super.zavan.info и прочая нечисть

Буэнос Диас господа. У меня сегодня произошла такая проблема: внезапно, после проверки антивирусом локального диска "С:\" появились окошки с предупреждениями о вирусах. Нод требовал перезагрузить компьютер, что я и сделал, но после него окна появляться не перестали, а наоборот, участились. До такой степени, что компьютер стал подлагивать и зависать.
В диспетчере задач появился процесс J002, который я удалил, причем он появился в 2-х экземплярах сразу)
Я вначале посмотрел данную тему:
[url]http://virusinfo.info/showthread.php?t=47722[/url]
но, к сожалению, данные там советы мне не помогли, сообщения все равно выскакивают с завидной частотой.
Не знаю, связано это или нет, но перед этим у меня пару раз останавливалась служба ICS, которая связана каким-то образом с брандауэром и не давала соединяться с интернетом. Служба, не смотря на все мои попытки, не запускалась. Восстановление систему спасало.
Вот такая вот ситуация . taskettee...onegai:(

[URL="http://virusinfo.info/showthread.php?t=7239"]В AVZ -> файл-> Выполнить скрипт[/URL]

[CODE]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\smbsvc.dll','');
QuarantineFile('C:\WINDOWS\Temp\HTT2E3.tmp','');
QuarantineFile('C:\WINDOWS\system32\drivers\Vsp.sys','');
QuarantineFile('C:\WINDOWS\system32\htkhg.exe','');
StopService('sdtbns Service');
StopService('hongyang');
TerminateProcessByName('c:\windows\system32\qxl6oxgum\j002.exe');
TerminateProcessByName('c:\windows\system32\psn0q5skh\j002.exe');
QuarantineFile('c:\windows\system32\psn0q5skh\j002.exe','');
QuarantineFile('c:\windows\system32\qxl6oxgum\j002.exe','');
DeleteFile('c:\windows\system32\qxl6oxgum\j002.exe');
DeleteFile('c:\windows\system32\psn0q5skh\j002.exe');
DeleteFile('C:\WINDOWS\system32\htkhg.exe');
DeleteFile('C:\WINDOWS\Temp\HTT2E3.tmp');
DeleteFile('C:\WINDOWS\system32\smbsvc.dll');
DeleteFileMask('c:\windows\system32\psn0q5skh\', '*.*', true);
DeleteFileMask('c:\windows\system32\qxl6oxgum\', '*.*', true);
BC_Importall;
BC_DeleteSvc('hongyang');
BC_DeleteSvc('htkhg');
BC_DeleteSvc('sdtbns Service');
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/CODE]
Компьютер перезагрузится.
Пришлите карантин согласно правил по ссылке [URL="http://virusinfo.info/upload_virus.php?tid=47778"]http://virusinfo.info/upload_virus.php?tid=47778[/URL]

[B]Обновите базы AVZ![/B] (файл- обновление баз).
Повторите логи.

Базы-обновил, скрипт-выполнил, логи-отправляю,карантин-отослал.
С карантином что-то не то. Посмотрев логи нода, искал,как было написано в правилах, но в логах антивируса около 20 фалов 5788 раскиданных по папке sistem32 в нескольких директориях, например "C:\WINDOWS\system32\85WWEUOFH\5788.exe" , а найден был всего один.
Чаще других появляется :http:super.zavan.info/Library/Scanner.dll, уже около 200 раз показался(

Файл сохранён как 090612_235645_virus_4a32b2fdae185.zip
Размер файла 693564
MD5 f883696c8b1237a65cce93568142c220

забыл, вот карантин)

Закройте все программы.
Запустите AVZ. Выполните скрипт через меню Файл:
[code]
begin
SetAVZGuardStatus(True);
ClearQuarantine;
DeleteFile('C:\WINDOWS\system32\smbsvc.dll');
QuarantineFile('C:\WINDOWS\system32\P8WZPRYOL\5788.exe','');
DeleteFile('C:\WINDOWS\system32\P8WZPRYOL\5788.exe');
DeleteFile('C:\WINDOWS\system32\htkhg.exe');
QuarantineFile('c:\windows\system32\mscotry.dll','');
BC_DeleteSvc('sdtbns Service');
DeleteFile('c:\windows\system32\x5v6ug2q3\j002.exe');
DeleteFile('C:\WINDOWS\system32\X5V6UG2Q3\J002.exe');
DeleteFile('c:\windows\system32\mscotry.dll');
BC_ImportDeletedList;
BC_Activate;
RegKeyIntParamWrite('HKLM','SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer','NoDriveTypeAutoRun', 221);
ExecuteSysClean;
RebootWindows(true);
end.
[/code]
Компьютер перезагрузится.
Пришлите файлы из карантина AVZ (см. приложение 3 Правил), используя ссылку [color=red][b][u]Прислать запрошенный карантин[/u][/b][/color], вверху этой темы.

Скачайте файл [url]http://narod.ru/disk/9487011000/avz-poly.exe.html[/url] (это более свежая версия AVZ, но в ней не обновляются базы).
Сохраните в отдельную папку и выполните 2-й стандартный скрипт.
Файл с результатами (virusinfo_syscheck.zip) приложите к теме.

что-то случилось нехорошее, т.к. после применения скрипта, который вы написали, у меня рассоединяется интернет каждую минуту. Не могу из-за этого прислать карантин скачать файл. Что делать?

[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]

+постоянно идет исходящий трафик

Брандмауэр Windows включите.
Новый AVZ тогда не качайте.
Сделайте в старом AVZ лог из пункта 2 Диагностики и приложите к этой теме.

попытался включить брандмауэр, но: панель управления -> Бранмауэр Windows нажимаю, он пишет мне, что "Вследствие неопределенной ошибки не удаётся отобразить параметры брандмауэра Windows". Что примечательно, перезагрузив компьютер, я увидел, что брандауэр включен, но, при нажатии на ту же клавишу выдавалась та же самая ошибка. Псомотрев снова на его состояние, увидел, что брандмауэр выключен, и включить его не удаётся. Хочу напомнить, что и раньше возникала ошибка с ICS, но восстановление системы спасало. После данного вами скрипта сообщения о вирусах появляться перестали, но интернет стал вот таким.
Сейчас постараюсь прикрепить лог.

вот


удалось закачать карантин. Соединение вроде устаканилось. Брандмауэр не работает.

Файл сохранён как 090613_231414_virus_4a33fa86dbebf.zip
Размер файла 398478
MD5 ce49b97536047fe7f514d455bad43046

Похоже, компьютер перезаражается по сети через некую уязвимость.
Отключите в свойствах подключения к сети [B]Клиент для сетей Microsoft[/B] и [B]Службу доступа к файлам[/B].
Установите надежные пароли на учетные записи пользователей с правами администратора.

сейчас сделаю. Я скачал поли-авз. Выполнить второй стандартный скрипт?
надежные пароли-это в смысле около 12 символов?:>

...состоящие из букв (не только латинских и в разных регистрах), цифр и специальных символов.

сделал. Выключил, включил интернет, ситуация та же - идут сбои. Первые минут 5-10 меня выкидывает, потом стабилизируется

[size="1"][color="#666686"][B][I]Добавлено через 49 минут[/I][/B][/color][/size]

а что еще можно сделать? скачет соединение ужасно

Похоже, это у Вас работает BackDoor.Darkshell.71 по ДрВебу.
\windows\system32\duba.exe infected with BackDoor.Darkshell.71 - deleted
Получает инструкции с 60.173.10.139, в данное время ддосит адрес 222.189.228.9
трафик действительно генерит бешеный, потому соединение и скачет.

[size="1"][color="#666686"][B][I]Добавлено через 21 минуту[/I][/B][/color][/size]

Вообще-то в Правилах есть это:
2. Проверьте компьютер с помощью AVPTool или CureIt! в безопасном режиме. К найденному следует применять действие "Лечить", а неизлечимые перемещать или удалять. После этого перезагрузитесь в обычный режим.

Выполнение этого пункта уже помогло бы Вам. Совершенно напрасно не выполнили.

я проверял позавчера, он действительно находил несколько ,БэкДор-ов, то что мог, лечил, то что нет- удалял. сегодня попробую заново

Очень возможно, что Andreyka прав:
[QUOTE]
Похоже, компьютер перезаражается по сети через некую уязвимость.
[/QUOTE]
Заткните дыры - ставьте сервис-пак 3 и заплатки после него, особенно те, что упомянуты в [url=http://support.kaspersky.ru/wks6mp3/error?qid=208636215] статье про Кидо [/url]. Смотрите там ссылки на "патчи, закрывающие уязвимости MS08-067, MS08-068, MS09-001".

[size="1"][color="#666686"][B][I]Добавлено через 4 минуты[/I][/B][/color][/size]

Думаю, эти три заплатки могут помочь и без sp3, их стоило бы поставить в первую очередь.

Патчи установил. Компьютер проверил. Нашел 205 вирусов. Все удалились. Ни один не вылечился. Теперь вроде трафик не поедается, но в процессах до сих пор висит J002. Брандмауэр-работать не желает. Может, поставить Comodo?

Comodo попробовать можно.
А мне, всё таки, любопытно взглянуть на лог новой AVZ (ccылка в сообщении #4).

любопытство-не порок) прикрепляю второй скрипт, "сбор информации")

Закройте все программы.
Запустите AVZ. Выполните скрипт через меню Файл:
[code]
begin
SetAVZGuardStatus(True);
BC_DeleteSvc('stp Service');
BC_DeleteSvc('PctaSvc');
QuarantineFile('c:\windows\system32\rnmwtvc.dll','');
QuarantineFile('c:\windows\system32\ailqjiypu\j002.exe','');
DeleteFile('c:\windows\system32\ailqjiypu\j002.exe');
DeleteFile('c:\windows\system32\rnmwtvc.dll');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SYSTEM\CurrentControlSet\Services\MediaSerial\Parameters','ServiceDll');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
Компьютер перезагрузится.
Пришлите файлы из карантина AVZ (см. приложение 3 Правил), используя ссылку [color=red][b][u]Прислать запрошенный карантин[/u][/b][/color], вверху этой темы.
Сделайте новый лог из пункта 2 Диагностики и приложите к этой теме.

По внешним проявлениям на Kido похож.

Сделано, сэр. Карантин прислал.

Файл сохранён как 090614_230507_virus_4a3549e3d661e.zip
Размер файла 61863
MD5 5f36251b068e7699319f1d7cce6b7f01

В настройках Комодо запретил J002 подключение к интернету.
Видимо, он ушел по английски, не попрощавшись, т.к. в процессах найден мною не был)