не избавиться от smtpdrv.sys и amvo0.dll

Printable View

07.01.2008, 18:18
EvgenIg

не избавиться от smtpdrv.sys и amvo0.dll

1. не показвывеются скрытые папки и файлы
2. если не удалить smtpdrv.sys через некоторое время обрывается интернет
3. на дисках присутсвуют подозрительные файлы
NTDETECT.COM
semo2x.exe
u.bat
утилита AVZ не сохраняет архив [B][I]virusinfo_syscure.zip [/I][/B]в папке LOG после выполнения указанного в правилах скрипта, поэтому прикрепил 2 лога
07.01.2008, 18:24
Макcим

[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните[/URL] скрипт в AVZ[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
QuarantineFile('C:\WINDOWS\system32\ntos.exe','');
QuarantineFile('C:\WINDOWS\system32\amvo.exe','');
QuarantineFile('C:\WINDOWS\system32\wincab.sys','');
QuarantineFile('C:\WINDOWS\system32\amvo0.dll','');
DeleteFile('C:\WINDOWS\system32\amvo0.dll');
DeleteFile('C:\WINDOWS\system32\wincab.sys');
DeleteFile('C:\WINDOWS\system32\amvo.exe');
DeleteFile('C:\WINDOWS\system32\ntos.exe');
DeleteFile('C:\autorun.inf');
DeleteFile('D:\autorun.inf');
BC_ImportALL;
BC_Activate;
ExecuteSysClean;
ExecuteRepair(6);
ExecuteRepair(8);
RebootWindows(true);
end.[/CODE]Загрузите карантин по [URL="http://virusinfo.info/upload_virus.php?tid=16073"]этой[/URL] ссылке. Повторите логи.
07.01.2008, 18:28
Bratez

Пофиксите в HijackThis:
[code]
F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,C:\WINDOWS\system32\ntos.exe,
O2 - BHO: (no name) - {6A87B991-A31F-4130-AE72-6D0C294BF082} - (no file)
O3 - Toolbar: (no name) - {E67C74F4-A00A-4F2C-9FEC-FD9DC004A67F} - (no file)
[/code]
Выполните скрипт в AVZ:
[code]
begin
SearchRootkit(false, true);
StopService('Rxe27');
StopService('Vgv38');
RegKeyParamDel('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Services\Rxe27', 'Start');
RegKeyParamDel('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Services\Vgv38', 'Start');
RebootWindows(true);
end.[/code]
После перезагрузки еще один:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('D:\autorun.inf','');
QuarantineFile('C:\autorun.inf','');
QuarantineFile('C:\WINDOWS\system32\ntos.exe','');
QuarantineFile('C:\WINDOWS\system32\amvo.exe','');
QuarantineFile('C:\WINDOWS\system32\DRIVERS\siusbmod.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Rxe27.sys','');
QuarantineFile('C:\WINDOWS\system32\wincab.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Vgv38.sys','');
QuarantineFile('C:\WINDOWS\System32\DRIVERS\smtpdrv.sys','');
QuarantineFile('C:\WINDOWS\Rxe27.sys','');
QuarantineFile('C:\WINDOWS\system32\amvo0.dll','');
DeleteFile('C:\WINDOWS\system32\amvo0.dll');
DeleteFile('C:\WINDOWS\Rxe27.sys');
DeleteFile('C:\WINDOWS\System32\DRIVERS\smtpdrv.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Vgv38.sys');
DeleteFile('C:\WINDOWS\system32\wincab.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Rxe27.sys');
DeleteFile('C:\WINDOWS\system32\amvo.exe');
DeleteFile('C:\WINDOWS\system32\ntos.exe');
DeleteFile('C:\autorun.inf');
DeleteFile('D:\autorun.inf');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]
Компьютер перезагрузится.
Пришлите карантин согласно приложению 3 правил.
Сделайте новые логи.
07.01.2008, 19:16
EvgenIg

карантин загрузил
новые логи
07.01.2008, 20:46
EvgenIg

в безопасном режиме удалось сделать лог
07.01.2008, 20:59
Макcим

[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните[/URL] скрипт в AVZ[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
StopService('Rxe27');
StopService('Vgv38');
QuarantineFile('C:\WINDOWS\system32\ntos.exe','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Vgv38.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Rxe27.sys','');
QuarantineFile('C:\WINDOWS\Rxe27.sys','');
DeleteFile('C:\WINDOWS\Rxe27.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Vgv38.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Rxe27.sys');
DeleteFile('C:\WINDOWS\system32\ntos.exe');
BC_ImportALL;
BC_Activate;
ExecuteSysClean;
RebootWindows(true);
end.[/CODE]
[URL="http://www.virusinfo.info/showthread.php?t=4491"]"Пофиксите"[/URL] в HijackThis [CODE]F2 - REG:system.ini: UserInit=C:\WINDOWS\SYSTEM32\Userinit.exe,C:\WINDOWS\system32\ntos.exe,
O4 - HKCU\..\Run: [amva] C:\WINDOWS\system32\amvo.exe[/CODE]
Загрузите карантин согласно приложению №3 правил. Повторите логи.
07.01.2008, 21:40
EvgenIg

карантин загрузил
логи
07.01.2008, 21:48
EvgenIg

еще есть проблема с Cookies, при новом входе в винду или перезагрузке приходится каждый раз заново вводить пароли на сайты где зареген, хотя раньше такова небыло и все автоматом вводилось
В чем может быть причина?
п.с. как вернуть обратно чтоб скрытые файлы и папки отображались?
07.01.2008, 21:51
Макcим

Вы выполняете скрипты и фиксы которые я даю? По логам не скажешь...
07.01.2008, 21:53
V_Bond

[URL="http://www.wasm.ru/baixado.php?mode=tool&id=392"]скачать[/URL] ...
- отключить антивирус и фаервол
- оключиться от интернета
tools - wipe/copy file - browse и находим файл C:\WINDOWS\Rxe27.sys (тоже самое и для Vgv38.sys) ... - direct file content wiping - do opperation - закрыть программу.. - перезагрузится ...
затем выполните скрипт ....
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\System32\Drivers\Rxe27.sys','');
QuarantineFile('C:\WINDOWS\system32\amvo.exe','');
QuarantineFile('C:\WINDOWS\system32\ntos.exe','');
DeleteFile('C:\WINDOWS\system32\ntos.exe');
DeleteFile('C:\WINDOWS\system32\amvo.exe');
DeleteFile('C:\WINDOWS\System32\Drivers\Rxe27.sys');
DeleteFile('C:\WINDOWS\Rxe27.sys');
BC_DeleteSvc('Rxe27');
BC_DeleteSvc('Vgv38');
BC_DeleteSvc('smtpdrv');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
пришлите карантин согласно приложения 3 правил ....
повторите логи ...
07.01.2008, 22:16
Макcим

[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните[/URL] также скрипт для отображения скрытых файлов и папок[CODE]begin
ExecuteRepair(6);
ExecuteRepair(8);
RebootWindows(true);
end.[/CODE]
07.01.2008, 23:49
EvgenIg

to V_Bond не нашел Vgv38.sys
карантин случайно удалил
07.01.2008, 23:58
V_Bond

делаем все сначала но теперь в safe mode ... и удаляем при помощи рку еще и...
C:\WINDOWS\System32\Drivers\Rxe27.sys
C:\WINDOWS\system32\DRIVERS\smtpdrv.sys
08.01.2008, 00:03
EvgenIg

вот это по новой ?
[quote=V_Bond;168540][URL="http://www.wasm.ru/baixado.php?mode=tool&id=392"]скачать[/URL] ...
- отключить антивирус и фаервол
- оключиться от интернета
tools - wipe/copy file - browse и находим файл C:\WINDOWS\Rxe27.sys (тоже самое и для Vgv38.sys) ... - direct file content wiping - do opperation - закрыть программу.. - перезагрузится ...
затем выполните скрипт ....
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\System32\Drivers\Rxe27.sys','');
QuarantineFile('C:\WINDOWS\system32\amvo.exe','');
QuarantineFile('C:\WINDOWS\system32\ntos.exe','');
DeleteFile('C:\WINDOWS\system32\ntos.exe');
DeleteFile('C:\WINDOWS\system32\amvo.exe');
DeleteFile('C:\WINDOWS\System32\Drivers\Rxe27.sys');
DeleteFile('C:\WINDOWS\Rxe27.sys');
BC_DeleteSvc('Rxe27');
BC_DeleteSvc('Vgv38');
BC_DeleteSvc('smtpdrv');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
пришлите карантин согласно приложения 3 правил ....
повторите логи ...[/quote]
08.01.2008, 00:03
V_Bond

да ....
08.01.2008, 00:27
EvgenIg

C:\WINDOWS\System32\Drivers\Rxe27.sys - не дал удалить

C:\WINDOWS\system32\DRIVERS\smtpdrv.sys - удалил

карантин закачал
08.01.2008, 01:11
XL

А что RKU изрекает при попытке удаления C:\WINDOWS\System32\Drivers\Rxe27.sys
?
08.01.2008, 13:19
EvgenIg

сори не правильно прочитал сообщение от V_Bond и удалял эти файлы в ручную

а RKU в безопасном режиме не хочет запускаться и выдает "Error loading/opening driver"
08.01.2008, 13:22
V_Bond

давайте в обычном режиме .... попробуем воспользоваться RKU
08.01.2008, 13:38
EvgenIg

C:\WINDOWS\System32\Drivers\Rxe27.sys - удалил
C:\WINDOWS\system32\DRIVERS\smtpdrv.sys - удалил
08.01.2008, 13:53
Bratez

Видимо, успешно. Остались только хвосты в реестре.

Пофиксите в HijackThis:
[code]
F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,C:\WINDOWS\system32\ntos.exe,
[/code]
Выполните скрипт в AVZ:
[code]
begin
BC_DeleteSvc('smtpdrv');
BC_DeleteSvc('Rxe27');
BC_Activate;
RebootWindows(true);
end.[/code]
После перезагрузки сделайте новый лог syscheck.
.
08.01.2008, 14:43
EvgenIg

При скнировании диска С в AVZ нашел C:\WINDOWS\Rxe27.sys - Trojan-Downloader.Win32.Agent.ggt
08.01.2008, 14:52
Bratez

[quote=EvgenIg;168799]При скнировании диска С в AVZ нашел C:\WINDOWS\Rxe27.sys - Trojan-Downloader.Win32.Agent.ggt[/quote]
Удалил, надеюсь?

В логе все чисто.
Осталось глянуть, нужно ли что-то из этого:
[code]
>> Службы: разрешена потенциально опасная служба TermService (Службы терминалов)
>> Службы: разрешена потенциально опасная служба SSDPSRV (Служба обнаружения SSDP)
>> Службы: разрешена потенциально опасная служба Schedule (Планировщик заданий)
>> Службы: разрешена потенциально опасная служба mnmsrvc (NetMeeting Remote Desktop Sharing)
>> Службы: разрешена потенциально опасная служба RDSessMgr (Диспетчер сеанса справки для удаленного рабочего стола)
>> Безопасность: разрешен автозапуск программ с CDROM
>> Безопасность: разрешен административный доступ к локальным дискам (C$, D$ ...)
>> Безопасность: к ПК разрешен доступ анонимного пользователя
>> Безопасность: Разрешена отправка приглашений удаленному помошнику
[/code]
и отключить лишнее для профилактики.
08.01.2008, 15:07
EvgenIg

[quote=Bratez;168806]Удалил, надеюсь?
Удалил

В логе все чисто.
Осталось глянуть, нужно ли что-то из этого:
[code]
>> Службы: разрешена потенциально опасная служба TermService (Службы терминалов)
>> Службы: разрешена потенциально опасная служба SSDPSRV (Служба обнаружения SSDP)
>> Службы: разрешена потенциально опасная служба Schedule (Планировщик заданий)
>> Службы: разрешена потенциально опасная служба mnmsrvc (NetMeeting Remote Desktop Sharing)
>> Службы: разрешена потенциально опасная служба RDSessMgr (Диспетчер сеанса справки для удаленного рабочего стола)
>> Безопасность: разрешен автозапуск программ с CDROM
>> Безопасность: разрешен административный доступ к локальным дискам (C$, D$ ...)
>> Безопасность: к ПК разрешен доступ анонимного пользователя
>> Безопасность: Разрешена отправка приглашений удаленному помошнику
[/code]
и отключить лишнее для профилактики.[/quote]
из этого ничего не нужно

п.с. в корне диска С есть подозрительный файл NTDETECT.COM
и как можно флешдиски почистить от вредителей
08.01.2008, 15:12
Bratez

Вот скрипт для отключения ненужного:
[code]
begin
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Control\Terminal Server','fAllowToGetHelp', 0);
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Control\LSA','RestrictAnonymous', 2);
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'System\CurrentControlSet\Services\LanmanServer\Parameters','AutoShareWks', 0);
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'System\CurrentControlSet\Services\CDROM','AutoRun', 0);
SetServiceStart('RDSessMgr', 4);
SetServiceStart('mnmsrvc', 4);
SetServiceStart('Schedule', 4);
SetServiceStart('SSDPSRV', 4);
SetServiceStart('TermService', 4);
RebootWindows(true);
end.[/code]
Какие-нибудь проблемы остались?

[size="1"][color="#666686"][B][I]Добавлено через 35 секунд[/I][/B][/color][/size]

NTDETECT.COM - необходимый системный файл.
08.01.2008, 15:37
EvgenIg

Спасибо все хорошо и чисто

[size="1"][color="#666686"][B][I]Добавлено через 10 минут[/I][/B][/color][/size]

на флешке были вирусы, отформатировал, остались два файла которые после удаления опять появляются
autorun.inf (AVZ выдает: ЭПС: подозрение на скрытый автозапуск (высокая степень вероятности)
setup.exe
08.01.2008, 15:52
zerocorporated

[QUOTE=EvgenIg;168823]на флешке были вирусы, отформатировал, остались два файла которые после удаления опять появляются
autorun.inf (AVZ выдает: ЭПС: подозрение на скрытый автозапуск (высокая степень вероятности)
setup.exe[/QUOTE]

Логи сделайте с вставленной флэшкой
08.01.2008, 16:03
EvgenIg

логи с флешкой
08.01.2008, 16:13
wise-wistful

Выполните в АВЗ со вставленной флешкой

[CODE]begin
SetAVZGuardStatus(True);
SearchRootkit(true, true);
QuarantineFile('F:\autorun.inf','');
DeleteFile('F:\autorun.inf');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]

карантин загрузите по правилам...
08.01.2008, 16:14
rubin

Выполните скрипт со вставленной флешкой
[code]begin
QuarantineFile('F:\autorun.inf','');
end.[/code]
Карантин пришлите
08.01.2008, 16:27
EvgenIg

карантин выслал
08.01.2008, 16:41
wise-wistful

ВЫполните в АВЗ со вставленой флешкой

[CODE]begin
SetAVZGuardStatus(True);
SearchRootkit(true, true);
DeleteFile('F:\autorun.inf');
DeleteFile('F:\setup.exe');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]

Повторите лог virusinfo_syscheck.zip с флешкой.
08.01.2008, 16:45
zerocorporated

F:\setup.exe - [B]Email-Worm.Win32.Magistr.d[/B]
08.01.2008, 16:48
EvgenIg

Спасибо флешка теперь чистая
08.01.2008, 16:54
wise-wistful

Лог чистый.
09.01.2008, 01:42
pig

[QUOTE=zerocorporated;168865]F:\setup.exe - [B]Email-Worm.Win32.Magistr.d[/B][/QUOTE]
Ух ты! Вот это раритет!