Trojan.Proxy.1739 + горец sulimo.dat

Printable View

12.11.2007, 18:44
trg

Trojan.Proxy.1739 + горец sulimo.dat

к заголовку добавлю что:
а) заблокирован доступ к менджеру железа и администрированию компьютера - но появилось это не сразу
б) запись на sulimo.dat в реестре исчезла, но сам файл есть и востанавливается
в) ДрВэб 4.44 частично поубивал цветник.

с этой машины не могу вставить логи-вложения, прицеплю с другой машины следующим постом
12.11.2007, 18:56
trg

Вложений: 3

логи

г) отпали ЮСБ порты - ни принтера, ни флешки не видит
12.11.2007, 19:08
V_Bond

пофиксите ..
[code]
F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,C:\WINDOWS\system32\ntos.exe
O3 - Toolbar: (no name) - {E0E899AB-F487-11D5-8D29-0050BA6940E3} - (no file)
O4 - HKLM\..\Run: [IMJPMIG8.2] msime82.exe
O4 - HKCU\..\Run: [Firewall auto setup] C:\DOCUME~1\GRIGOR~1\LOCALS~1\Temp\winlogon.exe
O4 - HKCU\..\Run: [userinit] C:\WINDOWS\system32\ntos.exe
[/code]
выполните скрипт...
[code]
begin
SetAVZGuardStatus(True);
SearchRootkit(true, true);
QuarantineFile('C:\WINDOWS\system32\Mphmoh32.dll','');
QuarantineFile('msime82.exe','');
QuarantineFile('C:\WINDOWS\system32\ntos.exe','');
QuarantineFile('C:\DOCUME~1\GRIGOR~1\LOCALS~1\Temp\winlogon.exe','');
QuarantineFile('C:\WINDOWS\system32\lich.exe','');
DeleteFile('C:\WINDOWS\system32\lich.exe');
DeleteFile('C:\DOCUME~1\GRIGOR~1\LOCALS~1\Temp\winlogon.exe');
DeleteFile('C:\WINDOWS\system32\ntos.exe');
DeleteFile('msime82.exe');
BC_QrSvc('FCI');
BC_QrSvc('cmdService');
BC_QrSvc('Network Monitor');
BC_DeleteSvc('FCI');
BC_DeleteSvc('Network Monitor');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
пришлите карантин согласно приложения 3 правил...
13.11.2007, 10:46
PavelA

[QUOTE=trg;149932]г) отпали ЮСБ порты - ни принтера, ни флешки не видит[/QUOTE]
Это лечится переустановкой ЮСБ контроллера. Удалить устройство из "Диспетчера устройств".
13.11.2007, 17:27
trg

[quote=V_Bond;149935]пофиксите ..
[code]
F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,C:\WINDOWS\system32\ntos.exe
O3 - Toolbar: (no name) - {E0E899AB-F487-11D5-8D29-0050BA6940E3} - (no file)
O4 - HKLM\..\Run: [IMJPMIG8.2] msime82.exe
O4 - HKCU\..\Run: [Firewall auto setup] C:\DOCUME~1\GRIGOR~1\LOCALS~1\Temp\winlogon.exe
O4 - HKCU\..\Run: [userinit] C:\WINDOWS\system32\ntos.exe
[/code]
выполните скрипт...
[code]
begin
SetAVZGuardStatus(True);
SearchRootkit(true, true);
QuarantineFile('C:\WINDOWS\system32\Mphmoh32.dll','');
QuarantineFile('msime82.exe','');
QuarantineFile('C:\WINDOWS\system32\ntos.exe','');
QuarantineFile('C:\DOCUME~1\GRIGOR~1\LOCALS~1\Temp\winlogon.exe','');
QuarantineFile('C:\WINDOWS\system32\lich.exe','');
DeleteFile('C:\WINDOWS\system32\lich.exe');
DeleteFile('C:\DOCUME~1\GRIGOR~1\LOCALS~1\Temp\winlogon.exe');
DeleteFile('C:\WINDOWS\system32\ntos.exe');
DeleteFile('msime82.exe');
BC_QrSvc('FCI');
BC_QrSvc('cmdService');
BC_QrSvc('Network Monitor');
BC_DeleteSvc('FCI');
BC_DeleteSvc('Network Monitor');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
пришлите карантин согласно приложения 3 правил...[/quote]

карантин высылаю, но... в карантине из списка запрошенных файлов было каждого по два штуки, а лич.ехе - три. пути одинаковы.
13.11.2007, 17:32
Bratez

lich.exe - [b]Trojan-PSW.Win32.LdPinch.eaw[/b]
больше ничего в карантине нет. Где же остальные?
13.11.2007, 17:32
rubin

PS: После окончания лечения придется сменить все пароли
13.11.2007, 17:32
V_Bond

повторите логи....
попробуйте поискать Mphmoh32.dll -если найдется пришлите поправилам...
13.11.2007, 18:07
trg

[quote=Bratez;150272]lich.exe - [B]Trojan-PSW.Win32.LdPinch.eaw[/B]
больше ничего в карантине нет. Где же остальные?[/quote]

как говорил - было по две копии каждого из списка в скрипте. всех отмечал первую, а лича - третью копию. щас присоеденил опять - отметил вторые копии
13.11.2007, 18:11
rubin

Аналогично... когда добавляете файлы в карантин антивирус отключаете?
14.11.2007, 10:43
trg

[quote=rubin;150287]Аналогично... когда добавляете файлы в карантин антивирус отключаете?[/quote]

нет. надо?
14.11.2007, 10:45
V_Bond

обязательно ...
14.11.2007, 11:18
trg

[quote=V_Bond;150387]обязательно ...[/quote]

совсем глупый вопрос, точнее два:

1. я не знаю как отключить ДрВеб окромя как грохнуть процесс, в Каспера есть кнопка отключения, а в Вэбе не видел нигде таковой

2. в карантине там много всего было - может всё и прислать или только то что запрошено?
14.11.2007, 12:07
AndreyKa

1. "Грохать" процессы DrWeb бесполезно. Spider работает в режиме драйвера.
Нужно поставить его на паузу щелкнув на нем правой кнопкой мыши.
2. Если много всего, то не надо. Нужны только те файлы, которые упомянуты в строках скрипта со словом QuarantineFile.
+ C:\WINDOWS\system32\svchost.exe:ext.exe
C:\WINDOWS\c2Fz\command.exe
C:\Program Files\Network Monitor\netmon.exe
14.11.2007, 18:59
trg

[quote=AndreyKa;150411]1. "Грохать" процессы DrWeb бесполезно. Spider работает в режиме драйвера.
Нужно поставить его на паузу щелкнув на нем правой кнопкой мыши.
2. Если много всего, то не надо. Нужны только те файлы, которые упомянуты в строках скрипта со словом QuarantineFile.
+ C:\WINDOWS\system32\svchost.exe:ext.exe
C:\WINDOWS\c2Fz\command.exe
C:\Program Files\Network Monitor\netmon.exe[/quote]

попробовал с отключённым спайдермонитором - результат тот же - в карантине файлы нулевого размерами. поискал руками по путям - не нашёл указанных файлов.
файлика sulimo.dat тоже кстати не нашёл....
14.11.2007, 19:14
V_Bond

сделайте новые логи ...
15.11.2007, 17:27
trg

Вложений: 3

[quote=V_Bond;150539]сделайте новые логи ...[/quote]

высылаю новые логи.

хочу ещё указать, сейчас sulimo.dat в system32 нету, но авоматическое восстановление отключено, и я смутно догадываюсь - если включить - горец снова появится.
15.11.2007, 17:29
rubin

Нет, при отключении восстановления все файлы контрольных точек стираются, и уже восстанавливаться зловреду неоткуда :)
15.11.2007, 17:35
V_Bond

выполните скрипт...
[code]
begin
ClearQuarantine;
SetAVZGuardStatus(True);
SearchRootkit(true, true);
QuarantineFile('C:\WINDOWS\system32\Mphmoh32.dll','');
QuarantineFile('C:\WINDOWS\c2Fz\command.exe','');
BC_QrSvc('cmdService');
BC_DeleteSvc('lich');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
пишлите карантин согласно приложения 3 правил ...
16.11.2007, 16:48
trg

[quote=V_Bond;150762]выполните скрипт...
[code]
begin
ClearQuarantine;
SetAVZGuardStatus(True);
SearchRootkit(true, true);
QuarantineFile('C:\WINDOWS\system32\Mphmoh32.dll','');
QuarantineFile('C:\WINDOWS\c2Fz\command.exe','');
BC_QrSvc('cmdService');
BC_DeleteSvc('lich');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
пишлите карантин согласно приложения 3 правил ...[/quote]

карантин пуст.... руками указанные файлы не нашол. в папке C:\WINDOWS\c2Fz\ есть только файл wziv.vbs на 472 байта, внутри какойто скриптик с текстом. ДрВеб тоже ни на что не возбуждается.

возможно они вылазят в роцессе работы... я попробую ещё раз сделать карантин - попозже.
22.02.2009, 02:50
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]13[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\windows\\system32\\lich.exe - [B]Trojan-PSW.Win32.LdPinch.eaw[/B] (DrWEB: Trojan.PWS.LDPinch.2468)[/LIST][/LIST]