неубиваемый процесс l33t.exe

Printable View

05.10.2007, 12:38
gomez

Вложений: 3

неубиваемый процесс l33t.exe

Добрый день. Прошу помочь.
Никак не могу убить вирус.

Система: winXP sp2 лицензия
Антивирус: nod32 (c последним обновлением)

nod32 после каждой загрузки обнаруживает вирус, который идентифицирует как win32/TrojanDownloader.Agent.BRK троян

в процессах после каждой перезагрузки появляется процесс l33t.exe

Проблемы, которые доставляет: вырубило драйвера: сетевуху, аудиоустройства.
Не могу соединиться по dialup-у... пишет ошибку 633. типа com1 уже используется...

Систему сносить НЕЛЬЗЯ, иначе уже бы всё переустановил.

ОЧЕНЬ прошу помочь в решении проблемы!
05.10.2007, 12:41
Bratez

Выполните скрипт в AVZ:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\Documents and Settings\All Users\Документы\Settings\bn.dll','');
QuarantineFile('C:\WINDOWS\system32\l33t.exe','');
BC_ImportQuarantineList;
BC_Activate;
RebootWindows(true);
end.[/code]
Компьютер перезагрузится.
Пришлите карантин согласно приложению 3 правил.
05.10.2007, 13:01
gomez

[quote=Bratez;139943]
Карантин из сообщения уберите, его загружать по ссылке вверху темы.[/quote]

не понял...
Всё... понял...
Сделал...

[size="1"][color="#666686"][B][I]Добавлено через 5 минут[/I][/B][/color][/size]

Файл сохранён как 071005_040102_virus_4705fd4e60260.zip
Размер файла 35598
MD5 976508d76c46f8c6f1316e410b1994ae
05.10.2007, 13:03
Bratez

Выполните скрипт в AVZ:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\Documents and Settings\All Users\Документы\Settings\bn.dll');
DeleteFile('C:\WINDOWS\system32\l33t.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]
Пофиксите в HijackThis:
[code]
O20 - Winlogon Notify: bnreg - C:\WINDOWS\
[/code]
Сделайте новые логи.
05.10.2007, 13:07
gomez

[quote=Bratez;139949]
Пофиксите в HijackThis:
[code]
O20 - Winlogon Notify: bnreg - C:\WINDOWS\
[/code][/quote]

Как сделать это?
Уже нашел... Делаю...
05.10.2007, 13:11
Bratez

[url]http://virusinfo.info/showthread.php?t=4491[/url]
05.10.2007, 13:38
gomez

Вложений: 3

после перезагрузки процесс l33t.exe не появился :)

после перезагрузки процесс l33t.exe не появился :)

При сканировании AVZ откопал в папках /clent/ и /1/client/ пару файлов и поместил их в карантин.

Дело в том, что это папки системы клиент-банк.

Но с модемом осталась таже проблема... Не хочет соединяться... Пишет, что сom1 порт занят...
05.10.2007, 14:03
gomez

to Bratez...
Какие теперь мои действия?
Жду ответа.
05.10.2007, 14:09
PavelA

O23 - Service: l33t - Unknown owner - C:\WINDOWS\system32\l33t.exe (file missing)

Вот это надо подчистить, желательно в защищ. режиме:
[CODE]
begin
BC_DeleteSvc('l33t');
BC_Activate;
RebootWindows(true);
end.[/CODE]
05.10.2007, 14:19
Bratez

1. Упс! Упустили мы с вами важный момент - восстановление системы надо отключить, там могли остаться копии зловредов.

2. Что-то новенькое в логах. Выполните такой скрипт:
[code]
begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\smh.dat','');
BC_ImportQuarantineList;
BC_Activate;
RebootWindows(true);
end.[/code]
После перезагрузки пришлите новый карантин по правилам.

[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]

3. Пока мы будем карантин смотреть, подумайте, что вам реально нужно из этого:
[code]
>> Службы: разрешена потенциально опасная служба RemoteRegistry (Удаленный реестр)
>> Службы: разрешена потенциально опасная служба TermService (Службы терминалов)
>> Службы: разрешена потенциально опасная служба SSDPSRV (Служба обнаружения SSDP)
>> Службы: разрешена потенциально опасная служба Schedule (Планировщик заданий)
>> Службы: разрешена потенциально опасная служба mnmsrvc (NetMeeting Remote Desktop Sharing)
>> Службы: разрешена потенциально опасная служба RDSessMgr (Диспетчер сеанса справки для удаленного рабочего стола)
> Службы: обратите внимание - набор применяемых на ПК служб зависит от области применения ПК (домашний, ПК в ЛВС компании ...)!
>> Безопасность: разрешен автозапуск программ с CDROM
>> Безопасность: разрешен административный доступ к локальным дискам (C$, D$ ...)
>> Безопасность: к ПК разрешен доступ анонимного пользователя
>> Безопасность: Разрешена отправка приглашений удаленному помошнику
[/code]
Что не нужно - будем отключать.

[size="1"][color="#666686"][B][I]Добавлено через 2 минуты[/I][/B][/color][/size]

[quote]При сканировании AVZ откопал в папках /clent/ и /1/client/ пару файлов и поместил их в карантин.
Дело в том, что это папки системы клиент-банк[/quote]
Помещение в карантин - это просто копирование, а не изъятие файла, так что за Банк-клиент не беспокойтесь.
05.10.2007, 14:29
gomez

[quote=PavelA;139969]O23 - Service: l33t - Unknown owner - C:\WINDOWS\system32\l33t.exe (file missing)

Вот это надо подчистить, желательно в защищ. режиме:
[code]
begin
BC_DeleteSvc('l33t');
BC_Activate;
RebootWindows(true);
end.[/code][/quote]

сделал

[size="1"][color="#666686"][B][I]Добавлено через 41 секунду[/I][/B][/color][/size]

[quote=Bratez;139973]1. Упс! Упустили мы с вами важный момент - восстановление системы надо отключить, там могли остаться копии зловредов.

2. Что-то новенькое в логах. Выполните такой скрипт:
[code]
begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\smh.dat','');
BC_ImportQuarantineList;
BC_Activate;
RebootWindows(true);
end.[/code]
После перезагрузки пришлите новый карантин по правилам.
[/quote]

сделал

[size="1"][color="#666686"][B][I]Добавлено через 44 секунды[/I][/B][/color][/size]

готово:
Файл сохранён как 071005_052708_virus_4706117cee9e7.zip
Размер файла 586
MD5 631edaacc99b959afa3084b790c32b48

[size="1"][color="#666686"][B][I]Добавлено через 2 минуты[/I][/B][/color][/size]

>> Службы: разрешена потенциально опасная служба RemoteRegistry (Удаленный реестр) не нужно
>> Службы: разрешена потенциально опасная служба TermService (Службы терминалов) не нужно
>> Службы: разрешена потенциально опасная служба SSDPSRV (Служба обнаружения SSDP) не нужно
>> Службы: разрешена потенциально опасная служба Schedule (Планировщик заданий) не нужно
>> Службы: разрешена потенциально опасная служба mnmsrvc (NetMeeting Remote Desktop Sharing) не нужно
>> Службы: разрешена потенциально опасная служба RDSessMgr (Диспетчер сеанса справки для удаленного рабочего стола) не нужно
> Службы: обратите внимание - набор применяемых на ПК служб зависит от области применения ПК (домашний, ПК в ЛВС компании ...)!
>> Безопасность: разрешен автозапуск программ с CDROM не нужно
>> Безопасность: разрешен административный доступ к локальным дискам (C$, D$ ...) нужно... Хотя не до конца понимаю что это...
>> Безопасность: к ПК разрешен доступ анонимного пользователя нужно
>> Безопасность: Разрешена отправка приглашений удаленному помошнику не нужно
05.10.2007, 14:32
Bratez

Файл в карантин не попал, хотя он однозначно существует.
Попробуйте найти вручную [b]C:\WINDOWS\system32\smh.dat[/b].
05.10.2007, 14:34
gomez

такого файла нет...
05.10.2007, 14:35
Bratez

[quote]нужно... Хотя не до конца понимаю что это... [/quote]
Это значит, что зная ваш пароль администратора, можно по локалке открыть ваши диски. А если пароля Администратора нет, значит просто можно.
05.10.2007, 14:43
gomez

понял... знасит НУЖНО :D

Какие действия дальше?
05.10.2007, 14:50
Bratez

Лишние сервисы отключаем скриптом:
[code]
begin
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Control\Terminal Server','fAllowToGetHelp', 0);
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'System\CurrentControlSet\Services\CDROM','AutoRun', 0);
SetServiceStart('RDSessMgr', 4);
SetServiceStart('mnmsrvc', 4);
SetServiceStart('Schedule', 4);
SetServiceStart('SSDPSRV', 4);
SetServiceStart('TermService', 4);
SetServiceStart('RemoteRegistry', 4);
RebootWindows(true);
end.[/code]
Скрипт карантина из сообщения #10 выполните в безопасном режиме, может все-таки попадет (он там есть 100%).
05.10.2007, 14:59
gomez

[quote=Bratez;139994]Лишние сервисы отключаем скриптом:
[code]
begin
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Control\Terminal Server','fAllowToGetHelp', 0);
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'System\CurrentControlSet\Services\CDROM','AutoRun', 0);
SetServiceStart('RDSessMgr', 4);
SetServiceStart('mnmsrvc', 4);
SetServiceStart('Schedule', 4);
SetServiceStart('SSDPSRV', 4);
SetServiceStart('TermService', 4);
SetServiceStart('RemoteRegistry', 4);
RebootWindows(true);
end.[/code]
Скрипт карантина из сообщения #10 выполните в безопасном режиме, может все-таки попадет (он там есть 100%).[/quote]

сделал
05.10.2007, 15:03
Bratez

Файл попал в карантин?
05.10.2007, 15:11
gomez

по-моему нет... сделал всё как Вы и советовали в safe mode-е.

Файл сохранён как 071005_060816_virus_47061b208f9da.zip
Размер файла 586
MD5 eda78e0c454a2a937fc012dd178dd7dc

[size="1"][color="#666686"][B][I]Добавлено через 2 минуты[/I][/B][/color][/size]

Для меня САМЫЙ главный вопрос... Почему может не работать dial-up?... Нужен для client-bank...
Пишет ошибку 633, что com1 порт занят...
переустановка драйвера модема и порта не помогла... :(
Я думал, что проблема связана с вирусом...
Что-нибудь вообще можно сделать?
05.10.2007, 15:22
Bratez

Я тут погуглил... этот файл видимо от SuperUtilities, так что оставим его в покое. На этом наверно всё... Сделайте для контроля логи, начиная с п.10 правил.

[size="1"][color="#666686"][B][I]Добавлено через 2 минуты[/I][/B][/color][/size]

А SuperUtilities вы давно поставили? Его не было в первых логах...
05.10.2007, 15:23
gomez

В любом случае ОГРОМНОЕ спасибо за помощь!
Не ожидал получить ТАКУЮ оперативноу и качественную помощь в решении проблем с вирусами... :)

Буду всем рекоммендовать Ваш форум.

С Уважением, Павел.
05.10.2007, 15:27
Bratez

Внешние модемы имеют свойство иногда зависать, причем перезагрузка компьютера из ступора не выводит. Попробуйте передёрнуть ему питание, а потом перезагрузить комп.
05.10.2007, 15:42
gomez

Еще вопросик...
А что это такое? :
В следствии неопределенной ошибки не удается отобразить параметры брендмауера Windows.
05.10.2007, 15:47
Bratez

Насчет брандмауера посмотрите тут:
[url]http://support.microsoft.com/kb/920074/ru[/url]

А модем таки заработал?
05.10.2007, 16:44
gomez

Спасибо за ссылку!. Брендмауер запустил...

С модемом борюсь... Чего-то никак пока не удается :(
Есть подозрения, что навернулся сам модем... Щас проверяю на другом компе...

[size="1"][color="#666686"][B][I]Добавлено через 13 минут[/I][/B][/color][/size]

Модем проверил на другом компе... всё отлично пашет... с инетом коннектится...

А на этом компе ЗАСАДА... Ошибка 633 и нафиг...
Пробовал и новые подключения создавать... Один хрен...
Чего делать не знаю... :(
Может какое-нить приложение как-нить просто занять этот com порт?...
Если мыслей нет, то посоветуйте к кому лучше обратиться.

С Уважением, Павел.
05.10.2007, 16:55
Bratez

Super Utilities если не ошибаюсь установили совсем недавно. После ее установки модем еще работал? Попробуйте удалить.
05.10.2007, 17:04
gomez

Уже ВСЁ посносил нафиг... На компе ТОЛЬКО клиент-банк и офис...
чего делать уже вообще не знаю... Мыслей нет :((((

[size="1"][color="#666686"][B][I]Добавлено через 5 минут[/I][/B][/color][/size]

Заметил вот что... Когда ставил модем на втором компе, то было предложено выбрать из 2-х версий драйверов... На этом компе ставит автоматом не давая выбрать...
В сведениях о драйвере чуть чуть отличаются закладки на разных компах...

Может просто эта винда автоматом ставит неверную версию драйвера?...
Хотя звучит как бред :)
05.10.2007, 17:13
Bratez

[quote]Может просто эта винда автоматом ставит неверную версию драйвера?...
Хотя звучит как бред [/quote]
На самом деле такое бывает, сталкивался не раз.
Попробуйте через команду "Обновить драйвер" принудительно поставить с родного диска, т.е. пункт "Я сам выберу..." - "Установить с диска".
05.10.2007, 17:54
gomez

Я говорю... ВСЁ уже перепробовал :(
Блин... Может конфликтует с чем :(...

[size="1"][color="#666686"][B][I]Добавлено через 4 минуты[/I][/B][/color][/size]

Так... прелестно...
Теперь не читает CD :(... Это что-то новенькое...
Может всё-таки мы с Вами не всё убили?... Может какая гадость продолжает промышлять?...
05.10.2007, 18:02
V_Bond

[QUOTE=gomez;140070]
Так... прелестно...
Теперь не читает CD :(... Это что-то новенькое...
Может всё-таки мы с Вами не всё убили?... Может какая гадость продолжает промышлять?...[/QUOTE]
что значит не читает ... ? к диску обращение идет ? диск раскручивается ?...
05.10.2007, 18:12
gomez

Чувствую, что всё идет к переустановке Windows :(
Решения проблемы так нигде и не нашел... Хоть лбом об стенку :((((((((
Подарочек на ДР блин :(

Блин... Первый раз такое... От обиды слов нет просто :(((((
06.10.2007, 15:01
Bratez

Сегодня лечил l33t.exe в реале и тоже уткнулся в ошибку 633 при попытке подключения через модем. Не знаю, связаны ли они на самом деле, т.к. было еще много разного зверья... Никакие танцы с бубном ситуацию не исправили. Помогла только переустановка Windows "восстановлением".
08.10.2007, 12:08
gomez

Скорее всего связаны

Скорее всего связаны... До того, как вирус появился всё же работало нормально...
Так что вирусняк ОООЧЕНЬ неприятный... Ладно... Уже переставил всё... Жаль время своё и Ваше зря потратил :)

p.s. Основной комп подтормаживает... Поможете оптимизировать?...

С Уважением, Павел.
08.10.2007, 12:16
Bratez

[quote]p.s. Основной комп подтормаживает... Поможете оптимизировать?... [/quote]
Сделайте на нем логи и откройте новую тему.
Чем смогём - помогём ;)
08.10.2007, 12:18
gomez

окей... СПС...
22.02.2009, 02:35
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]4[/B][*]Обработано файлов: [B]14[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\windows\\system32\\l33t.exe - [B]Trojan.Win32.Pakes.dw[/B] (DrWEB: Trojan.Packed.195)[/LIST][/LIST]