Трояны+непонятный файл t0.dll

Началось с того, как во внешнем интернете(у меня выделенка - на локальных сайтах не замечал таких глюков), в частности, к примеру, на сайте vkontakte.ru начались глюки. Периодически при нажатии на любую ссылку - выскакивает 1-2 окна с порносайтами. + ко всему все анти-spy проги ругаются на файл t0.dll в папке system32. Прбовал сам его удалять и unlockerом и финсить HJ и вруную. Даже через безопасный режим с отключенным system restore. В интернете нашел похожую проблему с этим файлом - также не удаляется. Плюс в системной папке есть трояны, которых так не видно. До первой чистки любым антиspyware находил кучу левых кукосив, видимо на те порносайты. Сейчас как полажу по сайту - опять создаются. Кукисы обнаруживаю Spyware Terminator"ом.
И еще - при удалении t0.dll падает сеть. ВИдимо, он как-то встроился. А сам,повторюсь , после перезагрузки опять появляется, хотя восстановление системы отключено.
Логи прилагаются


[url]http://slil.ru/24892292[/url] syscheck
[url]http://slil.ru/24892295[/url] syscure

пофиксите ...
[code]
F2 - REG:system.ini: UserInit=C:\WINDOWS\System32\userinit.exe
[/code]
[B]сделайте логи AVZ по правилам ...[/B]

[quote=V_Bond;137039]пофиксите ...
[code]
F2 - REG:system.ini: UserInit=C:\WINDOWS\System32\userinit.exe
[/code]
[B]сделайте логи AVZ по правилам ...[/B][/quote]


у меня в папке AVZ даже нет папки LOGs. Пришлось самому сохранить лог с нужным названием. AVZ вашу скачал
userinit.exe пофиксил. Значит это левое приложение?

userinit.exe является процессом Windows... не нужно ничего по отношению к нему предпринимать ...

У вас целый зверинец!
Выполните скрипт:
[code]begin
BC_DeleteFile('C:\WINDOWS\Temp\startdrv.exe');
BC_DeleteFile('C:\WINDOWS\SYSTEM32\DRIVERS\RUNTIME2.SYS');
BC_DeleteFile('C:\WINDOWS\system32\drivers\ip6fw.sys');
BC_DeleteSvc('runtime');
BC_DeleteSvc('runtime2');
BC_DeleteSvc('Ip6Fw');
BC_Activate;
RebootWindows(true);
end.[/code]
После перезагрузки выполните правила!

[quote=Alex_Goodwin;137055]У вас целый зверинец!
Выполните скрипт:
[code]begin
BC_DeleteFile('C:\WINDOWS\Temp\startdrv.exe');
BC_DeleteFile('C:\WINDOWS\SYSTEM32\DRIVERS\RUNTIME2.SYS');
BC_DeleteFile('C:\WINDOWS\system32\drivers\ip6fw.sys');
BC_DeleteSvc('runtime');
BC_DeleteSvc('runtime2');
BC_DeleteSvc('Ip6Fw');
BC_Activate;
RebootWindows(true);
end.[/code]
После перезагрузки выполните правила![/quote]


Я бы рад их выполнить, только повторюсь - у меня в папке AVZ нет папки для логов LOGS! Где мне взять лог? Я не нашел. СОздал вручную - то и прикрепил. ТОчно должна быть вообще такая папка? Может она вообще не в папке программы, а в какой-нибудь системной директории?

ПС скрипт Ваш Алекс Гудвин выполнил. Это были вирусы, которые удалены?
ППС V_Bond переименование папки АВЗ в 123.com не помогло. Ничего не изменилось

АВЗ распаковали нормально? Не из темпов запускаете? Если не получится, то в безопасном режиме или [url]http://virusinfo.info/showthread.php?t=10387[/url]

[quote=Alex_Goodwin;137071]АВЗ распаковали нормально? Не из темпов запускаете? Если не получится, то в безопасном режиме или [URL]http://virusinfo.info/showthread.php?t=10387[/URL][/quote]


Прошу прощения - переименовал в 123.ком и заново сделал - получилось.Это лоюбое название подошло бы кроме оригинального? Или это специальное?...Сейчас прикреплю новые файлы

Это скрипт мой сработал..

Написано выполняется - это я про вкладку новых логов


Что-то долго новые вкладлываются...

[size="1"][color="#666686"][B][I]Добавлено через 16 минут[/I][/B][/color][/size]

[URL]http://virusinfo.info/attachment.php?attachmentid=18382&d=1190569844[/URL]

странно - там где их можно удалить - написано выполняется, а они все не закачиваются =(

попробуйте удалить старые логи и залить новые,если не получиться,то выложите на каком-либо файловом обменике,например [url]http://zalil.ru[/url]

[quote=Muzzle;137145]попробуйте удалить старые логи и залить новые,если не получиться,то выложите на каком-либо файловом обменике,например [URL]http://zalil.ru[/URL][/quote]


готово
[URL]http://slil.ru/24892292[/URL] syscheck
[URL]http://slil.ru/24892295[/URL] syscure
А лог от HJ в первом сообщении.
Спасибо за подсказку

1. Выполните скрипт в AVZ:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('c:\windows\system32\drivers\NDIS.sys','');
QuarantineFile('c:\cd1041.nls','');
BC_ImportQuarantineList;
BC_Activate;
RebootWindows(true);
end.[/code]
2. Скачайте эту программку: [attach]10580[/attach]

3. Перезагрузитесь в безопасный режим, запустите скачанную программу и нажмите в ней [b]Patch[/b].

4. Выполните скрипт в AVZ:
[code]begin
DeleteFile('c:\cd1041.nls');
ExecuteSysClean;
RebootWindows(true);
end.[/code]
Последует перезагрузка - пусть входит в обычный режим.

5. Карантин AVZ пришлите согласно приложению 3 правил.

6. Сделайте новые логи.

[quote=Bratez;137215]1. Выполните скрипт в AVZ:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('c:\windows\system32\drivers\NDIS.sys','');
QuarantineFile('c:\cd1041.nls','');
BC_ImportQuarantineList;
BC_Activate;
RebootWindows(true);
end.[/code]
2. Скачайте эту программку: [attach]10580[/attach]

3. Перезагрузитесь в безопасный режим, запустите скачанную программу и нажмите в ней [B]Patch[/B].

4. Выполните скрипт в AVZ:
[code]begin
DeleteFile('c:\cd1041.nls');
ExecuteSysClean;
RebootWindows(true);
end.[/code]
Последует перезагрузка - пусть входит в обычный режим.

5. Карантин AVZ пришлите согласно приложению 3 правил.

6. Сделайте новые логи.[/quote]


1-4 сделал
5-закачал. Здесь ничего не поменялось. Вы наверное увидите, что закачалось. ВОт была ссылка если что [URL]http://virusinfo.info/upload_virus.php?tid=12678[/URL]
6-логи делаю в настоящий момент. Скоро выложу. С вашего разрешения, опять залью на zalil.ru, а то опять тормозить будет закачка. Хотя сначала попробую, естественно, обычным способом

Логи залились нормально. В следующем сообщении

Новые логи

Также зашел на вирустотал.ком и проверил в нем этот файт t0.dll из папки систем32.
ВОт результат! [url]http://www.virustotal.com/ru/resultado.html?9745c16171fc8dd792f731430afa9f68[/url]

c:\windows\system32\drivers\NDIS.sys -[B]Virus.Win32.Agent.x[/B]
c:\cd1041.nls T[B]rojan.Spam.Xarvester.EN[/B] (BitDefender)
NDIS.sys - пришлите по правилам ..еще раз ...

[quote=V_Bond;137235]c:\windows\system32\drivers\NDIS.sys -[B]Virus.Win32.Agent.x[/B]
c:\cd1041.nls T[B]rojan.Spam.Xarvester.EN[/B] (BitDefender)
NDIS.sys - пришлите по правилам ..еще раз ...[/quote]



Перезалил архив virus с одним только файлом NDIS, как просили

Файл t0.dll в системе не задействован, просто удалите его.

выполните скрипт ...
[code]
begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('c:\windows\system32\drivers\NDIS.sys','');
BC_ImportQuarantineList;
BC_Activate;
RebootWindows(true);
end.
[/code]
пришлите карантин согласно приложению 3 правил ...

[quote=Bratez;137240]Файл t0.dll в системе не задействован, просто удалите его.[/quote]


Вы смотрели ссылку с вирустотал? Там он 27 антивирусами определился как Trojan.Agent.aph.
Я его удалял уже чем толко можно - заново появляется, хотя восстановление системы отключено. Удалял даже анлокером.
МОжет скачать один из тех антивирусов, который его определил? Только базы наверное везде устаревшие

Ndis - Trojan.Spamdes!inf (по Симантеку), патченный. Лечение его не прошло. Надо повторить.

Извиняюсь, забыл еще одного зверька обработать ;)
Выполните такой скрипт:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\ServicePackFiles\services.exe','');
DeleteFile('C:\WINDOWS\ServicePackFiles\services.exe');
DeleteFile('C:\WINDOWS\System32\t0.dll');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]
Новый карантин загрузите по правилам, и логи еще раз придется сделать.

[quote=Bratez;137246]Извиняюсь, забыл еще одного зверька обработать ;)
Выполните такой скрипт:
[code]
begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\ServicePackFiles\services.exe','');
DeleteFile('C:\WINDOWS\ServicePackFiles\services.exe');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]
Новый карантин загрузите по правилам, и логи еще раз придется сделать.[/quote]


вобщем делаю этот скрипт, плюс скрипт предложенный выше:
begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('c:\windows\system32\drivers\NDIS.sys','');
BC_ImportQuarantineList;
BC_Activate;
RebootWindows(true);
end.

И высылаю карантин с файлом NDIS. + 3 новых лога. Так?
И еще: выше написал - t0.dll не удаляется зараза.

Минутку, я изменю скрипт...

[size="1"][color="#666686"][B][I]Добавлено через 2 минуты[/I][/B][/color][/size]

Готово, выполняйте.

Также там с ним в этой же папке и блокнотовский файл t0
Толже в скрипте дописать строчку наверное надо. Он вроде бы с dll-ловским появляется. Файл *.ini

[size="1"][color="#666686"][B][I]Добавлено через 14 минут[/I][/B][/color][/size]

После выполнения скрипта
begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('c:\windows\system32\drivers\NDIS.s ys','');
BC_ImportQuarantineList;
BC_Activate;
RebootWindows(true);
end

Карантин пустой. :?
Удаление скриптом файла t0.dll и t0.ini прошло успешно. Это хорошо. Только как узнать - была ли эта основная часть вируса или это не главное. Или вирус может представлять собой такой файл dll и только? Подскажите, пожалуйста.
PS логи после проделанных двух последних скриптов делаю...скоро будут

Тот ndis.sys, что присылали зараженный.
Либо его прислали до запуска Patch, либо он опять заражен.
Основной в этом деле он.
Проверь ndis.sys на вирустотал. Результаты выложи сюда.

Новые логи, конечно, тоже нужны.

ВОт новые логи.
Карантин был пустой - а сейчас безобидный, по моему мнению, файл программы Punti Switcher. Посмотрите их, пожалуйста



А из всего зверинца что был остался 1 вирус получается?
[quote=PavelA;137271]Тот ndis.sys, что присылали зараженный.

Либо его прислали до запуска Patch, либо он опять заражен.

Основной в этом деле он.

Проверь ndis.sys на вирустотал. Результаты выложи сюда.



Новые логи, конечно, тоже нужны.[/quote]

Т оесть вирус подменил это тфайл драйвера своим?

В логах больше ничего подозрительного нет.
Можете выключить и удалить службу Reset 5 - это кряк от SP1, в SP2 смысла не имеет.

[quote=PavelA;137271]Тот ndis.sys, что присылали зараженный.
Либо его прислали до запуска Patch, либо он опять заражен.
Основной в этом деле он.
Проверь ndis.sys на вирустотал. Результаты выложи сюда.

Новые логи, конечно, тоже нужны.[/quote]


[URL]http://www.virustotal.com/ru/resultado.html?2e1b80c31fa4195e41a979c65ae3c493[/URL]
все чисто. Файл восстановлен данной мне прогой?

[size="1"][color="#666686"][B][I]Добавлено через 50 секунд[/I][/B][/color][/size]

[quote=Bratez;137283]В логах больше ничего подозрительного нет.
Можете выключить и удалить службу Reset 5 - это кряк от SP1, в SP2 смысла не имеет.[/quote]

Как это сделать? Просто я такого не видел.
ПС тихо, не палите с кряком ;)

[size="1"][color="#666686"][B][I]Добавлено через 4 минуты[/I][/B][/color][/size]

И еще: у меня пофиксен с помощью HJ файл систем32/userinit.exe (не помню, кто-то из вас сказал так сделать) его так там и оставить висеть пофиксенным?

[quote]Как это сделать?[/quote]
Открыть окно командной строки и набрать:
[b]sc stop "reset 5"
sc delete "reset 5"[/b]
(именно так, с кавычками, после каждой строки нажать Enter).

вы фиксили ...
F2 - REG:system.ini: UserInit=C:\WINDOWS\System32\userinit.exe
все верно ...

[quote=Bratez;137298]Открыть окно командной строки и набрать:
[B]sc stop "reset 5"[/B]
[B]sc delete "reset 5"[/B]
(именно так, с кавычками, после каждой строки нажать Enter).[/quote]


как вы его обнаружили? Он в логах светился?



[quote=V_Bond;137300]вы фиксили ...

F2 - REG:system.ini: UserInit=C:\WINDOWS\System32\userinit.exe

все верно ...[/quote]

Ок, оставляю все как есть

[QUOTE=Dev!L*;137302]как вы его обнаружили? Он в логах светился?[/quote]
См. лог HijackThis

Спасибо всем огромное, надеюсь на этом проблемы окончатся. Как я понял, туперь AVZ и HJ у меня пусть остаются на компе.
Последнее - какой антивирус или мб просто прогу поставить против пободной дряни? Просто за эту неделю перепробоавал кучу анти-spyware прог и не все находили. А кто находил - удалял а потом заново начиналось.
ВОбщем что лучше всего поставить, чтоб обновлять можно было регулярно через инет.

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]3[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\cd1041.nls - [B]Trojan-Proxy.Win32.Pixoliz.na[/B] (DrWEB: Trojan.Spambot.2470)[*] c:\\windows\\system32\\drivers\\ndis.sys - [B]Virus.Win32.Agent.x[/B] (DrWEB: Trojan.Spambot)[/LIST][/LIST]