 3 правил.
Вдогонку:
У вас работают сразу две службы-сервера для удаленного управления вашим компьютером.
Это так и было задумано?
[code]
O23 - Service: Radmin Server V3 (RServer3) - Famatech International Corp. - C:\WINDOWS\system32\rserver30\rserver3.exe
O23 - Service: z2 Remote2PC Server (z2 R2PC Server) - z2 Software - p:\Program Files\z2 Remote2PC\R2PCServ.exe
[/code]
Содержимое карантина отправил.
По поводу служб удаленного доступа: раннее так было задумано, но теперь в них у меня уже нет необходимости. Готов их удалить из системы.
vturopo.dll определяется Касперским как [B]not-a-virus:AdWare.Win32.Virtumonde.jp[/B].
awvtt.dll - судя по результатам Virustotal, нечто свеженькое из той же серии.
Выполните скрипт в AVZ:
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\WINDOWS\system32\awvtt.dll');
DeleteFile('C:\WINDOWS\system32\vturopo.dll');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]
После перезагрузки пофиксите в HijackThis:
[code]
O2 - BHO: (no name) - {6418E868-1DCB-4225-ACAF-30ABB940A2EB} - C:\WINDOWS\system32\vturopo.dll
O2 - BHO: Google Desktop Search Capture - {7c1ce531-09e9-4fc5-9803-1c2956615786} - (no file)
O2 - BHO: (no name) - {A2DD6E39-4208-4287-A69C-7316A49BD627} - C:\WINDOWS\system32\awvtt.dll
O3 - Toolbar: (no name) - {4E7BD74F-2B8D-469E-8DA9-FD60BB9AAE33} - (no file)
O20 - Winlogon Notify: awvtt - C:\WINDOWS\system32\awvtt.dll
O20 - Winlogon Notify: vturopo - C:\WINDOWS\SYSTEM32\vturopo.dll
[/code]
(некоторых строк может и не оказаться).
Программы удаленного администрирования удаляйте штатными средствами, если не получится - дам доп. инструкции.
Проверьте с помощью поиска файлов в AVZ, присутствуют ли следующие файлы:
C:\UPSctrl\DataShield\scripts\win2000\jsl.exe
C:\WINDOWS\System32\snmp.exe
C:\WINDOWS\System32\snmptrap.exe
Q:\Alcohol\Alcohol 120\StarWind\StarWindService.exe
спасибо за помощь!
Скрипт выполнил.
В HijackThis пофиксил.
По файлам:
C:\UPSctrl\DataShield\scripts\win2000\jsl.exe [B]- отсутствует[/B]
C:\WINDOWS\System32\snmp.exe [B]- отсутствует[/B]
C:\WINDOWS\System32\snmptrap.exe [B]- отсутствует[/B]
Q:\Alcohol\Alcohol 120\StarWind\StarWindService.exe [B]- отсутствует[/B]
Что делать дальше?
По поводу 4-х отсутствующих файлов - можно зачистить мусор в реестре, для этого проще всего использовать окошко командной строки, в котором набрать следующие команды:
[I]sc delete DataShield
sc delete SNMP
sc delete SNMPTRAP
sc delete StarWindService[/I]
Сделайте новые логи, начиная с п.10 правил.
Логи в аттаче.
Подскажите, какой , по вашему мнению, автоматической системой вирусной защиты стоит пользоваться в будущем для предубеждения подобных текущей ситуаций? Сейчас использую NOD32+COMODO Personal Firewall.
Похоже, еще не все... Новенькое что-то появилось.
Выполните скрипт:
[code]
begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\System32\mstask.dll','');
QuarantineFile('C:\WINDOWS\system32\uccchkxn.dll','');
BC_ImportQuarantineList;
BC_Activate;
RebootWindows(true);
end.[/code]
и пришлите карантин по правилам.
карантин закачан.
mstask.dll - чистый.
uccchkxn.dll - свежая модификация [B]Trojan.Virtumod[/B]
Выполните скрипт:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\WINDOWS\system32\uccchkxn.dll');
BC_DeleteFile('C:\WINDOWS\system32\uccchkxn.dll');
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]
Попробуйте разыскать вручную файл [B]netman.dll[/B].
Если найдется, пришлите по правилам.
Скрипт выполнен.
netman.dll[B] - найден[/B]
[CODE]C:\WINDOWS\$NtUninstallKB905414$\netman.dll
C:\WINDOWS\system32\netman.dll[/CODE]
Архивирован вручную с паролем "virus" (поместить в карантин через AVZ не удалось),
отправлен согласно процедуре.
[QUOTE=ivmreg;110716]
[CODE]C:\WINDOWS\$NtUninstallKB905414$\netman.dll
C:\WINDOWS\system32\netman.dll[/CODE]
[/QUOTE]
оба файла - оригиналы Made in Richmond ;) .
netman'ы оригинальные.
Сделайте еще раз новые логи, начиная с п.10 правил.
Предыдущие шаги выполнил, отсылаю контрольный отчет.
Теперь все чисто. Разве что вот эти две службы:
[code]
O23 - Service: Диспетчер сеанса справки для удаленного рабочего стола (RDSessMgr) - Корпорация Майкрософт - C:\windows\system32\sessmgr.exe
O23 - Service: Telnet (TlntSvr) - Корпорация Майкрософт - C:\WINDOWS\System32\tlntsvr.exe[/code]
я бы рекомендовал отключить, если конечно вы их не используете.
[QUOTE]Подскажите, какой , по вашему мнению, автоматической системой вирусной защиты стоит пользоваться [/QUOTE]
Лично мое мнение: Kaspersky Internet Security.
[B]Большое спасибо за оперативную и профессиональную помощь![/B]
Я последую Вашим советам, эти службы я не использую.
Ещё раз спасибо! :-)
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]3[/B][*]Обработано файлов: [B]18[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\windows\\system32\\awvtt.dll - [B]not-a-virus:AdWare.Win32.Virtumonde.fp[/B] (DrWEB: Trojan.Virtumod)[*] c:\\windows\\system32\\uccchkxn.dll - [B]not-a-virus:AdWare.Win32.Virtumonde.ar[/B] (DrWEB: BackDoor.Iterator)[*] c:\\windows\\system32\\vturopo.dll - [B]not-a-virus:AdWare.Win32.Virtumonde.jp[/B] (DrWEB: Trojan.Virtumod)[/LIST][/LIST]