ip6fw runtime startdrv.exe

Printable View

28.08.2007, 22:13
Av64

ip6fw runtime startdrv.exe

[SIZE=3][FONT=Times New Roman]Norton AntiVirus идентифицирует файлы ip6fw.sys и runtime.sys как Trojan.Pandex, а DrWeb CureIT (в безопасном режиме) удаляет их и еще файл C:\WINDOWS\TEMP\startdrv.exe, но при перезагрузке они вновь появляются. При этом очень быстро расходывается интернетовский трафик.[/FONT][/SIZE]
[FONT=Times New Roman][SIZE=3]Очень надеюсь на Вашу помощь (протоколы прилагаю)[/SIZE][/FONT]
28.08.2007, 22:31
V_Bond

1.Отключить антивирус и отключиться от интернета!

AVZ Файл - Выполнить скрипт --Скопировать ниже написанный скрипт-- Запустить.
[code]
O23 - Service: FCI - Unknown owner - C:\WINDOWS\system32\svchost.exe:ext.exe (file missing)
[/code]
выполните скрипт ....
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\xV8d7S7B.exe','');
QuarantineFile('C:\WINDOWS\system32\gnIJTQ61.exe','');
QuarantineFile('C:\WINDOWS\Temp\startdrv.exe','');
QuarantineFile('C:\WINDOWS\system32\drivers\runtime.sys','');
QuarantineFile('C:\WINDOWS\system32\drivers\runtime2.sys','');
QuarantineFile('C:\WINDOWS\system32\drivers\ip6fw.sys','');
DeleteFile('C:\WINDOWS\Temp\startdrv.exe');
Deletefile('C:\WINDOWS\system32\drivers\ip6fw.sys');
DeleteFile('C:\WINDOWS\system32\drivers\runtime2.sys');
DeleteFile('C:\WINDOWS\system32\drivers\runtime.sys');
DeleteFile('C:\WINDOWS\system32\gnIJTQ61.exe');
DeleteFile('C:\WINDOWS\system32\xV8d7S7B.exe');
BC_DeleteSvc('runtime');
BC_DeleteSvc('runtime2');
BC_DeleteSvc('Ip6Fw');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
пришлите карантин согласно приложения 3 правил .... повторите логи...
29.08.2007, 00:01
Av64

Высылаю логи после прогона скрипта
29.08.2007, 00:08
Av64

Сначала мне показалось, что ничего не поменялось, но через некоторое время прекратилось пожирание интернетовского трафика
29.08.2007, 00:18
V_Bond

профиксите
[code]
O4 - HKLM\..\Run: [startdrv] C:\WINDOWS\Temp\startdrv.exe
[/code]
выполните скрипт ....
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\xV8d7S7B.exe','');
QuarantineFile('C:\WINDOWS\system32\gnIJTQ61.exe','');
QuarantineFile('C:\WINDOWS\Temp\startdrv.exe','');
QuarantineFile('C:\WINDOWS\system32\fppr232.dll','');
DeleteFile('C:\WINDOWS\Temp\startdrv.exe');
DeleteFile('C:\WINDOWS\system32\gnIJTQ61.exe');
DeleteFile('C:\WINDOWS\system32\xV8d7S7B.exe');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
пришлите карантин согласно приложения 3 правил ... повторите логи....
29.08.2007, 01:09
Av64

Высылаю логи после прогона скрипта
Не могу понять все время идет обращение к диску и в директории
C:\WINDOWS\TEMP созданы два файла с именами BIT????.tmp
(вместо ???? цифры) с размером 129560, в которых меняется время создания (складывается впечатление, что идет передача данных из одного файла в другой)
29.08.2007, 01:24
V_Bond

выполните скрипт ...
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\WINDOWS\system32\gnIJTQ61.exe');
DeleteFile('C:\WINDOWS\system32\xV8d7S7B.exe');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
повторите логи AVZ ...
29.08.2007, 02:04
Av64

Высылаю логи
Все равно на компе наблюдается активное обращение к диску
29.08.2007, 05:00
Bratez

Пофиксите в HijackThis:
[code]
F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,C:\Documents and Settings\home\Application Data\MSGSYS.EXE,
O2 - BHO: WebAssist - {85589B5D-D53D-4237-A677-46B82EA275F3} - C:\WINDOWS\WebAssist.dll (file missing)
[/code]
Выполните скрипт в AVZ:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\Documents and Settings\home\Application Data\MSGSYS.EXE','');
BC_ImportQuarantineList;
BC_DeleteSvc('FCI');
BC_Activate;
RebootWindows(true);
end.[/code]
После перезагрузки пришлите карантин согласно приложению 3 правил.
29.08.2007, 08:52
Av64

Все сделал, карантин отправил
Вроде активное обращение к диску прекратилось
29.08.2007, 09:20
V_Bond

C:\Documents and Settings\home\Application Data\MSGSYS.EXE T[B]rojan-PSW.Win32.LdPinch.cfk[/B]
выполните скрипт ...
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\Documents and Settings\home\Application Data\MSGSYS.EXE');
ExecuteSysClean;
BC_ImportAll;
BC_Activate;
RebootWindows(true);
end.
[/code]
советую сменить пароли ...
повторите логи...
29.08.2007, 09:52
Av64

Высылаю логи
Пароли сменю попозже
Убегаю на работу
29.08.2007, 10:16
drongo

1.Удалите все задания в планировщике задач виндоуса (те которые не сами ставили) Можно его совсем отключить, если не пользуетесь.
2.Эти два файла (сколько они весят то ? ) нужно переслать Олегу Зайцеву, чтобы посмотрел, по моему ложно срабатывание:
C:\WINDOWS\Installer\181df9.msi
C:\WINDOWS\Installer\181e00.msi

3.C:\windows\System32\Drivers\avshdfh3.SYS- от чего точно? даемон тулс ?
C:\WINDOWS\trailer.scr- желательно тоже прислать, а вдруг там скринсейвер с сюрпризом ;)
29.08.2007, 10:49
Av64

Файлы Олегу Зайцеву пересылать также как я пересылал содержимое карантина или как-то по другому
29.08.2007, 10:55
PavelA

e-mail Зайцева: newvirus<>z-oleg.com
Вместо <> @
29.08.2007, 16:58
Av64

1. Планировщик заданий был отключен, а вот в меню "Пуск > Панель управления > Назначенные задания" было много файлов (JOB??), которые я удалил.
Также было замечено, что иногда зависает меню "Пуск > Панель управления " (приходится удалять через Диспетчер задач).
2. Файлы 181df9.msi 181e00.msi в заархивированном виде занимают чуть больше метра.Пройдут они по почте на [EMAIL="[email protected]"][email protected][/EMAIL]?
Есть какие-то правила отправки или просто посылать и все?
3. Даемон тулс на компе установлен, но файла C:\windows\System32\Drivers\avshdfh3.SYS я не нашел. Так что не знаю к какой проге он относится.
Высылаю последние логи
29.08.2007, 17:06
PavelA

[QUOTE=Av64;130130]3. Даемон тулс на компе установлен, но файла C:\windows\System32\Drivers\avshdfh3.SYS я не нашел. Так что не знаю к какой проге он относится.
Высылаю последние логи[/QUOTE]

Файл переименовывается при каждой перезагрузке компьютера.
29.08.2007, 17:12
Bratez

В логах чисто.
Те два файла .msi отправьте так же как карантин
(архив с паролем [I]virus[/I]).
29.08.2007, 17:41
Av64

Файлы 181df9.msi 181e00.msi trailer.scr я сбросил на [EMAIL="[email protected]"][email protected][/EMAIL].

[size="1"][color="#666686"][B][I]Добавлено через 11 минут[/I][/B][/color][/size]

Так все таки как отправить или через загрузку файлов (как для карантина) или отправкой по електронной почте на адрес [EMAIL="[email protected]"][email protected][/EMAIL] в виде архива с паролем virus.
29.08.2007, 17:48
Bratez

по електронной почте на адрес [email][email protected][/email] в виде архива с паролем virus
29.08.2007, 22:38
Av64

Уже отправил

[size="1"][color="#666686"][B][I]Добавлено через 4 часа 41 минуту[/I][/B][/color][/size]

Компьютер уже не живет своей жизнью, а вполне управляем, так что можна праздновать победу над вирусами или подождать вердикта по переданным файлам?
29.08.2007, 22:46
V_Bond

да пожалуй ,уже можно праздновать ....
29.08.2007, 22:58
Av64

Всем огромное спасибо за помощь!!! :beer:
30.08.2007, 04:01
Muzzle

Советую работать за компьютером под пользователем с ограниченными правами.
По возможности не пользоваться Internet Explorer,а использовать альтернативные браузеры,например Firefox,Opera(с отключёнными java скриптами,разрешать их выполнение только для доверенных сайтов)
Советую прочитать [URL="http://security-advisory.newmail.ru/"]электронную книгу[/URL] "Безопасный Интернет. Универсальная защита для Windows ME - Vista".

Вы можете нас отблагодарить, [URL="http://www.virusinfo.info/showthread.php?t=3519"]оказав нам помощь в сборе базы безопасных файлов.[/URL] Мы будем Вам очень благодарны!

Удачи!