Не могу прогнать скрипт

Printable View

19.10.2007, 12:19
ghostil

Не могу прогнать скрипт

Здравствуйте! На компьютере куча всяких троянов: Haxdoor, BackDoor, Downloader и т.д. Решил выполнить скрипт (№3) обычном режиме, чтобы Вас выслать. Но, как только начинается проверка дисков, появляется синий "экран смерти". Когда я выполняю тот же скрипт в Safe Mode, он выполняется, выдавая кучу разных вирусов. Не подскажете, что можно сделать, чтобы я мог выполнить скрипт в обычном режиме?
19.10.2007, 12:23
Trotil

А Cureit`ом полную проверку делали?
19.10.2007, 12:29
ghostil

нет, только экспресс, сейчас сделаю :-)
19.10.2007, 17:13
ghostil

Сделал я полную проверку CureIt'ом. AVZ смог выполнять скрипты в обычном режиме. Но вот сама система в обычном режиме ужасно тормозит. Ещё начала выскакивать ошибка приложения Winlogo.exe. Нажимаю Ok - перезагрузка, нажимаю Отмена - синий "экран смерти". В безопасном режиме с загрузкой сетевых драйверов та же ошибка выскакивает. А вот в просто безопасном режиме такой ошибки нет. А ни на одну из этих кнопок не нажимаю, то компьютер продолжает работу. :-) Посмотрите, пожалуйста, логи.
19.10.2007, 17:16
ghostil

ой, ошибка приложения winlogon.exe, не дописал, прошу прощения
19.10.2007, 17:25
Bratez

Выплните скрипт:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\kernel .exe','');
QuarantineFile('C:\WINDOWS\Temp\startdrv.exe','');
QuarantineFile('C:\Documents and Settings\All Users\Документы\Settings\bot.dll','');
QuarantineFile('C:\WINDOWS\system32\Drivers\Ytua47.sys','');
QuarantineFile('C:\WINDOWS\system32\Drivers\wualcskw.sys','');
QuarantineFile('C:\WINDOWS\system32\ovwscn.sys','');
QuarantineFile('C:\WINDOWS\system32\ovrscn.sys','');
QuarantineFile('C:\WINDOWS\system32\Drivers\eunfmquh.dat','');
QuarantineFile('C:\WINDOWS\system32\tmpf00.exe','');
QuarantineFile('C:\WINDOWS\system32\spoolsvv.exe','');
QuarantineFile('C:\WINDOWS\system32\ovrscn.dll','');
QuarantineFile('C:\WINDOWS\system32\dsaut.dll','');
QuarantineFile('C:\Temp\sch16.dll','');
QuarantineFile('C:\Temp\doldbal.dll','');
DeleteFile('C:\Temp\doldbal.dll');
DeleteFile('C:\Temp\sch16.dll');
DeleteFile('C:\WINDOWS\system32\dsaut.dll');
DeleteFile('C:\WINDOWS\system32\ovrscn.dll');
DeleteFile('C:\WINDOWS\system32\spoolsvv.exe');
DeleteFile('C:\WINDOWS\system32\tmpf00.exe');
DeleteFile('C:\WINDOWS\system32\Drivers\eunfmquh.dat');
DeleteFile('C:\WINDOWS\system32\ovrscn.sys');
DeleteFile('C:\WINDOWS\system32\ovwscn.sys');
DeleteFile('C:\WINDOWS\system32\Drivers\Ytua47.sys');
DeleteFile('C:\Documents and Settings\All Users\Документы\Settings\bot.dll');
DeleteFile('C:\WINDOWS\Temp\startdrv.exe');
DeleteFile('C:\WINDOWS\kernel .exe');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]

[size="1"][color="#666686"][B][I]Добавлено через 46 секунд[/I][/B][/color][/size]

После перезагрузки пришлите карантин по правилам и сделайте новые логи.
19.10.2007, 17:34
V_Bond

пофиксите ...
[code]
O4 - HKLM\..\Run: [C:\WINDOWS\kernel%32.exe] C:\WINDOWS\kernel%32.exe
O4 - HKLM\..\Run: [startdrv] C:\WINDOWS\Temp\startdrv.exe
O4 - HKLM\..\Run: [spoolsvv] C:\WINDOWS\system32\spoolsvv.exe
O4 - HKCU\..\Run: [WinAble] C:\Program Files\WinAble\winable.exe
O20 - Winlogon Notify: botreg - C:\Documents and Settings\All Users\Документы\Settings\b ot.dll (file missing)
O20 - Winlogon Notify: ovrscn - C:\WINDOWS\SYSTEM32\ovrscn.dll
[/code]
выполните скрипт...
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('ovrscn.dll','');
QuarantineFile('C:\WINDOWS\kernel2.exe','');
QuarantineFile('C:\WINDOWS\Temp\startdrv.exe','');
QuarantineFile('C:\Program Files\WinAble\winable.exe','');
QuarantineFile('C:\Documents and Settings\All Users\Документы\Settings\bot.dll','');
QuarantineFile('Ytua47.sys','');
QuarantineFile('wualcskw.sys','');
QuarantineFile('\??\C:\WINDOWS\system32\ovwscn.sys','');
QuarantineFile('\??\C:\WINDOWS\system32\ovrscn.sys','');
QuarantineFile('\??\C:\WINDOWS\system32\Drivers\eunfmquh.dat','');
QuarantineFile('C:\WINDOWS\system32\dsaut.dll','');
QuarantineFile('C:\WINDOWS\system32\tmpf00.exe','');
QuarantineFile('C:\WINDOWS\system32\spoolsvv.exe','');
QuarantineFile('C:\WINDOWS\system32\ovrscn.dll','');
QuarantineFile('C:\Temp\sch16.dll','');
QuarantineFile('C:\Temp\doldbal.dll','');
QuarantineFile('c:\windows\system32\tmpf00.exe','');
DeleteFile('c:\windows\system32\tmpf00.exe');
DeleteFile('C:\Temp\doldbal.dll');
DeleteFile('C:\Temp\sch16.dll');
DeleteFile('C:\WINDOWS\system32\ovrscn.dll');
DeleteFile('C:\WINDOWS\system32\spoolsvv.exe');
DeleteFile('C:\WINDOWS\system32\tmpf00.exe');
DeleteFile('\??\C:\WINDOWS\system32\ovrscn.sys');
DeleteFile('\??\C:\WINDOWS\system32\ovwscn.sys');
DeleteFile('Ytua47.sys');
DeleteFile('C:\Documents and Settings\All Users\Документы\Settings\bot.dll');
DeleteFile('C:\Program Files\WinAble\winable.exe');
DeleteFile('C:\WINDOWS\Temp\startdrv.exe');
DeleteFile('C:\WINDOWS\kernel2.exe');
DeleteFile('C:\WINDOWS\kernel%32.exe');
DeleteFile('C:\WINDOWS\kernel .exe');
DeleteFile('c:\windows\system32\klogini.dll');
DeleteFile('c:\windows\system32\fltr.a3d');
DeleteFile('c:\windows\system32\i.a3d');
DeleteFile('c:\windows\system32\p2.ini');
DeleteFile('c:\windows\system32\redir.a3d');
DeleteFile('c:\windows\system32\tnfl.a3d');
DeleteFile('C:\WINDOWS\system32\Drivers\eunfmquh.dat');
DeleteFile('ovrscn.dll');
DeleteFile('wualcskw.sys');
DelWinlogonNotifyByFileName('ovrscn.dll ');
BC_DeleteSvc('Ytua47');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
пришлите карантин согласно приложения 3 правил...
повторите логи...

[size="1"][color="#666686"][B][I]Добавлено через 4 минуты[/I][/B][/color][/size]

.... опередили чуть ... ну думаю стоит выполнить оба скрипта по очереди ... для надежности так сказать ...
19.10.2007, 17:35
ghostil

сейчас сделаю :-) Спасибо!
22.10.2007, 10:56
ghostil

Здравствуйте! Я сейчас закачал карантин. Сейчас выполню логи!:-)
22.10.2007, 11:25
ghostil

Не получилось у меня выполнить скрипты в обычном режиме. Поэтому выполнил указания для сбора информации в "Безопасном режиме". Вот выкладываю получившийся файл.
22.10.2007, 11:40
V_Bond

1 вы скрипты выполняли ?
2 нужно присылать HTM файлы ...
23.10.2007, 16:10
ghostil

выполнял, конечно, так я же и прислал HTM файл, разве нет?:-(

[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]

правда, выполнял я их в безопасном режиме, потому что а обычном он не грузился
23.10.2007, 16:23
V_Bond

1 скрипт из сообщения 7 ?
2 ві прислали XML файл....

[size="1"][color="#666686"][B][I]Добавлено через 3 минуты[/I][/B][/color][/size]

выполните скрипт ...
[code]
begin
SearchRootkit(false, true);
RegKeyParamDel('HKEY_LOCAL_MACHINE','SYSTEM\CurrentControlSet\Services\Ytua47','Start');
RebootWindows(true);
end.
[/code]
а затем скрипты из сообщений 6 и7 .... затем сделайте дополнительный лог ...
23.10.2007, 16:25
ghostil

я имею в виду, что скрипты не выполнял

[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]

да, я оба скрипта выполнил и пофиксил.
а вот за неправильный формат файла извините, пожалуйста, не уследил.
сейчас выполню скрипт.
23.10.2007, 17:28
ghostil

вот выполнил скрипты. Но логи в обычном режиме, всё равно, не выполняются - виснет компьютер. Так что провёл исследование системы. Посмотрите, пожалуйста, получившийся лог.
23.10.2007, 17:36
V_Bond

выполните скрипт...
[code]
begin
SetAVZGuardStatus(True);
SearchRootkit(true, true);
QuarantineFile('system32\DRIVERS\tcpip.sys','');
QuarantineFile('System32\DRIVERS\smtpdrv.sys','');
QuarantineFile('\SystemRoot\system32\drivers\wualcskw.dat','');
QuarantineFile('Hbeisrpntmo.sys','');
QuarantineFile('wualcskw.dat','');
DeleteFile('System32\DRIVERS\smtpdrv.sys');
BC_DeleteSvc('smtpdrv');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
пришлите карантин согласно приложения 3 правил...
23.10.2007, 17:51
ghostil

сейчас сделаю!:-)

[size="1"][color="#666686"][B][I]Добавлено через 12 минут[/I][/B][/color][/size]

лог выполнил, карантин закачал. Жду дальнейших указаний!:-)

[size="1"][color="#666686"][B][I]Добавлено через 38 секунд[/I][/B][/color][/size]

то есть скрипт выполнил, прошу прощения
23.10.2007, 18:01
Bratez

Забавно: вместо wualcskw.dat закарантинился wualcskw.sys - [b]Rootkit.Win32.Agent.lj[/b]
Выполните скрипт:
[code]
begin
BC_DeleteSvc('anruzcup');
BC_DeleteFile('C:\Windows\system32\drivers\wualcskw.dat');
BC_DeleteFile('C:\Windows\system32\drivers\wualcskw.sys');
BC_Activate;
RebootWindows(true);
end.[/code]
После этого попробуйте сделать стандартные логи + дополнительный.
23.10.2007, 18:20
ghostil

сейчас выполню. Попробую сделать!

[size="1"][color="#666686"][B][I]Добавлено через 17 минут[/I][/B][/color][/size]

нет, не хочет выполнять стандартный скрипты - "висит". Причём, мне кажется, что всё это из-за ошибки приложения winlogon.exe, которую постоянно выдаёт при загрузке Windows.
23.10.2007, 18:23
Bratez

Попробуйте дополнительный лог сделать в нормальном режиме.
23.10.2007, 18:30
ghostil

попробовал - тоже "висит" :-(
23.10.2007, 18:52
V_Bond

давайте дополнительный лог в SAFE MODE ....
24.10.2007, 10:43
ghostil

Вот выкладываю дополнительный лог!:)
24.10.2007, 12:14
PavelA

В защищенном выполнить:
[CODE]begin
BC_DeleteSvc('anruzcup');
BC_DeleteFile('C:\Windows\system32\drivers\wualcskw.dat');
BC_DeleteFile('C:\Windows\system32\drivers\wualcskw.sys');
BC_Activate;
RebootWindows(true);
end.[/CODE]
24.10.2007, 12:36
ghostil

скрипт выполнил, но в обычном режиме, всё равно, выполнение скриптов "виснет"
24.10.2007, 12:43
PavelA

Выполнить:
[CODE]begin
BC_DeleteFile('c:\system32\DRIVERS\Hbeisrpntmo.sys');
BC_DeleteSvc('Hbeisrpntmo');
BC_Activate;
RebootWindows(true);
end.[/CODE]
Еще разок доп. лог и скрипт из п.8 в защищенном.
24.10.2007, 12:48
ghostil

У меня, вроде, начали выполняться скрипты в обычном режиме. Может, тогда мне логи из обычного режима скинуть?
24.10.2007, 12:51
PavelA

Да, конечно, да-а-а!
24.10.2007, 12:52
ghostil

Вот получившиеся логи!
24.10.2007, 13:10
PavelA

Rootkit.Win32.Agent.ea,Backdoor.Win32.Haxdoor.kz

Какой антивирус на машине?
Выполнить:
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\drivers\symavc32.sys','');
QuarantineFile('C:\WINDOWS\system32\drivers\Vdv35.sys','');
QuarantineFile('C:\WINDOWS\system32\drivers\Vbeh23.sys','');
BC_DeleteFile('C:\WINDOWS\system32\drivers\Vbeh23.sys');
BC_DeleteFile('C:\WINDOWS\system32\drivers\Vdv35.sys');
BC_DeleteFile('C:\WINDOWS\system32\drivers\symavc32.sys');
BC_DeleteSvc('Vbeh23');
BC_DeleteSvc('Vdv35');
BC_DeleteSvc('symavc32');
BC_ImportAll;
BC_Activate;
RebootWindows(true);
end.[/CODE]

Загрузить карантин.

Сделать новые логи.
24.10.2007, 13:35
ghostil

Карантин закачал, сейчас делаю новые логи. А антивирус стоит - Dr. Web. :-)
24.10.2007, 13:44
PavelA

Не видно его (Доктора) в логах, вот и спросил.
24.10.2007, 13:47
ghostil

Вот новые логи!:)
24.10.2007, 13:48
ghostil

я посмотрел, оказывается, там только сканер стоит, на этой машине. А, как такового, антивируса, нет!
24.10.2007, 13:59
PavelA

Rootkit.Win32.Agent.ea (Trojan.NtRootKit.371 по Доктору) - вот это удалили.

[size="1"][color="#666686"][B][I]Добавлено через 9 минут[/I][/B][/color][/size]

Сначала установить AVZPM, перезагрузиться.
Сделать логи.

кстати, в Yahoo toolbar живет Adware.