Процесс services занимается рассылкой писем (спам?)

Printable View

04.01.2008, 10:28
Serp

Вложений: 3

Процесс services занимается рассылкой писем (спам?)

сабж, собственно... с помощью Оутпоста заблокировал процесс, выполнил 14 пунктов правил, (узнал много интересного :unsure:) теперь он (services) лезет по адресу 208.72.169.55, хочет чего-то скачать. До вполнения правил - лез по нескольким адресам (5 штук, не помню какие).

Еще периодически пытается что-то скачать Generic Host Process for Win32 Services. Разрешив ему однократно это сделать, получил сообщение от Symantec, что обнаружен вирус.

Заранее спасибо.

З.Ы. сорри за опечатку в теме - следует читать "рассылкой писем"
04.01.2008, 10:40
Макcим

[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните[/URL] скрипт в AVZ[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
QuarantineFile('C:\WINDOWS\system32\SRTops32.exe','');
QuarantineFile('C:\WINDOWS\pagepromoterbar.dll','');
QuarantineFile('C:\WINDOWS\System32\ntos.exe','');
QuarantineFile('C:\DOCUME~1\Andrey\LOCALS~1\Temp\krdpdre.sys','');
QuarantineFile('C:\WINDOWS\System32\xpdx.sys','');
QuarantineFile('C:\WINDOWS\System32\config32\_0001\wizard.dll','');
QuarantineFile('c:\windows\system32\svchost.exe','');
DeleteFile('C:\WINDOWS\System32\config32\_0001\wizard.dll');
DeleteFile('C:\WINDOWS\System32\xpdx.sys');
DeleteFile('C:\WINDOWS\System32\ntos.exe');
BC_ImportALL;
BC_Activate;
ExecuteSysClean;
RebootWindows(true);
end.[/CODE]Загрузите карантин по [URL="http://virusinfo.info/upload_virus.php?tid=15945"]этой[/URL] ссылке. Повторите логи.
04.01.2008, 10:44
V_Bond

пофиксите ....
[code]
O2 - BHO: (no name) - {38DFDADF-BA43-4C43-7890-ACAF12375911} - C:\WINDOWS\System32\config32\_0001\wizard.dll
O3 - Toolbar: (no name) - {BA52B914-B692-46c4-B683-905236F6F655} - (no file)
O20 - AppInit_DLLs: C:\WINDOWS\System32\mmsshzwhz.dll
[/code]
выполните скрипт..
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\SRTops32.exe','');
QuarantineFile('C:\WINDOWS\System32\mmsshzwhz.dll','');
QuarantineFile('C:\WINDOWS\System32\ntos.exe','');
QuarantineFile('C:\DOCUME~1\Andrey\LOCALS~1\Temp\krdpdre.sys','');
QuarantineFile('C:\WINDOWS\System32\xpdx.sys','');
QuarantineFile('C:\WINDOWS\System32\svchost.exe','');
QuarantineFile('C:\WINDOWS\System32\config32\_0001\wizard.dll','');
DeleteFile('C:\WINDOWS\System32\config32\_0001\wizard.dll');
DeleteFile('C:\WINDOWS\System32\xpdx.sys');
DeleteFile('C:\WINDOWS\System32\ntos.exe');
DeleteFile('C:\WINDOWS\System32\mmsshzwhz.dll');
DeleteFile('C:\WINDOWS\system32\SRTops32.exe');
DelBHO('38DFDADF-BA43-4C43-7890-ACAF12375911');
BC_DeleteSvc('xpdx');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
пришлите карантин согласно приложения 3 правил
ваша главная проблема ...
[code]
Версия Windows: 5.1.2600, Service Pack 1 ;
[/code]
срочно нужно обновляться ...
04.01.2008, 12:33
Serp

Вложений: 3

Выполнил скрипт из 2 поста, сейчас на том компьютере не работает сеть - не разобрался еще почему, пишу с другого компа. Новые логи (делал по правилам 8-14 пункты) в аттаче.
карантин сейчас тоже скину

После выполнения скрипта перестал работать AVZ, скачивал заново.
Было сообщение, что программа использует zip-папки и необходимо распаковать их. при запуске все надписи в меню и на кнопках имели вид "?ххх?", где ххх - разные символы...

скрипт из 3 поста не выполнял и не фиксил, т.к. выполнил инструкцию из 2 поста - мало ли...

Обновлять систему буду в ближайшее время, сначала вылечиться надо...
04.01.2008, 12:41
Serp

Сорри, карантин не тот сначала прислал, исправился сейчас.
04.01.2008, 13:35
akok

C:\WINDOWS\System32\config32\_0001\wizard.dll - [B]Trojan-Downloader.Win32.Smal[/B]

c:\windows\system32\svchost.exe - [B]Trojan.Win32.Patched.bh[/B]

Остальное подождем ответ из ЛК

[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]

касперский благополучно вылечил :)

[size="1"][color="#666686"][B][I]Добавлено через 15 минут[/I][/B][/color][/size]

1.[url=http://virusinfo.info/showthread.php?t=7239]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".[/url]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
QuarantineFile('C:\WINDOWS\system32\SRTops32.exe','');
QuarantineFile('C:\WINDOWS\pagepromoterbar.dll','');
QuarantineFile('C:\WINDOWS\System32\config32\_0001\wizard.dll','');
QuarantineFile('C:\WINDOWS\System32\mmsshzwhz.dll','');
QuarantineFile('C:\WINDOWS\System32\xpdx.sys','');
QuarantineFile('C:\DOCUME~1\Andrey\LOCALS~1\Temp\krdpdre.sys','');
DeleteFile('C:\WINDOWS\System32\xpdx.sys');
DeleteFile('C:\WINDOWS\System32\mmsshzwhz.dll');
DeleteFile('C:\WINDOWS\System32\config32\_0001\wizard.dll');
DeleteFile('C:\WINDOWS\system32\SRTops32.exe');
DeleteFile('C:\DOCUME~1\Andrey\LOCALS~1\Temp\krdpdre.sys');
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
DelBHO('{38DFDADF-BA43-4C43-7890-ACAF12375911}');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]
Прислать карантин согласно [b]приложения 3 [url=http://virusinfo.info/showthread.php?t=1235]правил [/url][/b].
Загружать по ссылке: [url]http://virusinfo.info/upload_virus.php?tid=[/url]
04.01.2008, 13:44
Макcим

[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните[/URL] скрипт в AVZ[CODE]begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(true);
QuarantineFile('C:\WINDOWS\System32\mmsshzwhz.dll','');
DeleteFile('C:\WINDOWS\system32\SRTops32.exe');
DeleteFile('C:\WINDOWS\System32\mmsshzwhz.dll');
BC_QrFile('C:\WINDOWS\System32\xpdx.sys');
BC_DeleteFile('C:\WINDOWS\System32\xpdx.sys');
BC_QrSvc('xpdx');
BC_DeleteSvc('xpdx');
BC_Activate;
ExecuteSysClean;
RebootWindows(true);
end.[/CODE]
[URL="http://www.virusinfo.info/showthread.php?t=4491"]"Пофиксите"[/URL] в HijackThis [CODE]O2 - BHO: (no name) - {38DFDADF-BA43-4C43-7890-ACAF12375911} - C:\WINDOWS\System32\config32\_0001\wizard.dll (file missing)
O3 - Toolbar: (no name) - {BA52B914-B692-46c4-B683-905236F6F655} - (no file)
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O20 - AppInit_DLLs: C:\WINDOWS\System32\mmsshzwhz.dll[/CODE]
Загрузите карантин по [URL="http://virusinfo.info/upload_virus.php?tid=15945"]этой[/URL] ссылке. Повторите логи.

Выполните мой скрипт - он не дублирует карантин присланных файлов.
04.01.2008, 13:45
akok

Да скачайте и пройдитесь по системе [URL="http://devbuilds.kaspersky-labs.com/devbuilds/AVPTool/"]AVPtool[/URL] он должен вылечить [B]Trojan.Win32.Patched.bh[/B] его еще знают немногие или заменить с дистрибютива windows (найти Svchost.ex_ и заменить _ на [B]e[/B])
04.01.2008, 13:59
Serp

2 akoK:
выполнил скрипт из поста 6. При перезагрузке случился синий экран.
карантин послал "Файл сохранён как 080104_045445_virus_477e1075e110e.zip"
04.01.2008, 14:09
akok

pagepromoterbar.dll - [B]not-a-virus:AdWare.Win32.Delf.aj[/B]

SRTops32.exe_ - [B]Backdoor.Win32.Agent.dpq[/B]

Выполнить скрипт
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
DeleteFile('C:\WINDOWS\pagepromoterbar.dll');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]
Выполните рекомендации MAXIM и повторите логи avz
04.01.2008, 14:16
Serp

2 MAXIM:
скрипт выполнил, карантин: "Файл сохранён как 080104_051230_virus4_477e149ec736d.zip" Почему-то нулевого размера файлы, в конце скрипта выдал какую-то ошибку, я не разглядел, он перегрузился сразу...
Если не принципиально, то не пишите ребут в скрипте, я вручную перегружусь.

2 akoK:
пошел выполнять скрипт и делать логи...
04.01.2008, 14:16
Макcим

[QUOTE=akoK;166998]Выполните рекомендации MAXIM и повторите логи avz[/QUOTE]Выполнять мой скрипт после твоего не имеет смысла. Только xpdx.sys добить надо.
04.01.2008, 14:19
Serp

2 akoK:
А зачем DeleteFile('C:\WINDOWS\pagepromoterbar.dll'); я пользуюсь этим баром... Или он шпионит?
04.01.2008, 14:24
akok

[QUOTE=Maxim;167001]Выполнять мой скрипт после твоего не имеет смысла. Только xpdx.sys добить надо.[/QUOTE]

Согласен xpdx.sys скорее всего и вызвал BSOD и неизвестно, что ушло а что осталось:) Еще одна проблема патченный [B]svchost.exe[/B]

[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]

pagepromoterbar.dll - not-a-virus:AdWare.Win32.Delf.aj будет добавленно в следующее обновление
04.01.2008, 14:31
Serp

[quote=akoK;167003]Согласен xpdx.sys скорее всего и вызвал BSOD и неизвестно, что ушло а что осталось:) Еще одна проблема патченный [B]svchost.exe[/B]

[SIZE=1][COLOR=#666686][B][I]Добавлено через 1 минуту[/I][/B][/COLOR][/SIZE]

pagepromoterbar.dll - not-a-virus:AdWare.Win32.Delf.aj будет добавленно в следующее обновление[/quote]

так я не понял - pagepromoterbar.dll удалять или нет? Я пользуюсь им, и если он не вредит мне - я бы его оставил
04.01.2008, 14:40
Макcим

[QUOTE=Serp;167005]так я не понял - pagepromoterbar.dll удалять или нет? Я пользуюсь им, и если он не вредит мне - я бы его оставил[/QUOTE]Прочитайте про [URL="http://ru.wikipedia.org/wiki/Adware"]Adware[/URL] и решите вредит он Вам или нет.
04.01.2008, 14:40
Макcим

Сделайте ещё раз логи посмотрим, что осталось.
04.01.2008, 15:17
Serp

Вложений: 3

Сделал логи, правда опять не удается в инет выйти...
04.01.2008, 15:20
Макcим

Установочный диск Windows есть?

[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните[/URL] скрипт в AVZ для восстановления работоспособности интернета[CODE]begin
ExecuteRepair(14);
RebootWindows(false);
end.[/CODE][COLOR="Red"][B]Внимание! После выполнения скрипта может пропасть связь с интернет. Чтобы её восстановить, скачайте заранее утилиту[/B][/COLOR] [URL="http://www.tacktech.com/pub/winsockfix/WinsockFix.zip"]WinSockFix[/URL]. Утилита WinSockFix сбрасывает настройки сети. Крайне желательно их записать/запомнить.
04.01.2008, 20:01
Serp

Установочный диск безвозвратно канул в лету :(
Нашел установочный диск с SP2. Поставил. пока svchost.exe не вызывает подозрений у AVPtool (до переустановки не лечился).

Вроде пока с этим компом вопросов нет.
Огромное спасибо!
04.01.2008, 20:03
Макcим

Вы переустановили систему или поставили сверху SP2?
04.01.2008, 21:20
Serp

[quote=Maxim;167160]Вы переустановили систему или поставили сверху SP2?[/quote]
Поставил дистрибутив с SP2 в режиме обновления. То есть сверху, если не ошибаюсь..
04.01.2008, 21:25
Макcим

Тогда всё нормально.
22.02.2009, 03:17
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]5[/B][*]Обработано файлов: [B]26[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\windows\\pagepromoterbar.dll - [B]not-a-virus:AdWare.Win32.Delf.aj[/B][*] c:\\windows\\system32\\config32\\_0001\\wizard.dll - [B]Trojan-Downloader.Win32.Small.hhl[/B] (DrWEB: Trojan.DownLoader.49430)[*] c:\\windows\\system32\\srtops32.exe - [B]Backdoor.Win32.Agent.dpq[/B][*] c:\\windows\\system32\\svchost.exe - [B]Trojan.Win32.Patched.bh[/B] (DrWEB: Trojan.DownLoader.63018)[/LIST][/LIST]