Атакован "russo turisto" со товарищи.

Printable View

28.09.2011, 18:40
QwertyTester

Вложений: 3

Атакован "russo turisto" со товарищи.

Netbook asus eee pc
Антивирус не был установлен - как результат пропал доступ к интернету и появились исполняемые файлы типа "новая папка.ехе". После этого владелец (сосед) установил Нортон Интернет Секьюрити Нетбук Эдишен( не обновляется - хотя сеть показывает нормально). Просканировал - удалил 8 файлов, перезагрузился и снова удалил те ж файлы. И так по кругу. Потом был установлен троян ремувер, результат тот же. В диспетчере задач висят процессы ebra.exe conami.exe и другие. В безопасном режиме не грузится - сразу бсод.
Старался все сделать по правилам.
Если что не так - не пинайте строго, все-таки впервые
28.09.2011, 18:41
Info_bot

Уважаемый(ая) [B]QwertyTester[/B], спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы, в самое ближайшее время, ответят на Ваш запрос.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
28.09.2011, 19:40
Шапельский Александр

Выполните скрипт в AVZ (AVZ, Меню Файл\Выполнить скрипт. [URL="http://virusinfo.info/showthread.php?t=7239"]Подробнее...[/URL]):
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\WINDOWS.exe','');
QuarantineFile('C:\Program Files\Program Files.exe','');
QuarantineFile('C:\Documents and Settings\автокласс\Избранное\Ссылки\Ссылки.exe','');
QuarantineFile('C:\Documents and Settings\автокласс\Избранное\Мои документы\Моя музыка\Новая папка.exe','');
QuarantineFile('C:\Documents and Settings\автокласс\Избранное\Мои документы\Моя музыка\Моя музыка.exe','');
QuarantineFile('C:\Documents and Settings\автокласс\Избранное\Мои документы\Моя музыка\Мои списки воспроизведения\Мои списки воспроизведения.exe','');
QuarantineFile('C:\Documents and Settings\автокласс\Избранное\Мои документы\Мои рисунки\Новая папка.exe','');
QuarantineFile('C:\Documents and Settings\автокласс\Избранное\Мои документы\Мои рисунки\Мои рисунки.exe','');
QuarantineFile('C:\Documents and Settings\автокласс\Избранное\Мои документы\Мои рисунки\Изображение\Изображение.exe','');
QuarantineFile('C:\Documents and Settings\автокласс\Избранное\Мои документы\Мои видеозаписи\Мои видеозаписи.exe','');
QuarantineFile('C:\Documents and Settings\автокласс\Избранное\Веб-узлы Майкрософт\Веб-узлы Майкрософт.exe','');
QuarantineFile('C:\Documents and Settings\автокласс\Local Settings\Application Data\Microsoft\CD Burning\Новая папка.exe','');
QuarantineFile('C:\WINDOWS\system32\regedit.exe','');
QuarantineFile('C:\WINDOWS\Cursors\services.exe','');
QuarantineFile('C:\Documents and Settings\автокласс\zeswrx1qp6.exe','');
QuarantineFile('C:\Documents and Settings\автокласс\vi1kwah3sg.exe','');
QuarantineFile('C:\Documents and Settings\автокласс\pj6vi7wlh9.exe','');
QuarantineFile('C:\Documents and Settings\автокласс\l0ym04fyv1.exe','');
QuarantineFile('C:\Documents and Settings\автокласс\iqid94q0.exe','');
QuarantineFile('C:\Documents and Settings\автокласс\Application Data\dfhbt3y.exe','');
QuarantineFile('C:\Documents and Settings\автокласс\Application Data\KB259517.exe','');
QuarantineFile('C:\Documents and Settings\автокласс\6szzkoiujs.exe','');
QuarantineFile('C:\Documents and Settings\автокласс\0897xrxk.exe','');
QuarantineFile('c:\windows\temp\vrt5.tmp','');
TerminateProcessByName('c:\windows\temp\vrt5.tmp');
QuarantineFile('c:\windows\temp\vrt34.tmp','');
TerminateProcessByName('c:\windows\temp\vrt34.tmp');
QuarantineFile('c:\windows\temp\vrt2.tmp','');
TerminateProcessByName('c:\windows\temp\vrt2.tmp');
QuarantineFile('c:\documents and settings\автокласс\application data\dfhbt3y.exe','');
TerminateProcessByName('c:\documents and settings\автокласс\application data\dfhbt3y.exe');
QuarantineFile('c:\windows\system32\atrace.exe','');
TerminateProcessByName('c:\windows\system32\atrace.exe');
QuarantineFile('c:\windows\system32\acledit.exe','');
TerminateProcessByName('c:\windows\system32\acledit.exe');
DeleteFile('c:\windows\system32\acledit.exe');
DeleteFile('c:\windows\system32\atrace.exe');
DeleteFile('c:\documents and settings\автокласс\application data\dfhbt3y.exe');
DeleteFile('c:\windows\temp\vrt2.tmp');
DeleteFile('c:\windows\temp\vrt34.tmp');
DeleteFile('c:\windows\temp\vrt5.tmp');
DeleteFile('C:\Documents and Settings\автокласс\0897xrxk.exe');
Deletefilemask('c:\windows\temp','vrt*.tmp',true);
RegKeyParamDel('HKEY_USERS','.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run','0897xrxk');
RegKeyParamDel('HKEY_USERS','S-1-5-18\Software\Microsoft\Windows\CurrentVersion\Run','0897xrxk');
DeleteFile('C:\Documents and Settings\автокласс\6szzkoiujs.exe');
RegKeyParamDel('HKEY_USERS','.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run','6szzkoiujs');
RegKeyParamDel('HKEY_USERS','S-1-5-18\Software\Microsoft\Windows\CurrentVersion\Run','6szzkoiujs');
DeleteFile('C:\Documents and Settings\автокласс\Application Data\KB259517.exe');
RegKeyParamDel('HKEY_USERS','.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run','KB259517.exe');
RegKeyParamDel('HKEY_USERS','S-1-5-18\Software\Microsoft\Windows\CurrentVersion\Run','KB259517.exe');
DeleteFile('C:\Documents and Settings\автокласс\Application Data\dfhbt3y.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','38t2');
DeleteFile('C:\Documents and Settings\автокласс\iqid94q0.exe');
RegKeyParamDel('HKEY_USERS','.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run','iqid94q0');
RegKeyParamDel('HKEY_USERS','S-1-5-18\Software\Microsoft\Windows\CurrentVersion\Run','iqid94q0');
DeleteFile('C:\Documents and Settings\автокласс\l0ym04fyv1.exe');
RegKeyParamDel('HKEY_USERS','.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run','l0ym04fyv1');
RegKeyParamDel('HKEY_USERS','S-1-5-18\Software\Microsoft\Windows\CurrentVersion\Run','l0ym04fyv1');
DeleteFile('C:\Documents and Settings\автокласс\pj6vi7wlh9.exe');
RegKeyParamDel('HKEY_USERS','.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run','pj6vi7wlh9');
RegKeyParamDel('HKEY_USERS','S-1-5-18\Software\Microsoft\Windows\CurrentVersion\Run','pj6vi7wlh9');
DeleteFile('C:\Documents and Settings\автокласс\vi1kwah3sg.exe');
RegKeyParamDel('HKEY_USERS','.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run','vi1kwah3sg');
RegKeyParamDel('HKEY_USERS','S-1-5-18\Software\Microsoft\Windows\CurrentVersion\Run','vi1kwah3sg');
DeleteFile('C:\Documents and Settings\автокласс\zeswrx1qp6.exe');
RegKeyParamDel('HKEY_USERS','.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run','zeswrx1qp6');
RegKeyParamDel('HKEY_USERS','S-1-5-18\Software\Microsoft\Windows\CurrentVersion\Run','zeswrx1qp6');
DeleteFile('C:\WINDOWS\Cursors\services.exe');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Service');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','smwcore');
DeleteFile('C:\WINDOWS\system32\regedit.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Regedit32');
ClearHostsFile;
DeleteFile('C:\Documents and Settings\автокласс\Local Settings\Application Data\Microsoft\CD Burning\Новая папка.exe');
DeleteFile('C:\Documents and Settings\автокласс\Избранное\Веб-узлы Майкрософт\Веб-узлы Майкрософт.exe');
DeleteFile('C:\Documents and Settings\автокласс\Избранное\Мои документы\Мои видеозаписи\Мои видеозаписи.exe');
DeleteFile('C:\Documents and Settings\автокласс\Избранное\Мои документы\Мои рисунки\Изображение\Изображение.exe');
DeleteFile('C:\Documents and Settings\автокласс\Избранное\Мои документы\Мои рисунки\Мои рисунки.exe');
DeleteFile('C:\Documents and Settings\автокласс\Избранное\Мои документы\Мои рисунки\Новая папка.exe');
DeleteFile('C:\Documents and Settings\автокласс\Избранное\Мои документы\Моя музыка\Мои списки воспроизведения\Мои списки воспроизведения.exe');
DeleteFile('C:\Documents and Settings\автокласс\Избранное\Мои документы\Моя музыка\Моя музыка.exe');
DeleteFile('C:\Documents and Settings\автокласс\Избранное\Мои документы\Моя музыка\Новая папка.exe');
DeleteFile('C:\Documents and Settings\автокласс\Избранное\Ссылки\Ссылки.exe');
DeleteFile('C:\Program Files\Program Files.exe');
DeleteFile('C:\WINDOWS\WINDOWS.exe');
BC_ImportAll;
ExecuteSysClean;
ExecuteWizard('TSW',2,3,true);
BC_Activate;
RebootWindows(true);
end.
[/code]
После выполнения скрипта компьютер перезагрузится.

У Вас файловый вирус, необходимо пролечится так--[URL="http://virusinfo.info/showthread.php?t=15927"]http://virusinfo.info/showthread.php?t=15927[/URL]

Повторите действия, описанные в п. 1 - 3 Диагностики и новые логи прикрепите к новому сообщению.
28.09.2011, 22:20
QwertyTester

Вложений: 3

Скрипт выполнил

Скрипт выполнил. Только сразу же появилась сеть и началась отправка спама с нетбука...
Теперь загрузка цп 100% и вирусня в диспетчере задач постоянно перемещается (по загруженности процессов видно)
И теперь видать спамю..
28.09.2011, 22:33
Шапельский Александр

[QUOTE]У Вас файловый вирус, необходимо пролечится так--http://virusinfo.info/showthread.php?t=15927[/QUOTE]
Лечитесь. Вирус на месте. Скачайте Kaspersky Rescue Disk--[URL="http://support.kaspersky.ru/viruses/solutions?qid=208641245"]http://support.kaspersky.ru/viruses/solutions?qid=208641245[/URL]
Запишите образ на USB-носитель, загрузитесь с него и просканируйте нетбук.

З.Ы. скачивать и записывать образ диска надо на чистом ПК
30.09.2011, 12:18
QwertyTester

Приветствую. В общем ничего толком не получилось:
Все сделал (как выше описано) качнул Kaspersky Rescue Disk при попытке загрузится с флешки (писал на 2 разных) неудача. Не может прогрузится до конца и зависает.
Висит по нескольку часов без движения.
Скачал Dr.Web® LiveUSB - загрузился с него сразу, сканировал 5 часов. Итог - после рестарта после ввода логина/пароля - появляется картинка рабочего стола и тут же завершение сеанса и закрытие сетевых подключений. В безопасном режиме - бсод.
Так как это asus eee pc - не могу снять с него винт для отдельного сканирования.....
Кстати - поддержатьпроект через яндекс деньги тоже не получается - почему то после нажатия подвердить "
Не удалось завершить платеж. Возможно, вы ошиблись при заполнении платежной формы или на стороне магазина возникли технические проблемы.

Пожалуйста, вернитесь в магазин и проверьте введенные данные. Если ошибка повторится, обратитесь в службу поддержки, приложив к своему письму скриншот заполненной формы."
30.09.2011, 12:35
Шапельский Александр

C:\WINDOWS\system32\[B]userinit.exe[/B]--проверьте есть ли файл. Если есть, замените из чистой системы.
Также проверьте в реестре эту запись--HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon
параметр userinit значение C:\WINDOWS\system32\userinit.exe, (запятая в конце)
Для этого лучше использовать ERD Commander (для Windows XP – версия 2005 (5.0))
Для правки в реестре: Пуск - Выполнить - erdregedit
30.09.2011, 13:09
QwertyTester

Извиняюсь - переводится, просто через гугл хром висит. Отправил через ie9

[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]

[QUOTE=Шапельский Александр;830105]C:\WINDOWS\system32\[B]userinit.exe[/B]--проверьте есть ли файл. Если есть, замените из чистой системы.
Также проверьте в реестре эту запись--HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon
параметр userinit значение C:\WINDOWS\system32\userinit.exe, (запятая в конце)
Для этого лучше использовать ERD Commander (для Windows XP – версия 2005 (5.0))
Для правки в реестре: Пуск - Выполнить - erdregedit[/QUOTE]

Извиняюсь - переводится, просто через гугл хром висит. Отправил через ie9

Да - над этим и тружусь

[size="1"][color="#666686"][B][I]Добавлено через 29 минут[/I][/B][/color][/size]

Увы.. файла userinit не было - залил с чистой системы. Теперь даже не доходит до выбора профиля. После прогрузки хр висит синий экран (не бсод) и уходит со временем в спящий режим. В реестре путь правильный
30.09.2011, 13:39
Шапельский Александр

Проверьте еще этот файл--C:\WINDOWS\explorer.exe
Если есть, замените на чистый.
30.09.2011, 18:07
QwertyTester

Извиняюсь за паузы в ответах, между офисами приходиться ездить.
Итак: [quote]Проверьте еще этот файл--C:\WINDOWS\explorer.exe
Если есть, замените на чистый.[/quote]
сделано тоже (с чистого компа) Долго грузился - зашел.
Кажется нет ни одного экзешника...
Не определяется флешка (внешняя) как мне закинуть теперь AVZ чтоб снова прислать логи? Сети нет (вообще)
30.09.2011, 18:40
Шапельский Александр

Запустите из командной строки: Пуск | Выполнить | cmd | sfc /scannow
Утилите потребуется инсталляционный диск с операционной системой.
У вас установлен Service Pack 3, потребуется диск с интегрированным SP3.
30.09.2011, 18:54
QwertyTester

[QUOTE=Шапельский Александр;830225]потребуется диск с интегрированным SP3.[/QUOTE] тут нетбук, привода нет, усб-шный двд-ром не видит (драйвера для устройств не ставится похоже)
01.10.2011, 10:25
Шапельский Александр

Надо записать образ ОС на флешку--пример [URL="http://nastroysoft.ru/winxp-with-usb/"]http://nastroysoft.ru/winxp-with-usb/[/URL]
01.10.2011, 10:47
thyrex

[quote="QwertyTester;830218"]Кажется нет ни одного экзешника...[/quote]В настройках сканирования DrWeb LiveUSB похоже было указано действие [B]Перемещать[/B] (или [B]Удалять[/B]) зараженные файлы. Отсюда и проблемы при заражении файловым вирусом

[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]

[quote="QwertyTester;830229"]усб-шный двд-ром не видит[/quote]А в BIOS oн определяется?
01.10.2011, 13:43
QwertyTester

Да в биосе он есть. Но в системе потом не появляется. Как и флешки - в биосе есть, после загрузки - нет.

[quote]Запустите из командной строки: Пуск | Выполнить | cmd | sfc /scannow[/quote]
не удается натйи файл sfc ))) - нашел массу файлов - с переименованным екзешником. Но рядом есть обычные экхешые файлы (от других приложений) Значит переименованы зараженые/подозрительные? Нет меню пуск, в панель управления попасть немогу - винда дает выбор "чем открыть этот файл?"

[size="1"][color="#666686"][B][I]Добавлено через 16 минут[/I][/B][/color][/size]

[QUOTE=Шапельский Александр;830363]Надо записать образ ОС на флешку--пример [URL="http://nastroysoft.ru/winxp-with-usb/"]http://nastroysoft.ru/winxp-with-usb/[/URL][/QUOTE]
все равно не видит флехи. Питание на флешку идет, но данные не считываются. (флешка просто горит не моргая)
01.10.2011, 13:43
thyrex

Обычно DrWeb может переименовывать зараженные файлы (особенно системные), меняя одну букву в расширении на [B]#[/B], по-моему
У Вас именно такой случай?
01.10.2011, 13:46
QwertyTester

[QUOTE=thyrex;830401]Обычно DrWeb может переименовывать зараженные файлы (особенно системные), меняя одну букву в расширении на [B]#[/B], по-моему
У Вас именно такой случай?[/QUOTE]
Именно так !
01.10.2011, 14:20
thyrex

Хм, попробуйте так

1. Записать на флешку [url]http://support.kaspersky.ru/faq/?qid=208636998[/url]
2. Загрузиться с какого-либо LiveCD
3. Попробовать запустить утилиту, записанную на флешку. Она что-либо нашла и вылечила?
01.10.2011, 16:45
QwertyTester

[QUOTE=thyrex;830406]Хм, попробуйте так

1. Записать на флешку [url]http://support.kaspersky.ru/faq/?qid=208636998[/url]
2. Загрузиться с какого-либо LiveCD
3. Попробовать запустить утилиту, записанную на флешку. Она что-либо нашла и вылечила?[/QUOTE]
Загрузился с флешки, запустил - пишет [B]cure[/B] видимо все таки лечит. Файлов много очень
01.10.2011, 16:55
thyrex

Дождитесь окончания лечения и затем пробуйте заменять в именах файлов символы # нужной буквой. Если файлов много, придется поднапрячься. После этого пробуйте стартовать
02.10.2011, 09:59
QwertyTester

[QUOTE=thyrex;830448]Дождитесь окончания лечения и затем пробуйте заменять в именах файлов символы # нужной буквой. Если файлов много, придется поднапрячься. После этого пробуйте стартовать[/QUOTE]
Успел добраться да папки windows - все, свободная виртуальная память системы заканчивается. Не сказал что система грузится около 30 минут.
02.10.2011, 11:42
thyrex

[quote="QwertyTester;830564"]Успел добраться да папки windows - все, свободная виртуальная память системы заканчивается[/quote]Система обычно предлагает ее увеличить. Загрузитесь заново и запустите процесс лечения повторно
02.10.2011, 21:12
QwertyTester

[QUOTE=thyrex;830583] Загрузитесь заново и запустите процесс лечения повторно[/QUOTE] Итог печален:
После рестарта просто бсод. постоянно - в любом режиме. Сосед ждать больше не хочет, ставлю винду заново.
Откликнувшимся спасибо за труд и терпение, на будущее буду внимательней и не таким замороженым.
Надеюсь что я еще не раз получу поддержку на вашем проекте. (ибо сталкиваюсь с такими проблемами часто) просто в основном сам справлялся..

[B]Спасибо[/B]