Помогите убить runtime2.sys (Trojan.Win32.Agent.jp)

Printable View

17.11.2007, 19:14
year2005

Вложений: 3

Помогите убить runtime2.sys (Trojan.Win32.Agent.jp)

И еще понять на что ругается Касперский в c:\windows\system32\svchost.exe - там какой-то Hidden Object

Кстати, кто бы объяснил, зачем нужны все эти логи? неужели для известного трояна нет станддартного алгоритма ликвидации, который работал бы на любой машине?
17.11.2007, 19:33
V_Bond

выполните скрипт....
[code]
begin
BC_QrFile('C:\WINDOWS\Temp\startdrv.exe');
BC_QrFile('C:\WINDOWS\SYSTEM32\DRIVERS\RUNTIME2.SYS');
BC_QrFile('C:\WINDOWS\system32\drivers\ip6fw.sys');
BC_DeleteFile('C:\WINDOWS\Temp\startdrv.exe');
BC_DeleteFile('C:\WINDOWS\SYSTEM32\DRIVERS\RUNTIME2.SYS');
BC_DeleteFile('C:\WINDOWS\system32\drivers\ip6fw.sys');
BC_DeleteSvc('runtime');
BC_DeleteSvc('runtime2');
BC_DeleteSvc('Ip6Fw');
BC_DeleteSvc('msupdate');
BC_Activate;
RebootWindows(true);
end.
[/code]
после перезагрузки еще один
[code]
begin
SetAVZGuardStatus(True);
SearchRootkit(true, true);
QuarantineFile('C:\WINDOWS\system32\comrep.dll','');
QuarantineFile('C:\DOCUME~1\serge\LOCALS~1\Temp\winlogon.exe','');
QuarantineFile('C:\WINDOWS\system32\actcontroller.exe','');
QuarantineFile('C:\WINDOWS\win_kernel.exe','');
QuarantineFile('C:\WINDOWS\system32\drivers\ewmjolnb.dat','');
QuarantineFile('ewmjolnb.dat','');
QuarantineFile('tablet s','');
DeleteFile('C:\WINDOWS\Temp\startdrv.exe');
DeleteFile('C:\WINDOWS\system32\actcontroller.exe');
DeleteFile('C:\DOCUME~1\serge\LOCALS~1\Temp\winlogon.exe');
DeleteFile('C:\WINDOWS\system32\comrep.dll');
BC_QrSvc('ewmjolnb');
BC_Importall;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
пришлите карантин согласно приложения 3 правил...
повторите логи ...
17.11.2007, 20:58
year2005

Вложений: 3

Логи повторного сканирования

Карантин с полчаса как выслал
17.11.2007, 22:05
V_Bond

C:\Documents and Settings\serge\Local Settings\Temporary Internet Files\Content.IE5\7WE3BH5I\203[1].exe -TR/Crypt.XPACK.Gen - Trojan
C:\Documents and Settings\serge\Local Settings\Temporary Internet Files\Content.IE5\JP9R00GZ\msntsrv[1].exe Worm/Ntech.R
C:\Program Files\T-FLEX\T-FLEX CAD ST 10\Библиотеки\Служебные\Форматки\Форматка.exe -чистый
C:\Program Files\Windows Embedded\Installer\DISK1\SAMPLES\TUTORIAL\HELLOWORLD.EXE -чистый
C:\Program Files\TortoiseSVN\bin\tortoisesvn.dll -чистый
C:\Program Files\TortoiseSVN\bin\libapr.dll -чистый
C:\Program Files\TortoiseSVN\bin\libaprutil.dll -чистый
C:\Program Files\TortoiseSVN\bin\libdb42.dll-чистый
C:\Program Files\TortoiseSVN\bin\libapriconv.dll-чистый
C:\Program Files\TortoiseSVN\bin\intl.dll-чистый
C:\Program Files\TortoiseSVN\iconv\_tbl_simple.so-чистый
C:\Program Files\TortoiseSVN\iconv\windows-1251.so-чистый
C:\Program Files\TortoiseSVN\iconv\utf-8.so-чистый
C:\Program Files\Battery miser\McIdle.dll-чистый
C:\Program Files\On Screen Display\MgHookDll.dll-чистый

очистите временные интернет файлы ...
отключите антивирус ...
выполните скрипт....

[code]
begin
ClearQuarantine;
SetAVZGuardStatus(True);
SearchRootkit(true, true);
QuarantineFile('C:\WINDOWS\win_kernel.exe','');
QuarantineFile('C:\WINDOWS\system32\drivers\ewmjolnb.dat','');
QuarantineFile('ewmjolnb.dat','');
QuarantineFile('tablet s','');
DeleteFile('C:\WINDOWS\system32\comrep.dll');
DelCLSID('6AC0B31E-3C43-4BB7-9010-6001534EB9B1');
BC_QrSvc('ewmjolnb');
BC_Importall;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
пришлите карантин согласно приложения 3 правил...
17.11.2007, 23:04
year2005

Отослал. Логи еще раз собирать?
17.11.2007, 23:09
V_Bond

выполните скрипт...
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
DeleteFile('C:\WINDOWS\system32\drivers\ewmjolnb.dat');
BC_ImportDeletedList;
BC_DeleteSvc('ewmjolnb');
ExecuteSysClean;
RebootWindows(true);
end.
[/code]
повторите логи....
18.11.2007, 00:24
year2005

Вложений: 3

Логи

Я в последнем far забыл закрыть. Это действительно критично - все закрывать? Надо переделывать? Это еще на полчаса
18.11.2007, 00:32
V_Bond

сделайте лог [url]http://virusinfo.info/showthread.php?t=10387[/url]
18.11.2007, 00:54
year2005

Вложений: 1

Готовр

а что, в логах есть что-то подозрительное?
18.11.2007, 01:20
V_Bond

выполните скрипт....
[code]
begin
SetAVZGuardStatus(True);
SearchRootkit(true, true);
QuarantineFile('\SystemRoot\System32\drivers\protect.sys','');
QuarantineFile('\??\C:\DOCUME~1\SERGE\LOCALS~1\TEMP\FTMP000K.1E0\PORTMSYS.SYS','');
QuarantineFile('\??\C:\Program Files\coLinux\linux.sys','');
DeleteFile('\SystemRoot\System32\drivers\protect.sys');
DeleteFile('C:\WINDOWS\system32\comrep.dll');
DelCLSID('6AC0B31E-3C43-4BB7-9010-6001534EB9B1');
BC_DeleteSvc('protect');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
пришлите карантин согласно приложения 3 правил...
повторите логи...
18.11.2007, 03:05
year2005

Вложений: 3

снова логи

в прошлый раз я, похоже, вместо карантина прислал infected
18.11.2007, 10:49
V_Bond

пофиксите...
[code]
O2 - BHO: (no name) - {7D593456-CE40-4F17-921B-8717A3BBB60E} - (no file)
[/code]
поищите win_kernel.exe припомощи AVZ-сервис-поск файлов на диске.... если найдется пришлите по правилам...
18.11.2007, 12:24
year2005

Обнаружил у себя любопытный файл - system32\w32drv3.exe - ничем не ловится, даже как подозрительный, но по дате создания и поведению похож на троян. Oтправляю. А win_kernel не найден.
18.11.2007, 12:35
V_Bond

C:\temp\q\system32\w32drv3.exe [B]Trojan-Dropper.Win32.Microjoin.fx[/B]
выполните скрипт...
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
DeleteFile('C:\temp\q\system32\w32drv3.exe');
BC_ImportDeletedList;
BC_Activate;
ExecuteSysClean;
RebootWindows(true);
end.
[/code]
сделайте лог hijackthis.log ...
18.11.2007, 12:49
year2005

Вложений: 1

готово
18.11.2007, 12:58
V_Bond

пофиксите ...
[code]
O4 - HKLM\..\Run: [C:\WINDOWS\win_kernel.exe] C:\WINDOWS\win_kernel.exe
[/code]
сделайте лог hijackthis.log ...
18.11.2007, 13:09
year2005

Вложений: 1

вот он
18.11.2007, 16:58
V_Bond

больше не вижу ничего зловредного ...какие-то проблемы остались ?
18.11.2007, 17:08
year2005

Подозрительной активности вроде не видно, спасибо огромное. У меня ноут без дисков, и дистрибутива xp tablet нету, переставлять систему я бы удавился.

Пока лечили, комп перестал в спящий режим переходить. С чем это может быть связано, не знаете? Пишет "идет подготовка к переходу в спящий режим" и так и остается на ней. Бегунок уже не появляется. Но это уже не вирус, сам в конце концов разберусь
18.11.2007, 17:12
V_Bond

[URL="http://forum.oszone.net/showthread.php?page=all&t=40762"]тут[/URL] по этой теме есть ссылки ...
22.02.2009, 02:51
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]4[/B][*]Обработано файлов: [B]52[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\documents and settings\\serge\\local settings\\temporary internet files\\content.ie5\\jp9r00gz\\msntsrv[1].exe - [B]Trojan.Win32.Pakes.bpn[/B] (DrWEB: BackDoor.Bulknet)[*] c:\\documents and settings\\serge\\local settings\\temporary internet files\\content.ie5\\7we3bh5i\\203[1].exe - [B]Trojan-Dropper.Win32.Agent.cqt[/B] (DrWEB: Trojan.Spambot.2496)[*] c:\\temp\\q\\system32\\w32drv3.exe - [B]Trojan-Dropper.Win32.Microjoin.fx[/B] (DrWEB: Trojan.Packed.194)[/LIST][/LIST]