Заражён awtsqrr.dll (Adware.Virtumonde)

Printable View

20.06.2007, 21:02
GuFFi.fbr

Вложений: 3

Заражён awtsqrr.dll (Adware.Virtumonde)

У меня стоит нод32, и в какой то один из прекрасных дней, начал он выдавать точто заражён [B]awtsqrr.dll[/B] в папке c\windows\system32, говорит что это adware.Virtumonde, пробывал удалять докторомВЕб - непомогает, и AVZ тоже (( , нод32 обещает всё после перезагрузки но - не удаляет. Похоже, как йа узнал из вашего форума, это йа подцыпил в internet explorere когда вылетало окошка с winantivirus'ом - так и есть... йа даже его установил :embarasse ((( но потом удалил, судя по всему мне нужно выполнить скрипт в авз и чтото пофиксить в хиджэйвис.
Что делать :?
Пожайлуйста помогите!)) а то уже йа и ручками пробывал, закрыть все процессы даже системные и эксплорер, и за то время пока что тикал таймер перезагрузки йа в фаре пробыл удалить(( и всё равно не удалось) :embarasse

ещё скажу вам что эта библеотека подгружаецо в процессах (winlogon и в explorer) так что вот :'-(
20.06.2007, 21:54
drongo

1.AVZ Файл - Выполнить скрипт --Скопировать ниже написанный скрипт-- Запустить.
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\System32\awtsqrr.dll','');
QuarantineFile('C:\WINDOWS\System32\XPize_Logon.exe','');
QuarantineFile('C:\WINDOWS\System32\userinit.exe','');
QuarantineFile('C:\WINDOWS\system32\ddccc.dll','');
QuarantineFile('C:\PC-Checkup\PCCheckUp.exe','');
QuarantineFile('C:\WINDOWS\System32\cscui.dll','');
QuarantineFile('C:\WINDOWS\System32\aswTdi.sys','');
QuarantineFile('C:\WINDOWS\System32\aswMon2.sys','');
QuarantineFile('C:\WINDOWS\System32\Aavmker4.sys','');
QuarantineFile('C:\WINDOWS\system32\comdlg32.dll','');
QuarantineFile('C:\WINDOWS\Explorer.EXE','');
QuarantineFile('C:\WINDOWS\system32\awtsqrr.dll','');
QuarantineFile('C:\WINDOWS\system32\adygouve.dll','');
QuarantineFile('C:\WINDOWS\system32\bfsgcttx.dll','');
QuarantineFile('C:\WINDOWS\system32\cpmjyunc.dll','');
QuarantineFile('C:\WINDOWS\system32\fvlkyjhc.dll','');
QuarantineFile('C:\WINDOWS\system32\ghseradj.dll','');
QuarantineFile('C:\WINDOWS\system32\imxkfhul.dll','');
QuarantineFile('C:\WINDOWS\system32\j7281835.dll','');
QuarantineFile('C:\WINDOWS\system32\paqqhguh.dll','');
QuarantineFile('C:\WINDOWS\system32\tpbcxbup.dll','');
QuarantineFile('C:\WINDOWS\system32\ujfiebsk.exe','');
QuarantineFile('C:\WINDOWS\system32\uqsvbuit.dll','');
QuarantineFile('C:\WINDOWS\system32\xusjwgom.dll','');
BC_ImportQuarantineList;
BC_LogFile(GetAVZDirectory + 'boot_copy.log');
BC_Activate;
RebootWindows(true);
end.
[/code]
Прислать карантин согласно приложения 3 правил .
Загружать по ссылке: [url]http://virusinfo.info/upload_virus.php?tid=10524[/url].......

[B]boot_copy.log[/B]- из папки AVZ прикрепить к вашему следующему ответу

P.S. У вас был аваст в системе ?
20.06.2007, 22:21
GuFFi.fbr

Вложений: 1

Спасибо что ответили!))

[quote]P.S. У вас был аваст в системе ?[/quote]
ммм.. :upset: Да был, а что? :?

сделал архив virus.zip
прикрепил boot_copy.log...
ещё отмечу у меня стоит программка TaskSwitchXP которая меняет Загрузочный экран (boot) , окно приветствия, и тему с иконками (может быть это она нанесла вред winlogon.exe?)

карантин пришёл???
20.06.2007, 22:56
drongo

не пришёл , ещё раз загрузите по ссылке [url]http://virusinfo.info/upload_virus.php?tid=10524[/url]
ну сомнения у меня были, или дрова от аваста остались или зверь под него косит.
оказалось третье: дров нет, осталась лишь дымка , следы не нужные в системе ;)
вы пришлите, а потом будем смотреть что попало в карантин. Можно с другого компьютера , если с этого не выходит. Может с другим браузером получиться ;)
20.06.2007, 23:20
GuFFi.fbr

Карантин отправлен!

:00000146: смерть вирусам и тем кто их делает!!! :00000402:

Карантин отправлен - смотрите) ;)
20.06.2007, 23:27
drongo

Не слабо 16.5 мега ;) А 2 раза это для уверенности ?
20.06.2007, 23:29
GuFFi.fbr

) не это просто с оперы отправлял, в ослик забыл вырубить((
20.06.2007, 23:37
drongo

у меня такое чувство , что нод мешает копированию. Самое интересное не попало ;(
20.06.2007, 23:43
GuFFi.fbr

И что же теперь делать?))

:'-( и что мне делать ?)))))))) :'-(
20.06.2007, 23:44
drongo

Выключите активный мониторинг нода и отключитесь от интернета .
запустите скрипт- и если в архиве окажутся файлы кроме ini, загрузите и в любом случае сообщите.
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
ClearQuarantine;
QuarantineFile('C:\WINDOWS\system32\awtsqrr.dll','');
QuarantineFile('C:\WINDOWS\system32\adygouve.dll','');
QuarantineFile('C:\WINDOWS\system32\bfsgcttx.dll','');
QuarantineFile('C:\WINDOWS\system32\cpmjyunc.dll','');
QuarantineFile('C:\WINDOWS\system32\fvlkyjhc.dll','');
QuarantineFile('C:\WINDOWS\system32\ghseradj.dll','');
QuarantineFile('C:\WINDOWS\system32\imxkfhul.dll','');
QuarantineFile('C:\WINDOWS\system32\j7281835.dll','');
QuarantineFile('C:\WINDOWS\system32\paqqhguh.dll','');
QuarantineFile('C:\WINDOWS\system32\tpbcxbup.dll','');
QuarantineFile('C:\WINDOWS\system32\ujfiebsk.exe','');
QuarantineFile('C:\WINDOWS\system32\uqsvbuit.dll','');
QuarantineFile('C:\WINDOWS\system32\xusjwgom.dll','');
BC_ImportQuarantineList;
BC_Activate;
RebootWindows(true);
end.
[/code]
21.06.2007, 00:05
GuFFi.fbr

в архиве тока *ini
)) и что из этого значит, как вылечить awtsqrr.dll от Virtumonde ? ))
21.06.2007, 00:13
drongo

Если вы чуток потерпите, для блага всех - надо подумать . Написать скрипт удаления можно, но хотелось бы заиметь перед этим копии файлов. Что толку, если нод одного знает , а 10 остальных нет ?

А что с ручным поиском ? попробуйте пожалуйста найти файлики . вот например способ :
[url]http://virusinfo.info/showthread.php?t=4567[/url]
21.06.2007, 00:29
GuFFi.fbr

[quote=drongo;117207]Если вы чуток потерпите, для блага всех - надо подумать . Написать скрипт удаления можно, но хотелось бы заиметь перед этим копии файлов. Что толку, если нод одного знает , а 10 остальных нет ?
[/quote] как понять одного знает а 10 остальных нет??? :?... он видит в оперативки и в реесте заражённую библиотеку длл awtsqrr.dll какие 10 остальных?? :O
ещё вирус видно утилитой DocWebа - CureIt! (но не удаляецо и не лечитцо)
и видно troyan removerom

прошу вас напишите скрипт, а то йа уже замучился с эти вирусняком :wall:((

[quote=drongo;117207]А что с ручным поиском ? попробуйте пожалуйста найти файлики . вот например способ :
[URL]http://virusinfo.info/showthread.php?t=4567[/URL][/quote] а что с ручным поиском?? какие файлики найти?)) :upset: немного непонял(( йа:horns:
21.06.2007, 00:46
drongo

вот они , все должны у вас в паке C:\WINDOWS\system32\ лежать, скорее всего скрыты виндоусом:
awtsqrr.dll
adygouve.dll
bfsgcttx.dll
cpmjyunc.dll
fvlkyjhc.dll
ghseradj.dll
imxkfhul.dll
j7281835.dll
paqqhguh.dll
tpbcxbup.dll
ujfiebsk.exe
uqsvbuit.dll
xusjwgom.dll
P.S. вообще-то их 13 , как братьев Оушена ;)
[url=http://virusinfo.info/showthread.php?t=9279]в безопасном режиме поищите ;) [/url]
21.06.2007, 10:35
drongo

Попробуйте так в безопасном режиме , неужели и теперь не попадёт ? как поживает ручной поиск ?
[code]

begin
StopService('NOD32krn');
StopService('sdAuxService');
StopService('sdCoreService');
BC_QrFile('C:\WINDOWS\system32\xusjwgom.dll');
BC_QrFile('C:\WINDOWS\system32\uqsvbuit.dll');
BC_QrFile('C:\WINDOWS\system32\ujfiebsk.exe');
BC_QrFile('C:\WINDOWS\system32\tpbcxbup.dll');
BC_QrFile('C:\WINDOWS\system32\paqqhguh.dll');
BC_QrFile('C:\WINDOWS\system32\j7281835.dll');
BC_QrFile('C:\WINDOWS\system32\imxkfhul.dll');
BC_QrFile('C:\WINDOWS\system32\ghseradj.dll');
BC_QrFile('C:\WINDOWS\system32\fvlkyjhc.dll');
BC_QrFile('C:\WINDOWS\system32\cpmjyunc.dll');
BC_QrFile('C:\WINDOWS\system32\bfsgcttx.dll');
BC_QrFile('C:\WINDOWS\system32\adygouve.dll');
BC_QrFile('C:\WINDOWS\system32\bfsgcttx.dll');
BC_QrFile('C:\WINDOWS\system32\awtsqrr.dll');
BC_DeleteFile('C:\WINDOWS\system32\awtsqrr.dll');
BC_Activate;
ExecuteSysClean;
RebootWindows(true);
end.
[/code]
21.06.2007, 10:37
Rene-gad

[QUOTE=GuFFi.fbr;117156]У меня стоит нод32[/QUOTE]
Какая версия? Обновите до 2.70.32, если еще не сделали. :)
21.06.2007, 14:43
GuFFi.fbr

[quote=Rene-gad;117267]Какая версия? Обновите до 2.70.32, если еще не сделали. :)[/quote]

Стоит 2.70.32 :)

После выполнения скрипта в безопасном режиме... файлы удалились!

Спасибо огромное!!!:pray: Вирусов больше НЕТ!!!:appl:
21.06.2007, 15:07
pig

Погодите, не убегайте. Там удалялся всего один файл, остальное шло в карантин. Где архив?
21.06.2007, 15:20
GuFFi.fbr

Архив?? Ахрхив с чем???)) немного не до понял)... нод и cueit и avz показали что компотер полнустью чист)) йа счастлив...!)):sunny:
21.06.2007, 15:25
Muzzle

архив с карантином,который должен был получиться после выполнения скрипта [B]drongo[/B] #15
21.06.2007, 16:06
Bratez

[QUOTE]архив с карантином,который должен был получиться после выполнения скрипта drongo #15[/QUOTE]
Там наверно CureIt вынес и самих виртумондов, и *.dta из карантина ;)
[B]GuFFi.fbr[/B], надо было в точности выполнять правила и указания хелперов, а не самодеятельностью заниматься.
[QUOTE]йа счастлив...!))[/QUOTE]
Ну что ж, в конце концов это главное, так что поздравляю.
Неплохо бы логи повторить, вдруг что-нибудь таки осталось.
21.06.2007, 16:08
GuFFi.fbr

:oops: а его йа уже очистил))):oops:

всё равно ВАМ ОГРОМНОЕ СПАСИБО!!!:druzja:
21.06.2007, 17:54
pig

[QUOTE=GuFFi.fbr;117398]а его йа уже очистил[/QUOTE]
Кого? Логи всё равно сделайте, это не повредит.
21.06.2007, 23:37
GuFFi.fbr

Вложений: 3

Очистил карантин в AVZ

Новые логи: :)
21.06.2007, 23:49
drongo

Что и требовалось доказать ;) все счастливы включаю шпионских троянов , которые живут в мире и согласии с вашим нодом ;) в безопасном режиме выполнить скрипт в авз , и пожалуйста без самодеятельности.

[code]
begin
StopService('NOD32krn');
StopService('sdAuxService');
StopService('sdCoreService');
BC_QrFile('C:\WINDOWS\system32\xusjwgom.dll');
BC_QrFile('C:\WINDOWS\system32\uqsvbuit.dll');
BC_QrFile('C:\WINDOWS\system32\ujfiebsk.exe');
BC_QrFile('C:\WINDOWS\system32\tpbcxbup.dll');
BC_QrFile('C:\WINDOWS\system32\paqqhguh.dll');
BC_QrFile('C:\WINDOWS\system32\j7281835.dll');
BC_QrFile('C:\WINDOWS\system32\imxkfhul.dll');
BC_QrFile('C:\WINDOWS\system32\ghseradj.dll');
BC_QrFile('C:\WINDOWS\system32\fvlkyjhc.dll');
BC_QrFile('C:\WINDOWS\system32\cpmjyunc.dll');
BC_QrFile('C:\WINDOWS\system32\bfsgcttx.dll');
BC_QrFile('C:\WINDOWS\system32\adygouve.dll');
BC_QrFile('C:\WINDOWS\system32\bfsgcttx.dll');
BC_QrFile('C:\WINDOWS\system32\awtsqrr.dll');
BC_QrFile('C:\WINDOWS\system32\stobject.dll');
BC_QrFile('C:\WINDOWS\system32\shell32.dll');
BC_QrFile('C:\WINDOWS\system32\ddccc.dll');
BC_QrFile('C:\WINDOWS\\System32\cscui.dll');
BC_QrFile('C:\WINDOWS\system32\Drivers\mchInjDrv.sys');
BC_QrFile('C:\WINDOWS\system32\drivers\ikfileflt.sys');
BC_QrFile('C:\WINDOWS\system32\drivers\ikfilesec.sys',);
BC_Activate;
ExecuteSysClean;
RebootWindows(true);
end.
[/code]

Прислать карантин согласно приложения 3 правил .
Загружать по ссылке: [url]http://virusinfo.info/upload_virus.php?tid=10524[/url]
22.06.2007, 15:53
GuFFi.fbr

Сделаю сёня вечером, дабы йа на работе((( :'-(
22.06.2007, 23:24
GuFFi.fbr

Закачал карантиновые файл под паролем virus ;)

а чё там зверь? :?
23.06.2007, 00:47
GuFFi.fbr

Что дальше то делать? )) :?
23.06.2007, 00:57
drongo

в ручную искать , заархивировать в зип с паролем virus и прислать :
adygouve.dll
bfsgcttx.dll
cpmjyunc.dll
fvlkyjhc.dll
ghseradj.dll
imxkfhul.dll
j7281835.dll
paqqhguh.dll
tpbcxbup.dll
ujfiebsk.exe
uqsvbuit.dll
xusjwgom.dll
23.06.2007, 01:44
GuFFi.fbr

Не даёт их переместить или копировать пишет что отказано в доступе.
НОД32 сказал что он их удалил, щас ребутну, проверю, сделаю логи - выложу.
23.06.2007, 11:33
drongo

в безопасном режиме надо искать чтобы нод не мешал ;)
22.02.2009, 01:54
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]3[/B][*]Обработано файлов: [B]151[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]