Hupigon.agy.5 и mszstb.dll

Printable View

12.07.2007, 15:06
СВАН

Вложений: 3

Hupigon.agy.5 и mszstb.dll

Уважаемые специалисты! Поможите, кто можете... Ничем не лечится подлый троян.

Файлы с логами вложены. Основная проблема - Hupigon.agy.5, который обнаруживается программами AntiVir Guard и Касперским (платным), но не лечится, поскольку при этом "не существует" (???). При каждой загрузке AntiVir Guard выдаёт 16 предупреждений о его существовании, 16 раз я его удаляю, а толку нет. Восстановление системы отключено. При перезагрузке - та же история.

Вторая проблема - при загрузке выдаётся сообщение "не могу обнаружить модуль mszstb.dll". Тыкаешь ОК - оно исчезает без последствий. В памяти засело, что был когда-то вирус с таким названием, но ни одно сканирование не позволяет "зачистить хвосты", чтобы сообщение перестало появляться. Файлов mszstb.exe в системе нет.

С надеждой жду Вашей помощи.
СВАН
12.07.2007, 15:16
Макcим

[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните[/URL] скрипт в AVZ
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
ClearQuarantine;
QuarantineFile('C:\WINDOWS\system32\Manager.dll','');
QuarantineFile('C:\Documents and Settings\All Users\Application Data\Microsoft\PCTools\pctools.dll','');
QuarantineFile('C:\WINDOWS\system32\mszstb.dll','');
QuarantineFile('C:\WINDOWS\system32\mdn.exe','');
QuarantineFile('C:\WINDOWS\system\SMSS.exe','');
QuarantineFile('C:\WINDOWS\system32\notaped.exe','');
QuarantineFile('C:\Program Files\Золотой фонд\mmdtp.dll','');
QuarantineFile('C:\WINDOWS\system32\msurlpar.dll','');
QuarantineFile('C:\WINDOWS\system32\LYLoadqr.exe','');
QuarantineFile('C:\WINDOWS\system32\LYLoador.exe','');
QuarantineFile('C:\WINDOWS\system32\LYLoadhr.exe','');
QuarantineFile('C:\WINDOWS\system32\LYLoadbr.exe','');
QuarantineFile('C:\WINDOWS\system32\LYLoadar.exe','');
QuarantineFile('C:\WINDOWS\system32\LYLeador.exe','');
QuarantineFile('C:\WINDOWS\system32\smrss.dll','');
QuarantineFile('C:\WINDOWS\system32\Manager.dll','');
QuarantineFile('system32\DRIVERS\ssmdrv.sys','');
DeleteFile('C:\WINDOWS\system32\mszstb.dll');
BC_ImportAll;
BC_Activate;
RebootWindows(true);
end.[/CODE]
[URL="http://www.virusinfo.info/showthread.php?t=4491"]"Пофиксите"[/URL] в HijackThis [CODE]R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157[/CODE]
Пришлите файлы карантина по [url=http://virusinfo.info/showthread.php?t=1235]правилам[/url] раздела "Помогите".
12.07.2007, 16:00
СВАН

Не помогло. Интересно, что при автоматической перезагрузке после AVZ сообщений об обнаружении трояна уже не было (я сказал "Вау!"). Но при перезагрузке после HijackThis они появились снова.

Сообщение о mszstb.dll появляется без изменений. Полный текст:
"Ошибка при загрузке C:\WINDOWS\system32\mszstb.dll
Не найден указанный модуль"

Карантинные файлы загрузить не могу - превысил предел на форуме. Можно ли удалить файлы, размещенные ранее?

СВАН
12.07.2007, 16:13
Макcим

Карантин нужно закачать через ссылку "Прислать запрошенные файлы".
12.07.2007, 16:21
Rene-gad

[quote=СВАН;122327]
Сообщение о mszstb.dll появляется без изменений. Полный текст:
"Ошибка при загрузке C:\WINDOWS\system32\mszstb.dll
Не найден указанный модуль"[/quote]
Эту песню Вы будете слышать пока не пофиксите эту запись ;)
[quote]O4 - HKLM\..\Run: [mszstb] RunDll32 "C:\WINDOWS\system32\mszstb.dll",Run[/quote]
12.07.2007, 17:12
СВАН

Уважаемый Rene-gad,
Благодаря Вашему совету проблема с mszstb решена - сообщение больше не выводится.

Уважаемый Maxim,
Проблема в том, что карантин слишком велик по размеру - целиком он в сообщение на Форуме вложен быть не может. Я разбил его на 3 части (Virus1, 2, 3), и первые две вкладываю. На этом объём вложений исчерпан. Сообщите пожалуйста, когда я могу удалить эти части, и залить третью.

Заранее спасибо.
СВАН
12.07.2007, 17:15
drongo

А что не понятно?
запрошенный архив присылать по ссылке [url]http://virusinfo.info/upload_virus.php?tid=11011[/url] одним файлом как сказано в приложении 3 правил , читайте внимательней и никак иначе.
13.07.2007, 09:54
СВАН

Извиняюсь за недопонимание. Прислал.

СВАН
13.07.2007, 14:40
drongo

Выполните скрипт в AVZ (AVZ, Меню Файл\Выполнить скрипт. [URL="http://virusinfo.info/showthread.php?t=7239"]Подробнее...[/URL]):
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\WINDOWS\system32\Manager.dll');
DeleteFile('C:\Documents and Settings\All Users\Application Data\Microsoft\PCTools\pctools.dll');
DeleteFile('C:\WINDOWS\system32\msurlpar.dll');
DeleteFile('C:\WINDOWS\system32\mdn.exe');
DeleteFile('C:\WINDOWS\system32\notaped.exe');
DeleteFile('C:\WINDOWS\system32\msurlpar.dll');
DeleteFile('C:\WINDOWS\system32\LYLoadqr.exe');
DeleteFile('C:\WINDOWS\system32\LYLoador.exe');
DeleteFile('C:\WINDOWS\system32\LYLoadhr.exe');
DeleteFile('C:\WINDOWS\system32\LYLoadbr.exe');
DeleteFile('C:\WINDOWS\system32\LYLoadar.exe');
DeleteFile('C:\WINDOWS\system32\LYLeador.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
После выполнения скрипта компьютер перезагрузится.
Сделайте новые логи и прикрепите к следующему сообщению
13.07.2007, 15:18
СВАН

Скрипт выполнить не удалось. Возникает сообщение:
"Ошибка: To many actual parameters в позиции 4:12"

СВАН
13.07.2007, 15:24
Макcим

Исправлено.
13.07.2007, 19:08
drongo

Извиняюсь за описку, как дела на фронте ?
16.07.2007, 09:15
СВАН

Добрый день! После исполнения скрипта и перезагрузки я сначала очень обрадовался: обнаружений трояна больше не было. Однако потом я обнаружил, что скрипт деактивировал антивирус (AntiVir Guard). После его ре-активирования троян был немедленно обнаружен снова на том же месте в C:/WINDOWS/system32/manager.dll - тот же Hupigon.agy.5. Что делать?
16.07.2007, 09:24
Muzzle

Сделайте логи,об этом вас просил [B]drongo[/B] в посте #9
16.07.2007, 12:54
СВАН

Вложений: 3

Виноват, вот логи.
СВАН
16.07.2007, 13:19
drongo

Забавно ;) Проверьте: отключили ли вы систему восстановления системы или какой-нибудь другую программу, которая охраняет реестр от изменений. Отключите сейчас, если ранее забыли и выгрузите антивирус. Отключитесь от интернета.
Затем :
1.Пофиксить в HijackThis следующие строчки ( [url]http://virusinfo.info/showthread.php?t=4491[/url] )
[code]
O4 - HKLM\..\Policies\Explorer\Run: [MSDWG32] LYLoadbr.exe
O4 - HKLM\..\Policies\Explorer\Run: [MSDCG32 ] LYLeador.exe
O4 - HKLM\..\Policies\Explorer\Run: [MSDOG32] LYLoador.exe
O4 - HKLM\..\Policies\Explorer\Run: [MSDSG32] LYLoadar.exe
O4 - HKLM\..\Policies\Explorer\Run: [MSDHG32] LYLoadhr.exe
O4 - HKLM\..\Policies\Explorer\Run: [MSDQG32] LYLoadqr.exe
O20 - AppInit_DLLs: C:\WINDOWS\system32\Manager.dll
O20 - Winlogon Notify: MicroQC - smrss.dll (file missing)
O23 - Service: Messenger Accelerator (Accelerator Tools) - Unknown owner - C:\WINDOWS\system32\mdn.exe (file missing)
O23 - Service: killwin - Unknown owner - C:\WINDOWS\system\SMSS.exe (file missing)
[/code]
2.AVZ Файл - Выполнить скрипт --Скопировать ниже написанный скрипт-- Запустить.

[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\WINDOWS\system32\msurlpar.dll');
DeleteFile('C:\WINDOWS\system32\C:\WINDOWS\system32\Manager.dll');
DeleteFile('C:\WINDOWS\system32\LYLoadqr.exe');
DeleteFile('C:\WINDOWS\system32\LYLoador.exe');
DeleteFile('C:\WINDOWS\system32\LYLoadhr.exe');
DeleteFile('C:\WINDOWS\system32\LYLoadbr.exe');
DeleteFile('C:\WINDOWS\system32\LYLoadar.exe');
DeleteFile('C:\WINDOWS\system32\LYLeador.exe');
ExecuteRepair(6);
ExecuteRepair(9);
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]
Сделайте новые логи, затем включите антивирус и прикрепите [U]новые логи [/U]к следующему сообщению.

[size="1"][color="#666686"][B]Добавлено через 10 минут[/B][/color][/size]
скрипт поправил. Выполните сейчас.
16.07.2007, 19:06
СВАН

Вложений: 1

Восстановление системы было отключено, от Интернета я отключился, антивирус убрал (потом включил снова).
Интересно, что при открытии HijackThis не обнаружилось строчки O20 - AppInit_DLLs: C:\WINDOWS\system32\Manager.dll !!!

Логи прилагаю.

Становится всё интереснее и интереснее... Хотя неправильное слово, конечно.

СВАН
16.07.2007, 19:36
PavelA

Я бы сказал по-другому - чище и чище.
Проблемы остались? вроде бы все вычистили.
16.07.2007, 20:08
drongo

Отключите сейчас, если ранее забыли и выгрузите антивирус. Отключитесь от интернета.

1.Пофиксить в HijackThis следующие строчки ( [url]http://virusinfo.info/showthread.php?t=4491[/url] )
[code]
O2 - BHO: IEMonitor Class - {08A312BB-5409-49FC-9347-54BB7D069AC6} - C:\Program Files\DeskAdTop\deskipn.dll (file missing)
O2 - BHO: Info cache - {385AB8C6-FB22-4D17-8834-064E2BA0A6F0} - C:\Documents and Settings\All Users\Application Data\Microsoft\PCTools\pctools.dll (file missing)
O2 - BHO: MSURL Class - {6CDD9D1F-7501-4B0F-90CD-5ADA4F15E6E8} - C:\WINDOWS\system32\msurlpar.dll (file missing)
O23 - Service: Medie Sariel Number Service - Unknown owner - C:\WINDOWS\system32\notaped.exe (file missing)
O23 - Service: Messenger Accelerator (Accelerator Tools) - Unknown owner - C:\WINDOWS\system32\mdn.exe (file missing)
[/code]

2.AVZ Файл - Выполнить скрипт --Скопировать ниже написанный скрипт-- Запустить.

[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
ClearQuarantine;
QuarantineFile('C:\WINDOWS\SYSTEM32\DRIVERS\MountMsg.sys','');
QuarantineFile('C:\WINDOWS\SYSTEM32\DRIVERS\PartMsg.sys','');
QuarantineFile('C:\WINDOWS\system32\rundll32.exe','');
QuarantineFile('C:\WINDOWS\system32\msurlpar.dll','');
QuarantineFile('C:\Program Files\DeskAdTop\deskipn.dll','');
DeleteFile('C:\WINDOWS\system32\msurlpar.dll');
DeleteFile('C:\Documents and Settings\All Users\Application Data\Microsoft\PCTools\pctools.dll');
DeleteFile('C:\Program Files\DeskAdTop\deskipn.dll');
BC_DeleteSvc('WinDHCPsvc');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]

начните отключать не нужные сервисы:
O23 - Service: Диспетчер сеанса справки для удаленного рабочего стола (RDSessMgr) - Корпорация Майкрософт - C:\WINDOWS\system32\sessmgr.exe
O23 - Service: NetMeeting Remote Desktop Sharing (mnmsrvc) - Корпорация Майкрософт - C:\WINDOWS\system32\mnmsrvc.exe

Сделайте новые логи, затем включите антивирус и прикрепите новые логи к следующему сообщению.
[B]Пришлите файлы карантина по правилам раздела "Помогите".[/B]

[size="1"][color=red][B]Добавлено через 21 минуту[/B][/color][/size]
[B][COLOR="Red"]вы по китайским сайтам лазили ? Поправил скрипт, ждём улова ;)[/COLOR][/B]
17.07.2007, 12:42
СВАН

Большое спасибо, всё сделал, как указано. Архив карантина сейчас вложу.
По китайским сайтам я сроду не ходил, но вообще ВСЕ проблемы с этим компьютером начались с того, что начала всплывать реклама на китайском языке, в адресной строке эксплорера 6 появилась надпись на китайском, и он стал дико тормозить. Я сменил на 7, обновил антивирусы, и всё китайское исчезло. А Вы говорите - оно есть? Или его хвосты?

СВАН
18.07.2007, 10:30
СВАН

Вроде бы всё чисто: больше никаких вирусов не обнаруживается при перезагрузке... Можно ли расценить это как "дело сделано"?

СВАН
18.07.2007, 10:47
drongo

Похоже, пока всё ;) C вашей помощью также был отловлен новый зверь: msurlpar.dll - [url=http://www.viruslist.com/ru/search?VN=not-a-virus:AdWare.Win32.Zhongsou.g&referer=kis]not-a-virus:AdWare.Win32.Zhongsou.g[/url]
Чтобы уменьшить шанс заражения советую на будущее :
1) Работать за компьютером с правами ограниченного пользователя.
2) Пользоваться для хождения по интернету альтернативным браузером [b]с отключёнными скриптами по умолчанию с лёгкостью разрешая доверенным сайтам выполнять скрипты [/b]([url=http://virusinfo.info/showthread.php?p=121290#post121290]Firefox[/url] и [url=http://virusinfo.info/showthread.php?t=6577]Opera[/url] это позволяют делать в отличии от IE 7 ,6....)
3) Прочитать электронную книгу "Безопасный Интернет". Универсальная защита для Windows ME - Vista": [url]http://security-advisory.newmail.ru[/url]

Вы можете нас отблагодарить, оказав нам помощь в сборе базы безопасных файлов : [url]http://virusinfo.info/showthread.php?t=3519[/url]
Мы будем Вам очень благодарны!

Удачи!
18.07.2007, 11:07
СВАН

БОЛЬШОЕ спасибо за помощь!
Я закачал файл (хотя сдуру не заметил, что он больше разрешенного лимита).

Файл сохранён как 070718_110501_virusinfo_files_USER-B176E81F9D_469dbb9d810a1.zip
Размер файла 25876934
MD5 9c5ba90908cb3fd0cf3d248698cc06ab

Спасибо ещё раз!

СВАН
22.02.2009, 02:01
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]50[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\windows\\system32\\drivers\\mountmsg.sys - [B]Trojan.Win32.Agent.bok[/B][*] c:\\windows\\system32\\drivers\\partmsg.sys - [B]Trojan.Win32.Agent.akv[/B] (DrWEB: Trojan.NtRootKit.314)[*] c:\\windows\\system32\\msurlpar.dll - [B]not-a-virus:AdWare.Win32.Zhongsou.g[/B] (DrWEB: Adware.Zhong)[/LIST][/LIST]