Подозрение на Trojan-Downloader.Win32.Bagle.aj

[B]Симптомы:[/B] Периодически наступает синий экран смерти, после чего винда предлагает послать отчет об ошибке, и на сайте мелкософта высвечивается:
[quote]Virus alert: Microsoft detected the WinNT / Bagle.gen virus on your computer
This problem was caused by WinNT / Bagle.gen, a known computer virus.
WinNT / Bagle.gen is also known by the following names:[LIST][*]Win32/Ursnif[*]Trojan-Downloader.Win32.Bagle.cu[*]W32.Beagle.GM[*]Troj/BagleDl-DB[*]Troj/Bagle-TH[/LIST]A solution is available that will solve this problem.
[/quote]В задачах висит процесс: [B]wintems.exe[/B], но файла такого на диске C: нету.

При попытке войти в безопасный режим происходит ребут (после того как убирается бут-скрин винды с полоской загрузки). Антивирусов нет и теперь не установить.

[B] Help please![/B]

[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните[/URL] скрипт в AVZ[CODE]begin
SetAVZGuardStatus(true);
QuarantineFile('C:\WINDOWS\system32\FIREPL~1.SCR','');
QuarantineFile('C:\WINDOWS\system32\drivers\srosa.sys','');
QuarantineFile('C:\WINDOWS\system32\wbsys.dll','');
QuarantineFile('c:\windows\system32\wintems.exe','');
QuarantineFile('c:\windows\svchost.exe','');
QuarantineFile('c:\windows\system32\drivers\hldrrr.exe','');
DeleteFile('c:\windows\system32\drivers\hldrrr.exe');
BC_DeleteFile('c:\windows\system32\drivers\hldrrr.exe');
DeleteFile('c:\windows\svchost.exe');
BC_DeleteFile('c:\windows\svchost.exe');
DeleteFile('c:\windows\system32\wintems.exe');
BC_DeleteFile('c:\windows\system32\wintems.exe');
DeleteFile('C:\WINDOWS\system32\drivers\srosa.sys');
BC_DeleteFile('C:\WINDOWS\system32\drivers\srosa.sys');
DeleteService('svchost');
DelBHO('D103E85B-5D67-42c1-8C83-F01079DBAB26');
DelBHO('A26ABCF0-1C8F-46e7-A67C-0489DC21B9CC');
DelBHO('92780B25-18CC-41C8-B9BE-3C9C571A8263');
DelBHO('2670000A-7350-4f3c-8081-5663EE0C6C49');
BC_Activate;
ExecuteSysClean;
ExecuteRepair(10);
RebootWindows(true);
end.[/CODE]Загрузите карантин согласно приложению №3 правил. Повторите логи.

Во время выполнения скрипта вылетел BSOD (вроде в самом конце, но я не уверен). [B]wintems.exe[/B] все еще сидит в процессах.

* Я забыл отключить восстановление системы и еще от инета не отключился, повторить все шаги заного?

1. Скачайте последнюю версию AVZ - 4.29 и обновите ее базы.
2. Отключите восстановление системы.
3. Выполните скрипт Maxim'a и пришлите карантин.
4. Сделайте новые логи.

Обновить не удаётся:
[QUOTE]Ошибка в ходе автоматического обновления. Ошибка загрузки файла с описанием обновления avzupd.zip с [url]http://z-oleg.com/secur/avz_up/[/url] [21, 00002EFD][/QUOTE]

Альтернативная ссылка выдает тоже самое. Сделаю без обновления.

Попробуйте выполнить скрипт ещё раз, я внес в него некоторые правки.

Следующие результаты:

Предыдущий скрипт вылетал в BSOD, при появлении в логе строчки связанной с карантином c:\windows\svchost.exe.

Новый скрипт вылетает в BSOD сразу, после нажатия кнопки выполнить — в логе ни одной строчки не появилось

и папка карантин не создалась в обоих случаях

Проведена ещё одна оптимизация. Выполняйте скрипт.

Скрипт выполнился без ошибок :-)
Карантин послал. Сейчас сделаю повторно логи, но вроде wintems.exe убрался :-)
В защищенный режим, к сожалению не входит - перезагрузка после мигающий "_"

[quote]В защищенный режим, к сожалению не входит - перезагрузка после мигающий "_"[/quote]
Подольше подождать не пробовали (скажем минут 10-15)?
В Safe mode работа chkdsk на экран не выводится...

[QUOTE]Подольше подождать не пробовали (скажем минут 10-15)?
В Safe mode работа chkdsk на экран не выводится...[/QUOTE]
А он не зависает, а сразу перезагружается.

Появился опять [B]wintems.exe[/B] :huh:. Восстановление системы выключено, соединение с интернетом [B]было [/B]во время процедур.
И еще: у меня подключены сетевые диски.

пофиксите ..
[code]
O4 - HKCU\..\Run: [drvsyskit] C:\WINDOWS\system32\drivers\hldrrr.exe
O4 - HKCU\..\Run: [german.exe] C:\WINDOWS\system32\wintems.exe
[/code]
выполните скрипт ...
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\wbsys.dll','');
DeleteFile('c:\windows\system32\wintems.exe');
DeleteFile('C:\WINDOWS\system32\drivers\hldrrr.exe');
DeleteFile('C:\WINDOWS\system32\drivers\srosa.sys');
BC_DeleteSvc('srosa');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
пришлите карантин согласно приложения 3 правил ...
повторите логи ...

Логи. Комментарий уж боюсь давать :unsure:

[URL="http://www.wasm.ru/baixado.php?mode=tool&id=392"]скачать[/URL] ...
- оключиться от интернета
tools - wipe/copy file - browse и находим файл C:\WINDOWS\system32\drivers\srosa.sys ... - direct file content wiping - do opperation - закрыть программу.. - перезагрузится ...
затем выполните скрипт .... из поста 12 ...
сделайте лог virusinfo_syscheck.zip

[quote=V_Bond;169669][URL="http://www.wasm.ru/baixado.php?mode=tool&id=392"]скачать[/URL] ...[/quote]
Пока что не качает, стоит ли ждать доступности ссылки или есть альтернатива?

должно качаться....

Скачалось. Сделал по инструкции. Скрипт завершился нормально.

[b]Backdoor.Win32.Delf.afu[/b] c:\windows\svchost.exe
[b]Trojan-Downloader.Win32.Bagle.hi[/b] c:\windows\system32\drivers\hldrrr.exe
[b]Trojan-Downloader.Win32.Bagle.ho[/b] c:\windows\system32\wintems.exe

Выполните скрипт:
[code]begin
SetAVZGuardStatus(true);
RegKeyDel('HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\','srosa');
TerminateProcessByName('c:\windows\system32\wintems.exe');
TerminateProcessByName('c:\windows\system32\drivers\hldrrr.exe');
DeleteFile('c:\windows\system32\drivers\hldrrr.exe');
DeleteFile('c:\windows\system32\wintems.exe');
DeleteFile('C:\WINDOWS\system32\drivers\srosa.sys');
BC_ImportDeletedList;
BC_DeleteFile('c:\windows\system32\drivers\hldrrr.exe');
BC_DeleteFile('c:\windows\system32\wintems.exe');
BC_DeleteFile('C:\WINDOWS\system32\drivers\srosa.sys');
BC_DeleteSvc('srosa');
BC_Activate;
ExecuteSysClean;
ExecuteRepair(10);
RebootWindows(true);
end.[/code]
virusinfo_syscheck опять повторить...

Вот оно.

Кстати выполнение скрипта привело к BSOD. Попробую уточнить последнюю строчку лога, запустив скрипт еще раз...

Хм... что-то ничего не удаляется... попробуйте выполнить совет в посте №14 в безопасном режиме, затем мой скрипт (тоже в безопасном)

в безопасном не получится ( к сожалению) .... что пишет рку при удалении srosa ?

Ну чувствую винда на ладан дышит, безопасный режим все еще не работает - автоматически перезагружается. Перед BSOD во время выполнения скрипта увидел только строчку связанную с [B]srosa.sys[/B]. Переставлять винду?

[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]

[quote=V_Bond;169736]в безопасном не получится ( к сожалению) .... что пишет рку при удалении srosa ?[/quote]

А можно как-то посмотреть по логам, а то момент длиться долю-секунду, глаз не успевает прочитать?

[quote]Переставлять винду?[/quote]
Не торопитесь...

Фотоаппарат выручил :cool:
~Примерно:
[QUOTE]
...
[Terminate Process] ... остановлен winterms.exe
[Terminate Process] ... остановлен hldrrr.exe
Удаление файла c:\...\hldrrr.exe
[COLOR="Red"] >>> для удаления файла hldrrr.exe нужна перезагрузка[/COLOR]
Удаление файла c:\...\wintems.exe
[COLOR="Red"] >>> для удаления файла wintems.exe нужна перезагрузка[/COLOR]
Удаление файла c:\...\srosa.sys
Автоматическая чистка следов удаленных в ходе лечения программ
[/QUOTE]

А потом BSOD

рку что пишет ... ?

РКУ - вот это?
[QUOTE]
....
Функция NtSetValueKey(F7) перехвачена...
Функция восстановлена успешно
Код перехватчика нейтрализован
...
Проверено функций 284. Перехвачено 10. Восстановлено 10.[/QUOTE]

Сейчас попробую сфоткать весь список.

[QUOTE=V_Bond;169669][URL="http://www.wasm.ru/baixado.php?mode=tool&id=392"]скачать[/URL] ...
- оключиться от интернета
tools - wipe/copy file - browse и находим файл C:\WINDOWS\system32\drivers\srosa.sys ... - direct file content wiping - do opperation - закрыть программу.. - перезагрузится ...
затем выполните скрипт .... из поста 12 ...
сделайте лог virusinfo_syscheck.zip[/QUOTE]

вы это выполнили ?

Я не много поправил скрипт, попробуйте теперь выполнить.

[quote=V_Bond;169765]вы это выполнили ?[/quote]
Да. Все по инструкции, с перезагрузкой и отключением инета. (Отключил подключение по локальной сети, остался включенным какой-то Сетевой адаптер 1394)

и ? вы выбрали C:\WINDOWS\system32\drivers\srosa.sys .... нажали do opperation что написал ?

Скрин перед BSOD
[URL=http://ipicture.ru/Gallery/Viewfull/300529.html][IMG]http://ipicture.ru/uploads/080109/thumbs/Ti7AVzfD2D.png[/IMG][/URL]

[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]

[quote=V_Bond;169776]и ? вы выбрали C:\WINDOWS\system32\drivers\srosa.sys .... нажали do opperation что написал ?[/quote]

Да, именно Do operation, единственное что я сделал не совсем так - это просто скопировал путь Ctrl+C, и вставил в окно выбора файла, но вроде всё прошло, во всяком случае он не ругался. Повторить может еще разок?

[size="1"][color="#666686"][B][I]Добавлено через 3 минуты[/I][/B][/color][/size]

[quote=Maxim;169767]Я не много поправил скрипт, попробуйте теперь выполнить.[/quote]
Максим, а какой именно скрипт? их уже много :rolleyes:

[QUOTE=capitanclaw;169778]Максим, а какой именно скрипт? их уже много :rolleyes:[/QUOTE][url]http://virusinfo.info/showpost.php?p=169725&postcount=18[/url]

попробуйте еще раз рку ...

Хех, сейчас попробовал вручную найти этот файл, через кру, но там даже папка drivers не видна. включил опцию в проводнике "показывать системные файлы" - но тоже папка скрыта. Может требуется перезагрузка, сейчас попробую еще разок

Через Total Commander папка drivers видна, но srosa.sys отсутствует!!

[size="1"][color="#666686"][B][I]Добавлено через 9 минут[/I][/B][/color][/size]

После перезагрузки в проводнике по-прежднему не видна папка drivers.
Не знаю насколько эта информация поможет, но иногда (2 раза уже): антируткит со странным именем, похожим на хеш-код запускается, но само окно не появляется. При этом в диспечере задач его не завершить, ругается. И в колонки пользователя - пустая строка.

[QUOTE]Я не много поправил скрипт, попробуйте теперь выполнить.[/QUOTE]
Скрипт выполнился без ошибок.

Думаю легче поставить винду, раз такие проблемы :-(
Все равно всем огромное спасибо за попытку помочь! Видно, что вы профи.

Если есть LiveCD - можно попробовать загрузиться с него и удалить этот srosa.sys...

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]24[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\windows\\svchost.exe - [B]Backdoor.Win32.Delf.afu[/B] (DrWEB: Trojan.Proxy.1994)[*] c:\\windows\\system32\\drivers\\hldrrr.exe - [B]Trojan-Downloader.Win32.Bagle.hi[/B] (DrWEB: Trojan.DownLoader.39209)[*] c:\\windows\\system32\\drivers\\srosa.sys - [B]Trojan-Downloader.Win32.Bagle.hu[/B] (DrWEB: Win32.HLLM.Beagle)[*] c:\\windows\\system32\\wintems.exe - [B]Trojan-Downloader.Win32.Bagle.xm[/B] (DrWEB: Win32.HLLM.Beagle)[/LIST][/LIST]