В процессах появился aadrive32.exe

Printable View

03.06.2011, 19:25
Leta

В процессах появился aadrive32.exe

Доброго времени суток! В процессах висит aadrive32.exe, в папке system32 появились 00.exe, 13.exe и подобные. Подключение к интернету есть, но при статичном ip-адресе старицы не загружаются, только при динамическом. Помогите, пожалуйста.
03.06.2011, 19:27
Info_bot

Уважаемый(ая) [B]Leta[/B], спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/donate/"]поддержите проект[/URL].
03.06.2011, 20:50
thyrex

Выполните скрипт в AVZ
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\60.exe','');
QuarantineFile('C:\WINDOWS\system32\25.exe','');
QuarantineFile('c:\RECYCLER\R-1-5-21-1482476501-1644491937-682003330-1013\acleaner.exe','');
QuarantineFile('C:\RECYCLER\S-1-5-21-0243936033-3052116371-381863308-1811\vsbntlo.exe','');
QuarantineFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1413\syitm.exe','');
QuarantineFile('C:\Documents and Settings\Admin\Application Data\Axriri.exe','');
TerminateProcessByName('c:\windows\aadrive32.exe');
QuarantineFile('c:\windows\aadrive32.exe','');
TerminateProcessByName('c:\documents and settings\admin\application data\3.tmp');
QuarantineFile('c:\documents and settings\admin\application data\3.tmp','');
TerminateProcessByName('c:\documents and settings\admin\application data\2.tmp');
QuarantineFile('c:\documents and settings\admin\application data\2.tmp','');
DeleteFile('c:\documents and settings\admin\application data\2.tmp');
DeleteFile('c:\documents and settings\admin\application data\3.tmp');
DeleteFile('c:\windows\aadrive32.exe');
DeleteFile('C:\Documents and Settings\Admin\Application Data\Axriri.exe');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Axriri');
DeleteFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1413\syitm.exe');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Tnaww');
DeleteFile('C:\RECYCLER\S-1-5-21-0243936033-3052116371-381863308-1811\vsbntlo.exe');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','12CFG214-K641-12SF-N85P');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Microsoft Driver Setup');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','Microsoft Driver Setup');
DeleteFile('c:\RECYCLER\R-1-5-21-1482476501-1644491937-682003330-1013\acleaner.exe');
DeleteFile('C:\WINDOWS\system32\25.exe');
DeleteFile('C:\WINDOWS\system32\60.exe');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Winlogon','Taskman');
RebootWindows(true);
end. [/code]Компьютер перезагрузится.

Пришлите карантин согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

Установите все [url="http://www.update.microsoft.com/microsoftupdate/v6/default.aspx?ln=ru"]новые обновления[/url] для Windows
Установите [url="http://www.microsoft.com/rus/windows/internet-explorer/default.aspx"]Internet Explorer 8[/url] (даже если им не пользуетесь)

Сделайте новые логи

Сделайте лог [url="http://virusinfo.info/showpost.php?p=457118&postcount=1"]полного сканирования МВАМ[/url]
04.06.2011, 09:04
Leta

Карантин отправила, обновления поставила, логи прилагаю
04.06.2011, 09:36
thyrex

[url="http://virusinfo.info/showpost.php?p=493584&postcount=2"]Удалите в МВАМ[/url] [b]только указанные строки[/b] [code]Заражённые процессы в памяти:
c:\documents and settings\Admin\application data\25.tmp (Trojan.FakeMS) -> 2472 -> No action taken.
c:\documents and settings\Admin\application data\27.tmp (Trojan.FakeMS) -> 772 -> No action taken.
c:\WINDOWS\system32\bsysmgr.exe (Worm.Palevo.XGen) -> 2912 -> No action taken.
c:\WINDOWS\jodrive32.exe (Worm.Palevo) -> 2096 -> No action taken.

Заражённые параметры в реестре:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\bsysmgr (Worm.Palevo.XGen) -> Value: bsysmgr -> No action taken.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\12CFG214-K641-12SF-N85P (Trojan.FakeMS) -> Value: 12CFG214-K641-12SF-N85P -> No action taken.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\Tnaww (Trojan.FakeMS) -> Value: Tnaww -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\Microsoft Driver Setup (Backdoor.IRCBot) -> Value: Microsoft Driver Setup -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run\Microsoft Driver Setup (Backdoor.IRCBot) -> Value: Microsoft Driver Setup -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\Microsoft Config Setup (Worm.Palevo) -> Value: Microsoft Config Setup -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run\Microsoft Config Setup (Worm.Palevo) -> Value: Microsoft Config Setup -> No action taken.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Shell (Worm.AutoRun) -> Value: Shell -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Taskman (Trojan.Agent) -> Value: Taskman -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\ac32 (Trojan.Agent) -> Value: ac32 -> No action taken.

Объекты реестра заражены:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Taskman (Trojan.FakeMS) -> Bad: (C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1413\syitm.exe) Good: () -> No action taken.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Shell (Hijack.Shell) -> Bad: (explorer.exe,C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1413\syitm.exe,Explorer.exe) Good: (Explorer.exe) -> No action taken.

Заражённые папки:
c:\RECYCLER\s-1-5-21-0243936033-3052116371-381863308-1811 (Trojan.Agent) -> No action taken.
c:\RECYCLER\s-1-5-21-0243556031-888888379-781863308-1413 (Worm.AutoRun) -> No action taken.
c:\RECYCLER\r-1-5-21-1482476501-1644491937-682003330-1013 (Worm.AutoRun.Gen) -> No action taken.

Заражённые файлы:
c:\documents and settings\Admin\application data\25.tmp (Trojan.FakeMS) -> No action taken.
c:\documents and settings\Admin\application data\27.tmp (Trojan.FakeMS) -> No action taken.
c:\WINDOWS\system32\bsysmgr.exe (Worm.Palevo.XGen) -> No action taken.
c:\RECYCLER\s-1-5-21-0243936033-3052116371-381863308-1811\vsbntlo.exe (Trojan.FakeMS) -> No action taken.
c:\RECYCLER\s-1-5-21-0243556031-888888379-781863308-1413\syitm.exe (Trojan.FakeMS) -> No action taken.
c:\documents and settings\Admin\application data\5.tmp (Trojan.FakeMS) -> No action taken.
c:\documents and settings\Admin\application data\1.tmp (Trojan.Agent.Gen) -> No action taken.
c:\documents and settings\Admin\application data\10.tmp (Trojan.Agent.Gen) -> No action taken.
c:\documents and settings\Admin\application data\11.tmp (Trojan.FakeMS) -> No action taken.
c:\documents and settings\Admin\application data\12.tmp (Trojan.FakeMS) -> No action taken.
c:\documents and settings\Admin\application data\14.tmp (Trojan.FakeMS) -> No action taken.
c:\documents and settings\Admin\application data\16.tmp (Trojan.FakeMS) -> No action taken.
c:\documents and settings\Admin\application data\1A.tmp (Trojan.FakeMS) -> No action taken.
c:\documents and settings\Admin\application data\1C.tmp (Trojan.FakeMS) -> No action taken.
c:\documents and settings\Admin\application data\21.tmp (Heuristics.Shuriken) -> No action taken.
c:\documents and settings\Admin\application data\22.tmp (Trojan.FakeMS) -> No action taken.
c:\documents and settings\Admin\application data\28.tmp (Trojan.FakeMS) -> No action taken.
c:\documents and settings\Admin\application data\3.tmp (Trojan.FakeMS) -> No action taken.
c:\documents and settings\Admin\application data\4.tmp (Trojan.Agent.Gen) -> No action taken.
c:\documents and settings\Admin\application data\6.tmp (Trojan.Agent.Gen) -> No action taken.
c:\documents and settings\Admin\application data\7.tmp (Trojan.FakeMS) -> No action taken.
c:\documents and settings\Admin\application data\8.tmp (Heuristics.Shuriken) -> No action taken.
c:\documents and settings\Admin\application data\9.tmp (Trojan.FakeMS) -> No action taken.
c:\documents and settings\Admin\application data\A.tmp (Heuristics.Shuriken) -> No action taken.
c:\documents and settings\Admin\application data\B.tmp (Trojan.FakeMS) -> No action taken.
c:\documents and settings\Admin\application data\C.tmp (Heuristics.Shuriken) -> No action taken.
c:\documents and settings\Admin\application data\D.tmp (Trojan.FakeMS) -> No action taken.
c:\documents and settings\Admin\application data\E.tmp (Heuristics.Shuriken) -> No action taken.
c:\documents and settings\Admin\application data\F.tmp (Trojan.FakeMS) -> No action taken.
c:\documents and settings\Admin\doctorweb\quarantine\aadrive32.exe (Trojan.Agent.Gen) -> No action taken.
c:\documents and settings\Admin\doctorweb\quarantine\axriri.exe (Trojan.Agent.Gen) -> No action taken.
c:\documents and settings\Admin\local settings\temporary internet files\Content.IE5\4LON3W6N\xxxxexi[1].exe (Worm.Palevo.XGen) -> No action taken.
c:\documents and settings\Admin\рабочий стол\avz4\Infected\2011-06-04\avz00001.dta (Worm.Conficker) -> No action taken.
c:\documents and settings\networkservice\local settings\temporary internet files\Content.IE5\2CWIU3XV\l[1].exe (Trojan.Downloader) -> No action taken.
c:\documents and settings\networkservice\local settings\temporary internet files\Content.IE5\2CWIU3XV\l[2].exe (Trojan.Downloader) -> No action taken.
c:\documents and settings\networkservice\local settings\temporary internet files\Content.IE5\4LON3W6N\l[1].exe (Trojan.Downloader) -> No action taken.
c:\documents and settings\networkservice\local settings\temporary internet files\Content.IE5\7ZTPH3VM\bqcqg[1].gif (Extension.Mismatch) -> No action taken.
c:\documents and settings\networkservice\local settings\temporary internet files\Content.IE5\7ZTPH3VM\l[1].exe (Trojan.Downloader) -> No action taken.
c:\documents and settings\networkservice\local settings\temporary internet files\Content.IE5\7ZTPH3VM\l[2].exe (Trojan.Downloader) -> No action taken.
c:\documents and settings\networkservice\local settings\temporary internet files\Content.IE5\7ZTPH3VM\l[3].exe (Trojan.Downloader) -> No action taken.
c:\documents and settings\networkservice\local settings\temporary internet files\Content.IE5\MAENNJAF\l[1].exe (Trojan.Downloader) -> No action taken.
c:\documents and settings\networkservice\local settings\temporary internet files\Content.IE5\MAENNJAF\l[2].exe (Trojan.Downloader) -> No action taken.
c:\documents and settings\networkservice\local settings\temporary internet files\Content.IE5\MAENNJAF\l[3].exe (Trojan.Downloader) -> No action taken.
c:\WINDOWS\system32\00.exe (Trojan.Downloader) -> No action taken.
c:\WINDOWS\system32\87.exe (Trojan.Downloader) -> No action taken.
e:\RECYCLER\e5188982.exe (Trojan.Agent.Gen) -> No action taken.
e:\RECYCLER\s-5-3-42-2819952290-8240758988-879315005-3665\jwgkvsq.vmx (Worm.Conficker) -> No action taken.
c:\WINDOWS\aadrive32.exe (Backdoor.IRCBot) -> No action taken.
c:\WINDOWS\jodrive32.exe (Worm.Palevo) -> No action taken.
c:\WINDOWS\system32\ac32.exe (Trojan.Agent) -> No action taken.
c:\RECYCLER\s-1-5-21-0243936033-3052116371-381863308-1811\Desktop.ini (Trojan.Agent) -> No action taken.
c:\RECYCLER\s-1-5-21-0243556031-888888379-781863308-1413\Desktop.ini (Worm.AutoRun) -> No action taken.
c:\RECYCLER\r-1-5-21-1482476501-1644491937-682003330-1013\acleaner.exe (Worm.AutoRun.Gen) -> No action taken.
c:\RECYCLER\r-1-5-21-1482476501-1644491937-682003330-1013\Desktop.ini (Worm.AutoRun.Gen) -> No action taken.[/code]
04.06.2011, 12:59
Leta

Лог после удаления
04.06.2011, 14:05
thyrex

Почему не удалили?
[CODE]Заражённые процессы в памяти:
c:\WINDOWS\jodrive32.exe (Worm.Palevo) -> 2712 -> Unloaded process successfully.
c:\WINDOWS\system32\ac32.exe (Trojan.Agent) -> 5208 -> Not selected for removal.
c:\WINDOWS\system32\bsysmgr.exe (Worm.Palevo.XGen) -> 1520 -> Unloaded process successfully.
c:\documents and settings\Admin\application data\36.tmp (Trojan.FakeMS) -> 2676 -> Not selected for removal.
c:\documents and settings\Admin\application data\37.tmp (Trojan.FakeMS) -> 3432 -> Not selected for removal.
c:\documents and settings\Admin\application data\39.tmp (Trojan.FakeMS) -> 3956 -> Not selected for removal.[/CODE]
04.06.2011, 14:32
Leta

Удаляю. Вылезает окно с сообщением, что некоторые файлы невозможно удалить
04.06.2011, 19:30
thyrex

Вы установили все обновления для системы? Непохоже

[url="http://virusinfo.info/showpost.php?p=493584&postcount=2"]Удалите в МВАМ[/url] все, [b]кроме[/b] [code]
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\AntiVirusDisableNotify (PUM.Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> Not selected for removal.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\FirewallDisableNotify (PUM.Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> Not selected for removal.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\UpdatesDisableNotify (PUM.Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> Not selected for removal.[/code]
04.06.2011, 20:56
Leta

Снова установила обновления, одного пакета действительно не доставало. Удалила все, что вы сказали, но снова вылезло окно с сообщением о невозможности удаления некоторых объектов.
04.06.2011, 21:06
thyrex

Перезагрузитесь и сделайте новый лог МВАМ
04.06.2011, 21:39
Leta

Сделано
04.06.2011, 21:55
thyrex

Сделайте лог [url="http://virusinfo.info/showpost.php?p=493610&postcount=1"]ComboFix[/url]
04.06.2011, 22:21
Leta

Сделано
05.06.2011, 00:15
thyrex

Скопируйте текст ниже в блокнот и сохраните как файл с названием [B]CFScript.txt[/B] на рабочий стол.
[code]KillAll::

File::

Driver::
tokwd

NetSvc::
tokwd

Folder::

Registry::

FileLook::

DirLook::[/code]
После сохранения переместите [B]CFScript.txt[/B] на пиктограмму ComboFix.exe.
[img]http://safezone.cc/images/cfscript.gif[/img]
Когда сохранится новый отчет [B]ComboFix.txt[/B], прикрепите его к сообщению.
05.06.2011, 09:34
Leta

Сделано
05.06.2011, 11:25
thyrex

Скопируйте текст ниже в блокнот и сохраните как файл с названием [B]CFScript.txt[/B] на рабочий стол.
[code]KillAll::

File::
C:\ac32.exe
C:\Gzriro.exe

Driver::
tokwd

NetSvc::
tokwd

Folder::

Registry::

FileLook::

DirLook::[/code]
После сохранения переместите [B]CFScript.txt[/B] на пиктограмму ComboFix.exe.
[img]http://safezone.cc/images/cfscript.gif[/img]
Когда сохранится новый отчет [B]ComboFix.txt[/B], прикрепите его к сообщению.
05.06.2011, 12:25
Leta

Сделано
05.06.2011, 13:11
thyrex

Плохого не видно. Что с проблемой?
05.06.2011, 13:29
Leta

В папке WINDOWS остались d139.exe, d233.exe, PEV.exe, SWSC.exe, SWREG.exe, SWXCACLS.exe. В процессах ничего лишнего больше нет. Но браузеры открывают стриницы только при динамическом IP.
05.06.2011, 13:36
thyrex

Ваш провайдер из Барнаула?
05.06.2011, 13:41
Leta

Да
Inteleca, если это имеет значение
05.06.2011, 13:51
thyrex

c:\program files\Internet Explorer\iexplore.exe восстановите, как сказано по ссылке [url]http://virusinfo.info/showpost.php?p=514765&postcount=3[/url]

После этого запакуйте данный файл в архив, выложите на какой-либо файлообменник и сообщите ссылку

Проверьте еще раз наличие всех обновлений. Попробуйте работать с динамическими IP

[url="http://virusinfo.info/showpost.php?p=500136&postcount=2"]Удалите ComboFix[/url]
05.06.2011, 14:09
Leta

[url]http://ifolder.ru/23965182[/url]
05.06.2011, 14:34
thyrex

Спасибо. Отправил информацию
05.06.2011, 14:39
Leta

Обновления установлены все, ComboFix удалила. При статичном IP подключение отображается, но не загружаются страницы
Вам спасибо огромное, сама бы я от этой пакости не избавилась!
06.06.2011, 14:39
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]18[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\recycler\\r-1-5-21-1482476501-1644491937-682003330-1013\\acleaner.exe - [B]Hoax.Win32.MDefender.ae[/B] ( DrWEB: BackDoor.Ddoser.131, BitDefender: Trojan.Generic.6113865 )[*] c:\\windows\\aadrive32.exe - [B]Net-Worm.Win32.Kolab.abwv[/B] ( DrWEB: Trojan.Packed.21693, BitDefender: Trojan.Generic.6224373, AVAST4: Win32:Ruskill-BM [Trj] )[/LIST][/LIST]