При запуске стандартных скриптов в AVZ комп перезагружается

Printable View

08.01.2008, 00:17
noodles

При запуске стандартных скриптов в AVZ комп перезагружается

Здравствуйте, с праздниками!
Не могу выполнить пункт 8 правил, так как AVZ не завершает работу ([FONT=Verdana][SIZE=2]"Скрипт лечения/карантина и сбора информации для раздела "Помогите!" virusinfo.info"[/SIZE][/FONT]) - происходит перезагрузка и никакого LOG.

В перспективе лечение от целого букета троянов - smtpdrv.sys, smtpdrv.exe, ip6fw.sys, jto22.sys, bbv34.sys, qlj31.sys и пр. Это то, что Dr.Web нашел и удалил, обозначив как Backdoor.Bulknet и Trojan.NTRootkit (но они возвращаются). smtpdrv.exe удалить не может даже в Safe Mode и с правами администратора.

P.S. Извиняюсь, если это дубль предыдущего поста. Страница не отобразилась, и моя тема, по-моему, потерялась.
08.01.2008, 00:21
V_Bond

два других лога можете сделать ?
08.01.2008, 00:32
noodles

Вложений: 2

два других сделал.
08.01.2008, 01:17
wise-wistful

1. [url=http://virusinfo.info/showthread.php?t=7239]Выполните в АВЗ ...[/url]

[CODE]begin
SetAVZGuardStatus(True);
SearchRootkit(true, true);
QuarantineFile('D:\WINDOWS\system32\DRIVERS\Ip6Fw.sys','');
QuarantineFile('D:\WINDOWS\System32\drivers\runtime.sys','');
DeleteFile('D:\WINDOWS\System32\drivers\runtime.sys');
Deletefile('C:\WINDOWS\system32\drivers\ip6fw.sys');
BC_ImportAll;
BC_DeleteSvc('Ip6Fw');
BC_DeleteSvc('runtime');
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]

компьютер перезагрузится.

2. [url=http://virusinfo.info/showthread.php?t=7239]Выполните этот скрипт в АВЗ ...[/url]

[CODE]begin
SetAVZGuardStatus(True);
SearchRootkit(true, true);
QuarantineFile('D:\Program Files\NavExcel\NavHelper\v2.0.4d\navapp.exe','');
QuarantineFile('D:\Program Files\Common Files\GMT\GMT.exe','');
QuarantineFile('D:\WINDOWS\System32\Drivers\Ffh48.sys','');
QuarantineFile('D:\WINDOWS\System32\Drivers\Qlj31.sys','');
QuarantineFile('Ouf43.sys','');
QuarantineFile('d:\program files\internet explorer\iexplore.exe','');
QuarantineFile('d:\windows\system32\svchost.exe','');
QuarantineFile('sysfldr.dll','');
QuarantineFile('D:\WINDOWS\system\cmicnfg.cpl','');
QuarantineFile('deskey.dll','');
QuarantineFile('avi32.dll','');
QuarantineFile('D:\WINDOWS\system32\ntos.exe','');
QuarantineFile('D:\Documents and Settings\All Users\Документы\Settings\arm32.dll','');
QuarantineFile('D:\WINDOWS\system32\drivers\ctl_w32.sys','');
DeleteFile('D:\WINDOWS\system32\drivers\ctl_w32.sys');
DeleteFile('D:\Documents and Settings\All Users\Документы\Settings\arm32.dll');
DeleteFile('D:\WINDOWS\system32\ntos.exe');
DeleteFile('deskey.dll');
DeleteFile('sysfldr.dll');
DeleteFile('D:\WINDOWS\System32\DRIVERS\smtpdrv.sys');
BC_ImportAll;
BC_DeleteFile('D:\WINDOWS\System32\DRIVERS\smtpdrv.sys');
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]

3. Загрузите карантин согласно [b]пункта 3[/b] [url=http://virusinfo.info/showthread.php?t=1235]правил [/url].
Загружать по ссылке: [url]http://virusinfo.info/upload_virus.php?tid=16089[/url]

4. Профиксите ( [url]http://virusinfo.info/showthread.php?t=4491[/url] )
[CODE]F2 - REG:system.ini: UserInit=D:\WINDOWS\system32\userinit.exe,D:\WINDOWS\system32\ntos.exe,
O2 - BHO: (no name) - {4AD6ACB0-1378-1FAD-2974-39B60915ACCB} - D:\WINDOWS\system32\vrnpvsg.dll (file missing)
O2 - BHO: (no name) - {C65F1640-A6D4-A70E-8A0B-8EADD9B87291} - (no file)
O20 - Winlogon Notify: sysfldr - sysfldr.dll (file missing)
O20 - Winlogon Notify: deskey - deskey.dll (file missing)[/CODE]

аовторите логи.
08.01.2008, 02:08
noodles

Вложений: 2

Два предложенных скрипта выполнил.
Параллельно с каждой перезагрузкой SpiderGuard сообщал о том, что он исцелил smtpdrv.sys и прочие. Причем не один раз.

Карантин пытался загрузить по ссылке. После нажатия по кнопке страничка повисела и выбросила на бланк "не могу отобразить". Так что не уверен, что карантин дошел по месту назначения.

Пофиксить смог только две строки из пяти. Первой (F2 - REG:system.ini: UserInit=D:\WINDOWS\system32\userinit.exe) просто не было. Две, начинающиеся как (O20 - Winlogon Notify:) заканчивались по-другому, а именно: вместо file missing - D:\WINDOWS. Не стал фиксить.

Повторил логи. Лог №1 по-прежнему вызывает перезагрузку. 2 остальных прилагаются.
08.01.2008, 02:15
V_Bond

хорошая коллекция ...
выполните скрипт....
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('D:\WINDOWS\system32\DRIVERS\smtpdrv.sys','');
QuarantineFile('D:\WINDOWS\System32\Drivers\Qlj31.sys','');
QuarantineFile('D:\WINDOWS\System32\Drivers\Ito22.sys','');
QuarantineFile('D:\WINDOWS\system32\drivers\ctl_w32.sys','');
QuarantineFile('D:\WINDOWS\System32\Drivers\Bbv34.sys','');
QuarantineFile('D:\WINDOWS\system32\Drivers\Ffh48.sys','');
DeleteFile('D:\WINDOWS\system32\Drivers\Ffh48.sys');
DeleteFile('Ouf43.sys');
DeleteFile('D:\WINDOWS\System32\Drivers\Bbv34.sys');
DeleteFile('D:\WINDOWS\system32\drivers\ctl_w32.sys');
DeleteFile('D:\WINDOWS\System32\Drivers\Ito22.sys');
DeleteFile('D:\WINDOWS\System32\Drivers\Qlj31.sys');
DeleteFile('D:\WINDOWS\system32\DRIVERS\smtpdrv.sys');
DeleteFile('D:\WINDOWS\Temp\startdrv.exe');
BC_DeleteSvc('smtpdrv');
BC_DeleteSvc('Ffh48');
BC_DeleteSvc('Ito22');
BC_DeleteSvc('ctl_w32');
BC_DeleteSvc('Bbv34');
BC_DeleteSvc('Qlj31');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
пришлите кврантин согласно приложения 3 правил...
повторите логи ..
08.01.2008, 02:19
pig

Пофиксите вот это:
[code]O4 - HKLM\..\Run: [startdrv] D:\WINDOWS\Temp\startdrv.exe
O20 - Winlogon Notify: arm32reg - D:\WINDOWS\
O20 - Winlogon Notify: deskey - D:\WINDOWS\
O20 - Winlogon Notify: sysfldr - D:\WINDOWS\[/code]
08.01.2008, 03:08
noodles

Вложений: 2

Скрипт выполнил. Карантинную папку заархивировал, но по-моему она не изменилась. Файлы те же и дата создания у них старая. Сейчас вышлю по ссылке.

4 строки пофиксил.

2 возможных лога прилагается.
08.01.2008, 03:26
Bratez

Что-то опять все на месте. У вас скрипт нормально выполнялся или резко уходил на перезагрузку без каких-либо сообщений?

Пофиксите в HijackThis:
[code]
O20 - Winlogon Notify: igfxnet - avi32.dll (file missing)
O21 - SSODL: ExEng - {9D98B9E2-FD19-4F21-AE98-08A32A9049BE} - (no file)
[/code]
Выполните такой скрипт:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
StopService('Ffh48');
StopService('Ouf43');
DeleteFile('D:\WINDOWS\system32\Drivers\Ffh48.sys');
DeleteFile('D:\WINDOWS\system32\Drivers\Ouf43.sys');
BC_ImportDeletedList;
ExecuteSysClean;
BC_DeleteSvc('Ouf43');
BC_DeleteSvc('smtpdrv');
BC_DeleteSvc('Ffh48');
BC_DeleteSvc('Ito22');
BC_DeleteSvc('ctl_w32');
BC_DeleteSvc('Bbv34');
BC_DeleteSvc('Qlj31');
BC_Activate;
RebootWindows(true);
end.[/code]
Сделайте новые логи.
08.01.2008, 03:46
noodles

Вложений: 2

Да, точно. Скрипт вылетает на перезагрузку без окошка "Выполнен без ошибок". Так же, как при попытке создать лог №1 (лечение/карантин и сбор инфы). Видимо, скрипт в посте #6 тоже не сработал, просто я не заметил разницы в перезагрузке.
2 строчки пофиксил. Логи в прил.
08.01.2008, 09:19
V_Bond

[URL="http://www.wasm.ru/baixado.php?mode=tool&id=392"]скачать[/URL] ...
- отключить антивирус и фаервол
- оключиться от интернета
tools - wipe/copy file - browse и находим файл D:\WINDOWS\system32\Drivers\Ffh48.sys (тоже самое и для Ouf43.sys) ... - direct file content wiping - do opperation - закрыть программу.. - перезагрузится ...
затем выполните скрипт ....
повторите последний лог авз ...
08.01.2008, 12:57
noodles

Простите, я, прежде чем начать, хотел уточнить. У меня стоит Dr. Web со всеми Spider'ами. Они в фоновом режиме что-то там ловят. Как их отключить, я не понял. Могу насильно выкинуть из процессов в Диспетчере задач все, что начинается на spider, но значки в трее после этого остаются как ни в чем не бывало.

И нужно ли также выключать Брандмауэр Win XP Pro SP2?
08.01.2008, 12:58
V_Bond

для надежности сделайте все в safe mode ...
08.01.2008, 13:23
noodles

Скачал и установил Rootkit Unhooker (устанавливал уже в Safe Mode).

При запуске окно: "Rootkit Unhooker has detected parasite inside itself! Recommended to remove. Parasite type: Unknown remote thread. Thread ID: 1184. Priority: 8". Жму OK.

Следующее окно: "Parasite removed, continue loading", и сразу:

"Error loading/opening driver". При повторных попытках четырехзначное Thread ID все время меняется, но результат одинаков.
08.01.2008, 14:00
rubin

На время установки антивирус отключали? Он обычно ругается на инсталляцию подозрительного драйвера

[size="1"][color="#666686"][B][I]Добавлено через 2 минуты[/I][/B][/color][/size]

Либо попробуйте выполнить в обычном режиме...
08.01.2008, 14:08
noodles

Вложений: 1

Выполнил 2 скрипта (от V_Bond и Bratez) в Safe Mode. Успешно. Лог о сборе инфы в прил.

Отключил SpiderGuard и SpiderMail (через Панель управления). Установил RootkitUnHooker в обычном режиме без и-нета и антивирусов. Сообщение о паразите внутри то же, но после того, как он его уничтожил, программа продолжила работать. Файлов, указанных в сообщении V_Bond (Ffh48.sys и Ouf43.sys), не обнаружил.
08.01.2008, 14:12
rubin

Уже значииительно чище :wink:
Пришлите по правилам
H:\autorun.inf
08.01.2008, 14:12
Bratez

... Про авторан опоздал чуть-чуть ... ;)

Посмотрите, нужно ли вам что-то из этого:
[code]
>> Службы: разрешена потенциально опасная служба TermService (Службы терминалов)
>> Службы: разрешена потенциально опасная служба SSDPSRV (Служба обнаружения SSDP)
>> Службы: разрешена потенциально опасная служба Schedule (Планировщик заданий)
>> Службы: разрешена потенциально опасная служба mnmsrvc (NetMeeting Remote Desktop Sharing)
>> Службы: разрешена потенциально опасная служба RDSessMgr (Диспетчер сеанса справки для удаленного рабочего стола)
> Службы: обратите внимание - набор применяемых на ПК служб зависит от области применения ПК (домашний, ПК в ЛВС компании ...)!
>> Безопасность: разрешен автозапуск программ с CDROM
>> Безопасность: разрешен административный доступ к локальным дискам (C$, D$ ...)
>> Безопасность: к ПК разрешен доступ анонимного пользователя
>> Безопасность: Разрешена отправка приглашений удаленному помошнику
[/code]
Лишнее отключим.
08.01.2008, 14:29
noodles

Авторан.инф отправил. Это флешка, так как я запарился работать с и-нетом на зараженном компе (тормозит нереально из-за левого трафика) и воткнул его в ноутбук, а файлы на флешке переношу. Spider сказал мне уже, что флешка заражена (setup.exe) тем же самым, но сам удалил его и теперь вроде не жалуется.

Из предоставленного списка мне наверно важен только "административный доступ к локальным дискам", так как сейчас работаю из-под Администратора. Остальное, особенно что касается служб, мне как ламеру ничего не говорит :) Комп домашний, многопользовательский, системасистиков среди пользователей нет. Так что лучше проще, но безопаснее.
08.01.2008, 14:35
rubin

Угу, запускает setup.exe...
Удалите еще и сам авторан, раз зверька уже прибили

административный доступ к локальным дискам - это нужно только в локальной сети, поэтому можно и его отключить :wink:

[code]begin
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Control\Terminal Server','fAllowToGetHelp', 0);
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Control\LSA','RestrictAnonymous', 2);
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'System\CurrentControlSet\Services\LanmanServer\Parameters','AutoShareWks', 0);
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'System\CurrentControlSet\Services\CDROM','AutoRun', 0);
SetServiceStart('RDSessMgr', 4);
SetServiceStart('mnmsrvc', 4);
SetServiceStart('Schedule', 4);
SetServiceStart('SSDPSRV', 4);
SetServiceStart('TermService', 4);
RebootWindows(true);
end.[/code]
08.01.2008, 14:41
noodles

Скрипт выполнил. Выслать логи?

P.S. А сейчас уже можно включать и-нет и антивирусы? И пытаться ли сделать лог о лечении/карантине, который все время вызывал ребут?
08.01.2008, 14:45
rubin

Нет, ничего не нужно, если жалоб больше нет...
В последнем логе уже все чисто было
08.01.2008, 15:16
noodles

Последний вопрос: нужно ли включать обратно восстановление системы?

P.S. И спасибо ВСЕМ мастерам!
08.01.2008, 15:19
V_Bond

восстановление системы включать можно ...
но лучше пользоваться чем-то вроде Acronis
22.02.2009, 03:19
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]31[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] d:\\windows\\system32\\drivers\\ip6fw.sys - [B]Trojan-Downloader.Win32.Diehard.dr[/B] (DrWEB: Trojan.NtRootKit.497)[/LIST][/LIST]