Заблокирован доступ на все антивирусные сайты [Trojan.Win32.Genome.taql ]

Здравствуйте.

Проблема следующая. У меня был установлен NOD32, базы обновлялись регулярно. Несколько дней назад возникла проблема с файлом autorun.info, который удалялся НОДом постоянно, где-то раз в 10—15 минут, иногда чаще. Вчера то же самое стало происходить с файлами формата *.jpg и названиями из набора цифр и букв. Это мешало работе и я решил провериться Касперским.

Я скачал и запустил Kaspersky Virus Removal Tool 7.0, он нашел несколько файлов с расширением *.dll и *.exe, сказав, что это Trojan-GameThief.Win32.Magania и что эти файлы будут удалены при перезапуске. Далее было так: завершив проверку и удалив другие зараженные файлы программа открыла окно «Лечение активных угроз» и дойдя до файла kernel32.dll зависла.

Перезапустив компьютер, я повторил проверку. Случилось то же самое, включая нахождение зараженных файлов и сообщение об их удалении после перезапуска.

Тогда я скачал пробную версию KIS-2009 и установил её. Программа не смогла ни зарегистрироваться, ни обновить базы. Тогда же я заметил, что сайт kaspersky.ru перестал открываться. НОД при этом больше не сообщал об удалении файлов autorun.info. Дальше компьютер работал как обычно.

Однако уже сегодня я не смог работать с Вордом, поскольку он внезапно захватил 90% ресурсов процессора (а может и не он, но компьютер тормозил так, что работать стало невозможно). Я пошел на сайт kaspersky.ru и снова не смог на него зайти. Я попробовал сайты других производителей антивирусов, и также не смог на них зайти. То же самое с сайтом Майкрософта. [COLOR=black]При этом удается зайти на эти сайты через IP — в адресной строке Файрфокса сейчас «http://216.246.90.119/newthread.php?do=newthread&f=46».

Я не сумел выключить НОД32 и удалил его, всё равно он уже не мог обновиться, и прошёл все пункты Правил.

Очень прошу помочь.
Спасибо.
[/COLOR]
П.С.
Заметил тогда ещё вот что, может это важно:
1) При двойном щелчке на любом разделе диска в "Моём компьютере" содержимое диска появлялось в новом окне. При этом двойной щелчок на папке открывал содержимое папки в том же окне.
2) Скрытые файлы не отображались.
3) После перезапуска на какую-то долю секунды появлялось и сразу исчезало окно терминала как при выполнении команды «ping».
4) Были проблемы с DirectSound — отсутствовал звук.

Выполните скрипт в AVZ:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\win_nrc.dll','');
QuarantineFile('C:\WINDOWS\system32\undname.exe','');
QuarantineFile('C:\DOCUME~1\Sasha\LOCALS~1\Temp\winlogon.exe','');
QuarantineFile('C:\WINDOWS\system32\01.tmp','');
QuarantineFile('C:\WINDOWS\system32\fci.exe','');
QuarantineFile('C:\WINDOWS\system32\ifiijqv.dll','');
DeleteFile('C:\WINDOWS\system32\ifiijqv.dll');
DeleteFile('C:\WINDOWS\system32\fci.exe');
DeleteFile('C:\WINDOWS\system32\01.tmp');
DeleteFile('C:\DOCUME~1\Sasha\LOCALS~1\Temp\winlogon.exe');
DeleteFile('C:\WINDOWS\system32\undname.exe');
DeleteFile('C:\WINDOWS\system32\win_nrc.dll');
BC_ImportDeletedList;
ExecuteSysClean;
BC_DeleteSvc('vfrjlsnnh');
BC_DeleteSvc('ovlmix');
BC_DeleteSvc('mcysug');
BC_DeleteSvc('jcfxwpb');
BC_DeleteSvc('hhwta');
BC_DeleteSvc('cghnpsyq');
BC_DeleteSvc('asxnxh');
BC_DeleteSvc('FCI');
BC_Activate;
RebootWindows(true);
end.[/code]
Компьютер перезагрузится.
Пришлите карантин согласно приложению 3 правил
(загружать тут: [url]http://virusinfo.info/upload_virus.php?tid=37141[/url]).
Сделайте новые логи (только п.2 и 3 раздела Диагностика).

Скрипт выполнил.
Карантин выслал.
Пункты 2 и 3 прошёл.

Вот новые логи.

Что делать дальше?

Полегчало или нет?

Что хорошего — перестали открываться отдельные окна для отображения содержимого дисков через «Мой компьютер». Кажется, это прогресс! Также перестал виснуть Ворд, он больше не перебирает на себя 90+% ресурсов процессора. Работать на компьютере стало, в принципе, возможно.

Однако, доступ на сайты: kaspersky.ru, virusinfo.info, microsoft.com через доменное имя по прежнему закрыт. Выхожу на них по IP. Сайты Касперского и Майкрософта, при этом, выглядят странно, как бы без графики, только текст.

Кроме того, скрытые файлы по прежнему не отображаются.

Сейчас у меня не установлен ни один антивирус, меня это беспокоит. Может попробовать снова установить KIS-2009? Но сможет ли он зарегистрироваться и обновиться?

Установите AVZPM и сделайте логи AVZ...

>Установите AVZPM и сделайте лог[B]и[/B] AVZ...

Правильно ли я понял, что нужно было сделать логи AVZ и HiJackThis?
Вот лог AVZ с установленным AVZPM и новый лог HiJackThis.

virusinfo_syscure.zip нужен...

Простите за невнимательность. Вот, сделал всё заново.

[URL="http://virusinfo.info/showthread.php?t=7239"]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".
[/URL]

[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\WINDOWS\system32\ifiijqv.dll');
DeleteFileMask('%tmp%','*.* ',true);
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]

Повторите логи AVZ...

Ура! Сайты уже открываются, спасибо! Однако функция отображения скрытых файлов всё ещё не работает. Прилагаю новые логи.

выполните скрипт
[code]
begin
ExecuteRepair(6);
ExecuteRepair(8);
RebootWindows(true);
end.
[/code]

Выполнил. Скрытые файлы появились!

Среди них некий qoes.bat на всех разделах диска. Кажется, Касперский или Доктор Веб говорили, что это вирус, но я могу ошибаться. Сейчас вышлю логи на проверку...

qoes.bat - пришлите согласно приложения2 правил

Вот последние логи.
Сейчас вышлю подозрительный файл.

Выслал карантин. Доступ к сайтам снова пропал!
Очень благодарен за помощь и жду дальнейших рекомендаций.

оно понятно Windows XP SP2 -> нужно обновлять до sp3 + все остальные обновления
выполните скрипт
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
DeleteFile('C:\qoes.bat');
DeleteFile('d:\qoes.bat');
DeleteFile('e:\qoes.bat');
DeleteFile('f:\qoes.bat');
BC_ImportDeletedList;
BC_Activate;
ExecuteSysClean;
RebootWindows(true);
end.
[/code]
повторите логи

Сейчас поставлю систему обновляться. Потом что делать, прислать логи на проверку?

Не могу зайти на windowsupdate.microsoft.com ни через доменное имя, ни через IP (207.46.18.94). Windows Update с компьютера не видит активное интернет-соединение. Что делать?

Только что увидел скрипт. Сейчас выполню и повторю логи. Спасибо!

Выполнил скрипт. Файлы qoes.bat исчезли.

Доступ к сайтам по прежнему отсутствует.
Вот последние логи.

Выполните скрипт из сообщения #10.

[QUOTE]Сейчас у меня не установлен ни один антивирус, меня это беспокоит. Может попробовать снова установить KIS-2009?[/QUOTE]
Очень правильная мысль ;)

Здравствуйте. Выполнение всех необходимых процедур заняло больше времени, чем я рассчитывал, но теперь, кажется, всё в порядке. Я сделал следующее:

• Выполнил скрипт из сообщения #10.
• Установил KIS-2009, успешно зарегистрировался и обновил базы.
• Поставил компьютер на проверку «по максимуму» — найдено 415 уязвимостей и ни одного вируса.
• Установил ServicePack 3.
• Через Windows Update установил 32 из 46 предложенных критических обновлений — ровно столько успело закачаться до того, как на компьютер попали обновления KB892130 (WGA Validation Tool), а затем и KB905474 (WGA Notification), неосмотрительно включённые мной в список установки...
• Снова поставил компьютер на максимальную проверку — найдено 414 уязвимостей и удалено 2 графических файла с вирусом Net-Worm.Win32.Kido.ci. Потом в безопасном режиме проверил компьютер утилитой CureIt. Из папки C:\Windows\Temp удалено 7 файлов с вирусом Trojan.PSW.Wsgame.4983. Возможно, вирусы были подхвачены в ходе борьбы с WGA.
• Далее сделал всё по правилам. Логи прилагаются.

Жалоб нет. Посмотрите, пожалуйста, всё ли чисто.
Очень признателен за помощь.

Выполните еще раз скрипт и повторите логи...

Выполнил ещё раз скрипт из сообщения #10. После перезагрузки KIS выдал окошко «Обнаружено вредоносное ПО». Была только одна опция — «Обезвредить все», которую я и выбрал. Дальше ничего не произошло. Где посмотреть, что именно было обнаружено, я не знаю. Сейчас сделаю логи.

Выполнил скрипт лечения/карантина и сбора информации, перезагрузил компьютер. Касперский снова сообщил о вредоносном ПО и предложил его нейтрализовать, я щелкнул по предложенной опции.

Тут же появилось сообщение о попытке доступа Generic.Host.что-то-там (не успел запомнить) ко всё той же ifiijqv.dll. Потом сообщение о невозможности удаления файла и внесении записи в журнал.

Выполнил второй скрипт и сканирование HiJackThis. Выкладываю логи.

Эта заплатка [url]http://www.microsoft.com/technet/security/Bulletin/MS08-067.mspx[/url] стоит?

Нет.
Уже закачал. Установить?

Да...

Установил КВ958644 → Перезагрузка
Касперский: Обнаружено вредоносное ПО → Нейтрализовать все
В файле С:\Windows\System32\ifiijqv.dll найден вирус Net.Worm.Win32.Kido.ci → Удалить
Лечение вредоносного ПО → Быстрая проверка → Перезагрузка.

Пока тихо. Что делать дальше?

Логи AVZ сделайте...

Сделал.
После перезагрузки тихо.

В логах тоже тишина...

Возможно, это важно.
До последней перезагрузки KIS постоянно блокировал атаки через порт 445 с компьютеров в нашей VPN, IP 10.9.хх.хх. Сообщения появлялись постоянно, это мешало работе и я отключил показ уведомлений о сетевых атаках. Сейчас вспомнил об этом и включил уведомления снова.
Пока тихо.

Стоп.
Только что заблокирована атака. Вопрос: могут ли эти атаки быть проявлением активности вируса Kido или какого-либо другого? Или это в нашей сети у пользователей машины заражённые и с них идут атаки?

А вас так и будут долбить если машины в сети заражены...

Запись про атаку в отчёте KIS выглядит так:

Сетевой пакет TCP от 10.9.2.30 на локальный порт 445 Обнаружено: Intrusion.Win.NETAPI.buffer-overflow.exploit

Что это? Беспокоит словосочетание «Обнаружено exploit». Еxploit — уязвимость? Я правильно понимаю, что KIS сообщает об уязвимости моего компьютера?

Кис блокирует эту атаку, червь получает адреса машин в сети и начинает их атаковать...

То есть, пока KIS их блокирует можно не волноваться?

Точно :)

А лучше закрыть эти порты...

Поискал по форуму — заплатка КВ958644 именно от таких атак?

[size="1"][color="#666686"][B][I]Добавлено через 3 минуты[/I][/B][/color][/size]

[quote=Гриша]А лучше закрыть эти порты...[/quote]
Порт один и тот же, вчера и сегодня. Как можно закрыть порт — KIS тут, наверное, не поможет, нужен брандмауер?

Или, может настроить добавление атакующего компьютера в список блокирования на, допустим, 9999 минут. Что посоветуете?

Воспользуйтесь приложенной утилитой :)

Спасибо, так намного лучше!


Всем, кто откликнулся и помог мне — [B]Bratez[/B], [B]V_Bond[/B], [B]Гриша[/B], — спасибо вам огромное! :thank_you2:
Будьте здоровы и богаты! Удачи вам! :smile: