Качает трафик, трояны размножаются

Здравствуйте!
Во время серфинга в интернете заметил резкое увеличение входящего трафика, проверил Касперским, нашлись трояны, почистил, перезагрузился.
Касперский обнаруживает трояны.
В процессах нашел iexplore.exe, хотя IE не загружен, процесс не удалялся никакими способами.
Еще несколько попыток чистки Каспером и NOD32, также находится зараза, чистится, после перезагрузки вновь появляется.
Нашел вас, скачал инструкцию [URL]http://virusinfo.info/showthread.php?t=12112[/URL]
После сканирования утилитой от Dr.Web процесс iexplore.exe из списка процессов исчез, трояны также заново возрождаются. Трояны разнообразные.
Начал выполнять инструкцию, дошел до приложения 2, но не могу найти логи AVZ. Лог HiJackThis благополучно нашелся в папке с программой, в папке же AVZ есть только вложенная папка Base, логов там нет, хотя скрипты выполнились благополучно.

Что я сделал неправильно (вроде все строго по инструкции).

логи приблизительно там находятся ... c:\avz\LOG\

avz скорее всего не верно распаковали, надо архив avz4.zip правой кнопкой и выбрать extract в новую паку .

[quote=V_Bond;172150]логи приблизительно там находятся ... c:\avz\LOG\[/quote]
ок, проблема была в том, что папка avz у меня лежала на рабочем столе (я все, что скачиваю, кидаю на стол, потом просматриваю и рассортировываю по местам), скопировал ее в корень, оп-ля)) появилась папка LOG))
однако:blink:
выполняю поиск файлов, они находятся, жму скопировать в карантин, в карантине их нет...
что за напасть((
может вам их из проводника прислать?

перечитайте правила как и куда нужно распаковывать авз ... все расписано ...

как раз в правилах это не расписано... ну да ладно, сейчас у меня папка на корне С, логи создал, проблема в том, что они не копируются в карантин почему-то.
хотя логи HiJackThis скопировались нормально.

причем в протоколе пишет, что файл скопирован в карантин

зачем логи копировать в карантин .... ?

[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]

virusinfo_syscure.zip virusinfo_syscheck.zip - эти файлы нужно прикрепить к теме ...

да, действительно

Как правильно искать и присылать запрошенные файлы?

--------------------------------------------------------------------------------

1. Поиск всех запрашиваемых файлов нужно осуществлять из программы AVZ, а вовсе НЕ из проводника, файлового менеджера и т.п. Нужно запустить программу AVZ, зайти в меню "Сервис" и выбрать пункт "Поиск файла на диске".

теперь до меня дошло, что это не относится к логам
пардон за торомознутость, зарапортовался малость))

Вас ещё не просили присылать запрашиваемые файлы - это могут быть какие-нибудь подозрительный файлы, которые Вас попросят прислать, а пока ничего не нужно больше присылать.

1 у вас установлены нод вместе с касперским.... нужно оставить один ... ад-адваре удалить ....
2 отключить оставшийся антивирус
3 пофиксить
[code]
F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,C:\WINDOWS\system32\ntos.exe,
O2 - BHO: IexploreOmea - {09628AAA-66AD-4FA2-82E2-698185B66463} - (no file)
O20 - Winlogon Notify: bootrom8 - bootrom8.dll (file missing)
O20 - Winlogon Notify: partnershipreg - C:\WINDOWS\
[/code]
4 выполнить скрипт
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
StopService('smtpdrv');
StopService('necsort');
StopService('Vch48');
StopService('msupdate');
QuarantineFile('C:\WINDOWS\system32\DRIVERS\smtpdrv.sys','' );
QuarantineFile('c:\windows\system32\vhosts.exe','');
QuarantineFile('C:\WINDOWS\system32\ntos.exe','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Vch48.sys','');
QuarantineFile('C:\WINDOWS\system32\necsort.sys','');
DeleteFile('C:\WINDOWS\system32\necsort.sys');
DeleteFile('c:\windows\system32\vhosts.exe');
DeleteFile('C:\WINDOWS\system32\DRIVERS\smtpdrv.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Vch48.sys');
DeleteFile('C:\WINDOWS\system32\ntos.exe');
BC_DeleteSvc('necsort');
BC_DeleteSvc('smtpdrv');
BC_DeleteSvc('Vch48');
BC_DeleteSvc('msupdate');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
5 пришлите карантин согласно приложения 3 правил
6 повторите логи

все сделал, карантин выслал

выполните скрипт ...
[code]
begin
QuarantineFile('C:\Program Files\Developing.ru\seobar\seobar.dll','');
QuarantineFile('C:\WINDOWS\system32\adsn.dll','');
QuarantineFile('C:\WINDOWS\system32\lrito6884-100f.sys','');
BC_Importall;
BC_Activate;
RebootWindows(true);
end.
[/code]
пришлите карантин согласно приложения 3 правил

скрипт выполнил
карантин отправил

ничего из перечисленного в скрипте нет на диске ....
почистим мусор .....
выпоните скрипт ...
[code]
begin
StopService('lrito6884-100f');
DeleteFile('C:\WINDOWS\system32\lrito6884-100f.sys');
DeleteFile('C:\WINDOWS\system32\adsn.dll');
DeleteFile('C:\Program Files\Developing.ru\seobar\seobar.dll');
DelBHO('{1F460357-8A94-4D71-9CA3-AA4ACF32ED8E}');
DelBHO('{9AE6E6A3-9EE9-43A0-9D54-CE70CDBB8FC6}');
DelBHO('{FEF08F50-7AA9-44B2-81D2-E9DCF31061E0}');
BC_DeleteSvc('lrito6884-100f');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
повторите лог virusinfo_syscheck.zip

скрипт выполнил

Выполните скрипт в AVZ:
[code]
begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\RGWIE.dll','');
BC_ImportQuarantineList;
BC_QrSvc('Gstg69');
BC_DeleteSvc('Gstg69');
BC_Activate;
RebootWindows(true);
end.[/code]
Компьютер перезагрузится.
Пришлите карантин согласно приложению 3 правил.

выполнил, карантин отправил

C:\WINDOWS\system32\RGWIE.dll -чистый ...
повторите лог virusinfo_syscheck.zip

выполнил

[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните[/URL] скрипт в AVZ[CODE]begin
SysCleanAddFile('RGWIE.dll');
ExecuteSysClean;
RebootWindows(true);
end.[/CODE]Удалите Ad-Aware.

AVZ => Файл => Мастер поиска и устранения проблем. Категория проблемы - поставьте "Системные проблемы", степень опасности - "Все проблемы". Нажмите "Пуск". Всё найденное следует пометить и пофиксить. Данную операцию повторить для категории "Настройки и твики браузера".

Повторите лог virusinfo_syscheck.zip.

aawservice.sys - попробуйте найти при помощи авз - сервис - поиск файлов на диске ... если найдется пришлите по правилам ...

скрипт выполнил
проблемы пофиксил
AdAware был удален ранее

aawservice.sys через avz не находится
в реестре нашел: HCLM/System/Current Control Set/Enum/Root/Legacy_AAWESERVICE не удаляется

выполните скрипт ...
[code]
begin
BC_DeleteSvc('aawservice');
BC_Activate;
RebootWindows(true);
end.
[/code]

После скрипта сделайте повторный лог.

службу убили

Угу. Всё чисто. У меня личный вопрос к Вам. Вы не знаете от какой программы RGWIE.dll ?

не знаю...
в автозапуске какая-то хрень autocheck autochk *autocheck lsdeleteautocheck autocheck ?5?? ничего?

Вы об этом?[CODE]autocheck autochk *�autocheck lsdelete�autocheck autocheck ?5??[/CODE]

да

Это не страшно.

Ребята, еще раз привет!
У меня кажется рецидив...
В процессах опять появился iexplore.exe (IE не запущен).

выполните скрипт ....
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\Documents and Settings\All Users\Документы\Settings\abc32.dll','');
DeleteFile('C:\Documents and Settings\All Users\Документы\Settings\abc32.dll');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
пришлите карантин согласно приложения 3 правил ...
повторите логи ...

скрипт выполнил
карантин отправил

В логах всё нормально.

Советуем прочитать [URL="http://security-advisory.newmail.ru/"]электронную книгу[/URL] "Безопасный Интернет. Универсальная защита для Windows ME - Vista".

Вы можете нас отблагодарить, [URL="http://www.virusinfo.info/showthread.php?t=3519"]оказав нам помощь в сборе базы безопасных файлов[/URL]. Мы будем Вам очень благодарны!

Удачи!

В очередной раз прочесывал систему AVZ, выдало следующее:

Функция NtClose (19) перехвачена (805675D9->F8CC31E0), перехватчик C:\WINDOWS\system32\drivers\klif.sys
Функция NtConnectPort (1F) перехвачена (80598C34->F8CC12F0), перехватчик C:\WINDOWS\system32\drivers\klif.sys
Функция NtCreateKey (29) перехвачена (8056F063->F8CB4750), перехватчик C:\WINDOWS\system32\drivers\klif.sys
Функция NtCreateProcess (2F) перехвачена (805B3543->F8CC2F10), перехватчик C:\WINDOWS\system32\drivers\klif.sys
Функция NtCreateProcessEx (30) перехвачена (805885D3->F8CC3080), перехватчик C:\WINDOWS\system32\drivers\klif.sys
Функция NtCreateSection (32) перехвачена (80564B1B->F8CC3D00), перехватчик C:\WINDOWS\system32\drivers\klif.sys
Функция NtCreateSymbolicLinkObject (34) перехвачена (805A27B0->F8CC37B0), перехватчик C:\WINDOWS\system32\drivers\klif.sys
Функция NtCreateThread (35) перехвачена (8057F262->F8CC4600), перехватчик C:\WINDOWS\system32\drivers\klif.sys
Функция NtDeleteKey (3F) перехвачена (8059D6BD->F8CB4860), перехватчик C:\WINDOWS\system32\drivers\klif.sys
Функция NtDeleteValueKey (41) перехвачена (80597430->F8CB48E0), перехватчик C:\WINDOWS\system32\drivers\klif.sys
Функция NtDuplicateObject (44) перехвачена (805743BE->F8CC3380), перехватчик C:\WINDOWS\system32\drivers\klif.sys
Функция NtEnumerateKey (47) перехвачена (8056F76A->F8CB4990), перехватчик C:\WINDOWS\system32\drivers\klif.sys
Функция NtEnumerateValueKey (49) перехвачена (805801FE->F8CB4A40), перехватчик C:\WINDOWS\system32\drivers\klif.sys
Функция NtFlushKey (4F) перехвачена (80594925->F8CB4AF0), перехватчик C:\WINDOWS\system32\drivers\klif.sys
Функция NtInitializeRegistry (5C) перехвачена (805A5A4D->F8CB4B70), перехватчик C:\WINDOWS\system32\drivers\klif.sys
Функция NtLoadDriver (61) перехвачена (805A6B26->F8CC0E50), перехватчик C:\WINDOWS\system32\drivers\klif.sys
Функция NtLoadKey (62) перехвачена (805B0F28->F8CB5590), перехватчик C:\WINDOWS\system32\drivers\klif.sys
Функция NtLoadKey2 (63) перехвачена (805B0D76->F8CB4B90), перехватчик C:\WINDOWS\system32\drivers\klif.sys
Функция NtNotifyChangeKey (6F) перехвачена (805829DD->F8CB4C70), перехватчик C:\WINDOWS\system32\drivers\klif.sys
Функция NtOpenFile (74) перехвачена (805715E7->FC2C9000), перехватчик C:\WINDOWS\system32\Drivers\kl1.sys, драйвер опознан как безопасный
Функция NtOpenKey (77) перехвачена (805684D5->F8CB4D50), перехватчик C:\WINDOWS\system32\drivers\klif.sys
Функция NtOpenProcess (7A) перехвачена (8057459E->F8CC2D00), перехватчик C:\WINDOWS\system32\drivers\klif.sys
Функция NtOpenSection (7D) перехвачена (805766CC->F8CC3B20), перехватчик C:\WINDOWS\system32\drivers\klif.sys
Функция NtQueryKey (A0) перехвачена (8056F473->F8CB4E30), перехватчик C:\WINDOWS\system32\drivers\klif.sys
Функция NtQueryMultipleValueKey (A1) перехвачена (8064CF58->F8CB4EE0), перехватчик C:\WINDOWS\system32\drivers\klif.sys
Функция NtQuerySystemInformation (AD) перехвачена (8057CC27->F8CC42B0), перехватчик C:\WINDOWS\system32\drivers\klif.sys
Функция NtQueryValueKey (B1) перехвачена (8056B9A8->F8CB4F90), перехватчик C:\WINDOWS\system32\drivers\klif.sys
Функция NtReplaceKey (C1) перехвачена (8064D892->F8CB5070), перехватчик C:\WINDOWS\system32\drivers\klif.sys
Функция NtRequestWaitReplyPort (C8) перехвачена (8057860F->F8CC1900), перехватчик C:\WINDOWS\system32\drivers\klif.sys
Функция NtRestoreKey (CC) перехвачена (8064C3B0->F8CB5100), перехватчик C:\WINDOWS\system32\drivers\klif.sys
Функция NtResumeThread (CE) перехвачена (8057F8D5->F8CC45B0), перехватчик C:\WINDOWS\system32\drivers\klif.sys
Функция NtSaveKey (CF) перехвачена (8064C457->F8CB5300), перехватчик C:\WINDOWS\system32\drivers\klif.sys
Функция NtSetContextThread (D5) перехвачена (8062C85B->F8CC4940), перехватчик C:\WINDOWS\system32\drivers\klif.sys
Функция NtSetInformationFile (E0) перехвачена (80579E7E->F8CC4F60), перехватчик C:\WINDOWS\system32\drivers\klif.sys
Функция NtSetInformationKey (E2) перехвачена (8064CABB->F8CB5390), перехватчик C:\WINDOWS\system32\drivers\klif.sys
Функция NtSetSecurityObject (ED) перехвачена (8059DB78->F8CBFA10), перехватчик C:\WINDOWS\system32\drivers\klif.sys
Функция NtSetSystemInformation (F0) перехвачена (805A5110->F8CC39A0), перехватчик C:\WINDOWS\system32\drivers\klif.sys
Функция NtSetValueKey (F7) перехвачена (80575527->F8CB5430), перехватчик C:\WINDOWS\system32\drivers\klif.sys
Функция NtSuspendThread (FE) перехвачена (805DC61B->F8CC4560), перехватчик C:\WINDOWS\system32\drivers\klif.sys
Функция NtSystemDebugControl (FF) перехвачена (8064872D->F8CC11B0), перехватчик C:\WINDOWS\system32\drivers\klif.sys
Функция NtTerminateProcess (101) перехвачена (8058AE1E->F8CC4150), перехватчик C:\WINDOWS\system32\drivers\klif.sys
Функция NtUnloadKey (107) перехвачена (8064C689->F8CB5550), перехватчик C:\WINDOWS\system32\drivers\klif.sys
Функция NtWriteVirtualMemory (115) перехвачена (8057C123->F8CC3240), перехватчик C:\WINDOWS\system32\drivers\klif.sys
Функция FsRtlCheckLockForReadAccess (804FDAF1) - модификация машинного кода. Метод JmpTo. jmp F8CC5380 \??\C:\WINDOWS\system32\drivers\klif.sys
Функция IoIsOperationSynchronous (804E8EBA) - модификация машинного кода. Метод JmpTo. jmp F8CC5880 \??\C:\WINDOWS\system32\drivers\klif.sys

Что это за перехватчик и не опасно ли это?

это перехваты от касперского ...

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]4[/B][*]Обработано файлов: [B]23[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\documents and settings\\all users\\документы\\settings\\abc32.dll - [B]Trojan.Win32.Inject.sm[/B] (DrWEB: BackDoor.Bifrost.526)[*] c:\\windows\\system32\\necsort.sys - [B]Trojan-Banker.Win32.Banker.hkq[/B] (DrWEB: Trojan.PWS.Banker.9575)[*] c:\\windows\\system32\\rgwie.dll - [B]Trojan.Win32.BHO.gbm[/B][*] c:\\windows\\system32\\vhosts.exe - [B]Trojan-Downloader.Win32.Small.hrm[/B] (DrWEB: BackDoor.Dax)[/LIST][/LIST]