Поймал вирус Beagle ...никак не избавиться

Printable View

Показывать 40 сообщений этой темы на одной странице

29.10.2009, 03:50
Aleksandra

Хорошо. Скачайте autoruns от sysinternals [url]http://technet.microsoft.com/en-us/sysinternals/bb963902.aspx[/url] Запустите, разверните окно и сделайте скриншот. Должно быть примерно так [url]http://www.ixbt.com/soft/sysinternals-autoruns.shtml[/url]
29.10.2009, 04:01
loungeserj

Перегрузился создал новую папку и АВЗ дал нормальный карантин,скриншот авторана ещё нужен?
29.10.2009, 04:04
Aleksandra

Давайте.

[size="1"][color="#666686"][B][I]Добавлено через 2 минуты[/I][/B][/color][/size]

Все я его увидела! Карантин у нас. Сейчас напишу скрипт.
29.10.2009, 04:11
loungeserj

В скриншот всё не влезет если фотать everything (или другую закладку? )
можно сохранить в текстовый файл но там не понятно или с их фирменным разрешением .арн (но весит 6 метроов ). Как лучше сделать.У меня ещё есть Gmer ,он кстати в хайд процесс показывает что-то.
29.10.2009, 04:13
Aleksandra

1. Отключите восстановление системы и антивирус.
2. Выполните скрипт в AVZ:

[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteService('srosa');
DeleteFile('C:\Documents and Settings\Sergey\Application Data\drivers\wfsintwq.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\ropfjjpl.sys');
DeleteFile('C:\Program Files\Microsoft ActiveSync\wcescomm.exe');
RegKeyParamDel('HKEY_CURRENT_USER','SoftwareMicrosoftWindowsCurrentVersionRun','H/PC Connection Agent');
BC_ImportDeletedList;
ExecuteSysClean;
BC_DeleteSvc('ropfjjpl');
BC_Activate;
RebootWindows(true);
end.[/CODE]После выполнения скрипта компьютер перезагрузится!

3. Сделайте полный комплект логов используя обычный AVZ, только не забудьте обновить его базы.
29.10.2009, 04:24
loungeserj

ошибка в 11:1
29.10.2009, 04:27
Aleksandra

Сорри. Уже исправила. Выполняйте.
29.10.2009, 04:38
loungeserj

winupgro.exe всё ещё жив,авз нормальный не пашет.Могу отчёт из Рут Репила по процессам прислать,он его как раз видит,не надо?
29.10.2009, 04:44
Aleksandra

Давайте + логи полиморфной версии.
29.10.2009, 05:01
loungeserj

пока вот,авз пришпилило сканирует...а ну и winupgro .exe впроцессах наверное в логе ща не видно будет так как я его перед этим убил,а так он лежит в aplication data/drivers
29.10.2009, 05:12
Aleksandra

1. Отключите восстановление системы и антивирус.
2. Выполните скрипт в AVZ:

[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteService('srosa');
DeleteFile('C:\WINDOWS\System32\Drivers\sr.sys');
DeleteFile('C:\Documents and Settings\Sergey\Application Data\drivers\winupgro.exe');
DeleteFile('C:\Documents and Settings\Sergey\Application Data\drivers\wfsintwq.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\ropfjjpl.sys');
DeleteFile('C:\Program Files\Microsoft ActiveSync\wcescomm.exe');
RegKeyParamDel('HKEY_CURRENT_USER','SoftwareMicrosoftWindowsCurrentVersionRun','H/PC Connection Agent');
BC_ImportDeletedList;
ExecuteSysClean;
BC_DeleteSvc('ropfjjpl');
BC_Activate;
RebootWindows(true);
end.[/CODE]
После выполнения скрипта компьютер перезагрузится!

3. Сделайте полный комплект логов используя обычный AVZ, только не забудьте обновить его базы.
29.10.2009, 22:01
loungeserj

Спасибо,всё выполнил,логи приложил.По-моему последний гадёныш остался.;)
29.10.2009, 22:05
Aleksandra

1. Отключите восстановление системы и антивирус.
2. Выполните скрипт в AVZ:

[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('%System32%\drivers\srosa.sys','');
QuarantineFile('%System32%\drivers\hldrrr.exe','');
QuarantineFile('%System32%\wintems.exe','');
QuarantineFile('%System32%\drivers\mdelk.exe','');
QuarantineFile('%System32%\mdelk.exe','');
QuarantineFile('C:\Documents and Settings\Sergey\Application Data\drivers\downld\159406.exe','');
QuarantineFile('C:\123\cmos.com','');
QuarantineFile('C:\Documents and Settings\Sergey\Application Data\m\flec006.exe','');
QuarantineFile('C:\Documents and Settings\Sergey\Application Data\drivers\winupgro.exe','');
DeleteService('srosa');
DeleteFile('C:\Documents and Settings\Sergey\Application Data\drivers\wfsintwq.sys');
DeleteFile('C:\Documents and Settings\Sergey\Application Data\drivers\winupgro.exe');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','drvsyskit');
DeleteFile('C:\Documents and Settings\Sergey\Application Data\m\flec006.exe');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','mule_st_key');
DeleteFile('C:\123\cmos.com');
DeleteFile('C:\Documents and Settings\Sergey\Application Data\drivers\downld\*.*');
DeleteFile('%System32%\drivers\hldrrr.exe');
DeleteFile('%System32%\drivers\srosa.sys');
DeleteFile('%System32%\wintems.exe');
DeleteFile('%System32%\drivers\mdelk.exe');
DeleteFile('%System32%\mdelk.exe');
BC_ImportALL;
ExecuteSysClean;
If DirectoryExists('%System32%\drivers\down') then
begin
DeleteFileMask('%System32%\drivers\down', '*.*', true);
DeleteDirectory('%System32%\drivers\down');
If DirectoryExists('%System32%\drivers\down') then
AddToLog('Папка down не удалена') else AddToLog('Папка down удалена');
end
else
AddToLog('Папки down нет');
If DirectoryExists('%System32%\drivers\downld') then
begin
DeleteFileMask('%System32%\drivers\downld', '*.*', true);
DeleteDirectory('%System32%\drivers\downld');
If DirectoryExists('%System32%\drivers\downld') then
AddToLog('Папка downld не удалена') else AddToLog('Папка downld удалена');
end
else
AddToLog('Папки downld нет');
If RegKeyParamExists('HKEY_CURRENT_USER', 'SOFTWARE\Microsoft\Windows\CurrentVersion\Run', 'drvsyskit') then
begin
AddToLog('Обнаружен параметр в реестре drvsyskit');
RegKeyParamDel('HKEY_CURRENT_USER', 'SOFTWARE\Microsoft\Windows\CurrentVersion\Run', 'drvsyskit');
If RegKeyParamExists('HKEY_CURRENT_USER', 'SOFTWARE\Microsoft\Windows\CurrentVersion\Run', 'drvsyskit') then
AddToLog('Ошибка удаления параметра drvsyskit') else
AddToLog('Параметр drvsyskit успешно удален');
end;
If RegKeyParamExists('HKEY_CURRENT_USER', 'SOFTWARE\Microsoft\Windows\CurrentVersion\Run', 'german.exe') then
begin
AddToLog('Обнаружен параметр в реестре german.exe');
RegKeyParamDel('HKEY_CURRENT_USER', 'SOFTWARE\Microsoft\Windows\CurrentVersion\Run', 'german.exe');
If RegKeyParamExists('HKEY_CURRENT_USER', 'SOFTWARE\Microsoft\Windows\CurrentVersion\Run', 'german.exe') then
AddToLog('Ошибка удаления параметра german.exe') else
AddToLog('Параметр german.exe успешно удален');
end;
if RegKeyExists('HKEY_CURRENT_USER', 'Software\FirstRRRun') then
begin
AddToLog('Найден ключ реестра FirstRRRun');
RegKeyDel('HKEY_CURRENT_USER', 'Software\FirstRRRun');
If RegKeyExists('HKEY_CURRENT_USER', 'Software\FirstRRRun') then
AddToLog('Ошибка удаления ключа реестра FirstRRRun') else
AddToLog('ключ реестра FirstRRRun успешно удален');
end;
BC_DeleteSvc('srosa');
BC_LogFile(GetAVZDirectory + 'boot_clr_B_d.log');
If BC_Activate then AddToLog('BootCleaner успешно активирован') else AddToLog('Внимание!!! BootCleaner не активирован!');
SaveLog(GetAVZDirectory + 'B_d.txt');
RebootWindows(true);
end.[/CODE]
После выполнения скрипта компьютер перезагрузится!

3. Повторите логи + приложите B_d.txt и boot_clr_B_d.log.

[COLOR="Red"][B]Скрипт выполните два раза![/B][/COLOR]
30.10.2009, 00:03
loungeserj

Логи
30.10.2009, 00:22
Aleksandra

1. Скачайте [URL="http://files.avast.com/files/beta/aswar.exe"]avast! antirootkit tool.[/URL] Проверьте им машину. После проверки выбираем "Fix now" и rebooting...
2. Отключите восстановление системы и антивирус.
3. Выполните скрипт в AVZ:

[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFileMask('C:\Documents and Settings\Sergey\Application Data\drivers\downld', '*.*', true);
DeleteDirectory('C:\Documents and Settings\Sergey\Application Data\drivers\downld');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]
После выполнения скрипта компьютер перезагрузится!

4. Повторите логи.
30.10.2009, 01:29
loungeserj

Авас ташёл 245 файлов нашал на фикс ,потом на ребут.Потом фикс авз и логи.
30.10.2009, 01:34
Aleksandra

Ничего зловредного в логах нет. Еще есть проблемы?
30.10.2009, 01:41
loungeserj

Нет,вроде всё в порядке.Большое спасибо =) А да и я вас спрашивал в личке,можете ответить.Спасибо ещё раз =)
30.10.2009, 01:48
Aleksandra

[QUOTE=loungeserj;496553]А да и я вас спрашивал в личке,можете ответить.[/QUOTE]
О чем? Продублируйте письмо в лс.
31.10.2009, 01:48
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]3[/B][*]Обработано файлов: [B]9[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\documents and settings\sergey\application data\drivers\wfsintwq.sys - [B]Trojan-Downloader.Win32.Bagle.avs[/B] ( DrWEB: Win32.HLLM.Beagle.324, BitDefender: Rootkit.Bagle.Gen, AVAST4: Win32:Beagle-AAW [Trj] )[*] c:\program files\microsoft activesync\wcescomm.exe - [B]Trojan-Downloader.Win32.Bagle.bji[/B][/LIST][/LIST]

Показывать 40 сообщений этой темы на одной странице