Win32:Agent-LNK [Wrm] - обнаруживается при каждом запуске компа

Printable View

17.01.2008, 17:16
Laminat

Вложений: 3

Win32:Agent-LNK [Wrm] - обнаруживается при каждом запуске компа

Антивирусник avast - при запуске компа высвечивает
[SIZE=3][FONT=Times New Roman]Имя файла - C:\WINDOWS.0\system32\drivers\smtpdrv.sys[/FONT][/SIZE]
[SIZE=3][FONT=Times New Roman]Имя вируса - Win32:Agent-LNK [Wrm][/FONT][/SIZE]
[FONT=Times New Roman][SIZE=3]Тип вируса - Вирус/Червь[/SIZE][/FONT]
[FONT=Times New Roman][SIZE=3]Версия VPS - 080116-1, 16.01.2008[/SIZE][/FONT]

Отправка в хранилище или удаление не дают результатов - при повторном запуске вирус опять высвечивается, в ручную данный файл, найти не смогли???? - недавнее сканирование ч-з интернет (делал админ) показало "руткит" с ним ничего не делалось(((
С уважением и надеждой Ламинат.
17.01.2008, 17:24
Bratez

Пофиксите в HijackThis:
[code]
O4 - HKCU\..\Run: [Firewall auto setup] C:\DOCUME~1\Dima\LOCALS~1\Temp\winlogon.exe
O4 - HKLM\..\Policies\Explorer\Run: [1] C:\WINDOWS.0\winhp32.exe
O15 - Trusted Zone: www.archiviosex.net
O15 - Trusted Zone: www.contentdiscount.info
O15 - Trusted Zone: www.extremeaccess.info
O15 - Trusted Zone: *.ТЭвЩУвШНЬЦТдгвў—ЧФХЛУооф
O15 - Trusted Zone: *.ЭмжЧТТЖДЖИШжЎ—ЧФХЛУооф
O16 - DPF: {33331111-1111-1111-1111-611111193423} -
O16 - DPF: {33331111-1111-1111-1111-611111193429} -
O16 - DPF: {33331111-1111-1111-1111-615111193427} -
O16 - DPF: {33331111-1131-1111-1111-611111193428} -
O20 - AppInit_DLLs:
[/code]
Выполните скрипт в AVZ:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
StopService('Rwa03');
SetServiceStart('Rwa03', 4);
QuarantineFile('C:\WINDOWS.0\winhp32.exe','');
QuarantineFile('C:\WINDOWS.0\system32\zuysteo.exe','');
QuarantineFile('C:\WINDOWS.0\system32\ntos.exe','');
QuarantineFile('C:\DOCUME~1\Dima\LOCALS~1\Temp\winlogon.exe','');
QuarantineFile('C:\fwdrv.sys','');
QuarantineFile('C:\WINDOWS.0\System32\Drivers\Ejm04.sys','');
QuarantineFile('C:\WINDOWS.0\system32\Drivers\Rwa03.sys','');
DeleteFile('C:\WINDOWS.0\system32\Drivers\Rwa03.sys');
DeleteFile('C:\WINDOWS.0\System32\Drivers\Ejm04.sys');
DeleteFile('C:\fwdrv.sys');
DeleteFile('C:\DOCUME~1\Dima\LOCALS~1\Temp\winlogon.exe');
DeleteFile('C:\WINDOWS.0\system32\ntos.exe');
DeleteFile('C:\WINDOWS.0\system32\zuysteo.exe');
DeleteFile('C:\WINDOWS.0\winhp32.exe');
BC_ImportALL;
BC_QrSvc('asc3550u');
BC_DeleteSvc('smtpdrv');
BC_DeleteSvc('Rwa03');
BC_DeleteSvc('asc3550u');
BC_DeleteSvc('Ejm04');
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]
Компьютер перезагрузится.
Пришлите карантин согласно приложению 3 правил
(загружать тут: [url]http://virusinfo.info/upload_virus.php?tid=16564[/url]).
Сделайте новые логи.
17.01.2008, 18:04
Laminat

указания ваши выполнил архив закачан по вашей ссылке.
17.01.2008, 18:08
Макcим

А логи где?
17.01.2008, 18:08
Bratez

Карантин пуст. Ждем новые логи.
17.01.2008, 18:13
Laminat

Извините, - мне сейчас последовательно выполнить "приложение 2" и "3"???
17.01.2008, 18:22
Макcим

Да, как в начале темы.
17.01.2008, 18:53
Laminat

1) Профиксил - как предлагалось, комп перезагрузился в папке с HijackThis: появилась пака с 12 файлами (с ней надо что то делать?)
2) Приложение 2 выполнить не смог в окне протокол пишется - "красным - ошибка - попытка прямого нахождения файлов - так по моему)
3) сделал приложение 3 - но как вы сказали карантин пуст(((

Сейчас сделал повторно "как в начале темы" - - [B]"Скрипт лечения/карантина и сбора информации для раздела "Помогите!" virusinfo.info"[/B]. -
пишет:
[SIZE=2]"Создание архива с файлами из карантина
Создание архива с файлами из карантина завершено
Выполняется исследование системы
Исследование системы завершено"
Как понимаю нужно отправить его - но его нигде нет??(((
вы уж меня извините - делетанта((((
[/SIZE]
17.01.2008, 18:59
Bratez

Видимо вы не так поняли.
Сделать новые логи - значит заново выполнить п.8-13 правил и прикрепить полученные логи, как вы делали в первом сообщении.
П.8 (скрипт лечения/карантина) вы только что сделали... осталось немного ;)
17.01.2008, 19:19
Laminat

Я выполнил по новой 2 скрипта но - где сохранились новые логи???
В папке avz4 только автоматически сохраненная папка LOG - с архивами которые я вам уже отправлял - что я не так делаю???
17.01.2008, 19:27
V_Bond

посмотрите на их дату создания ... точно старые ?
17.01.2008, 19:35
Laminat

Вложений: 3

Вот вроде.......
17.01.2008, 19:39
V_Bond

[URL="http://www.wasm.ru/baixado.php?mode=tool&id=392"]скачать[/URL] ... утилиту
- отключить антивирус
- оключиться от интернета
tools - wipe/copy file - browse и находим файл C:\WINDOWS\system32\drivers\Rwa03.sys - direct file content wiping - do operation - закрыть программу..
- перезагрузится ...
выполните скрипт ...
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
StopService('Rwa03');
QuarantineFile('C:\WINDOWS.0\System32\Drivers\Rwa03.sys','');
DeleteFile('C:\WINDOWS.0\System32\Drivers\Rwa03.sys');
BC_DeleteSvc('Rwa03');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
повторите логи ...
17.01.2008, 20:01
Laminat

Уважаемый V_Bond, утилиту скачал и установил но я не понимаю что значит - " tools - wipe/copy file - browse " - в ручную такого файла (C:\WINDOWS\system32\drivers\Rwa03.sys) в папке нет....
17.01.2008, 20:02
V_Bond

пункты меню ... tool - wipe/copy file - browse
17.01.2008, 20:16
Laminat

Такого файла - Rwa03.sys - в обзоре нет....:unsure:

C:\WINDOWS.0\system32\drivers\smtpdrv.sys - и этот файл найти я тоже не смог(((( - он высвечивается заражённым
17.01.2008, 21:36
V_Bond

C:\WINDOWS.0\System32\Drivers\Rwa03.sys - попробуйте ввести полный путь ..
17.01.2008, 22:18
Laminat

Я в окне имя файла указал полностью- как вы и сказали - при нажатии "произвести операцию" - маленькое окно высветило - "File content deleted" - ????
17.01.2008, 22:21
V_Bond

сделайте лог virusinfo_syscheck.zip
17.01.2008, 22:30
Laminat

Вложений: 1

Вот.
17.01.2008, 22:50
V_Bond

выполните скрипт ...
[code]
begin
RegKeyIntParamWrite('HKLM', 'SYSTEM\CurrentControlSet\Hardware Profiles\0001\System\CurrentControlSet\Enum\ROOT\LEGACY_Rwa03\0000', 'CSConfigFlags', '1');
BC_QrFile('C:\WINDOWS.0\System32\Drivers\Rwa03.sys');
BC_DeleteSvc('Rwa03');
BC_DeleteFile('C:\WINDOWS.0\System32\Drivers\Rwa03.sys');
BC_LogFile(GetAVZDirectory + 'boot_clr_rntm31.log');
BC_Activate;
RebootWindows(true);
end.
[/code]
затем повторите лог ... virusinfo_syscheck.zip
17.01.2008, 23:08
Laminat

Вложений: 1

Сделано.
17.01.2008, 23:19
V_Bond

выполните скрипт ....
[code]
begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
StopService('smtpdrv');
QuarantineFile('C:\WINDOWS.0\system32\DRIVERS\smtpdrv.sys','');
QuarantineFile('C:\WINDOWS.0\0\system32\ntoskrnl.exe','');
DeleteFile('C:\WINDOWS.0\system32\DRIVERS\smtpdrv.sys');
BC_DeleteSvc('smtpdrv');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
пришлите карантин согласно приложения 3 правил ...
17.01.2008, 23:40
Laminat

"1. Запустите AVZ, выберите из меню "Файл" - >"Просмотр карантина"".
"2-Справа в списке файлов отметьте те файлы которые нужно выслать".

- это окно у меня пустое..... что с ним делать? что там нужно отметить если ничего нет?

Скрипт выполнил.
Приложение 2 ???
В верхнее окно я пишу файлы;
C:\WINDOWS.0\system32\DRIVERS\smtpdrv.sys
C:\WINDOWS.0\0\system32\ntoskrnl.exe
"Пуск" -
В "Протоколе"
- Ошибка карантина файла, попытка прямого чтения (C:\WINDOWS.0\system32\DRIVERS\smtpdrv.sys)
"Карантин с использованием прямого чтения - ошибка
Ошибка карантина файла, попытка прямого чтения (C:\WINDOWS.0\0\system32\ntoskrnl.exe)
Карантин с использованием прямого чтения - ошибка"

Просмотр карантина - пустое окно????
18.01.2008, 00:23
V_Bond

повторите лог ... virusinfo_syscheck.zip
18.01.2008, 00:41
Laminat

Вложений: 1

лог-
18.01.2008, 00:44
V_Bond

почти все хорошо ....
C:\WINDOWS.0\0\system32\ntoskrnl.exe попробуйте найти при помощи авз - сервис - поиск файлов на диске .... ( если не будет добавлятся в карантин значит все вообще замечательно) ... и прислать по правилам ...
18.01.2008, 00:56
Laminat

Вот что получилось:
Поиск файлов по маске C:\WINDOWS.0\0\system32\ntoskrnl.exe
Поиск файлов завершен
Просмотрено 48501, найдено 0

Соответственно копировать в карантин нечего - что это значит?
18.01.2008, 01:03
V_Bond

такого не может быть ... если бы не было файла ntoskrnl.exe система не работала бы ...
18.01.2008, 01:22
Laminat

Да нет всё верно
Когда в окне поиска полный путь - C:\WINDOWS.0\0\system32\ntoskrnl.exe - ничего не находит

Когда - ntoskrnl.exe - (галочу на "Добавить к списку"?) - 2 результата -
C:\WINDOWS.\system32\ntoskrnl.exe
C:\WINDOWS.0\system32\ntoskrnl.exe
Т.е. - \0\ - в пути нет.
Ставлю галочку - "Копировать отмеченые файлы в карантин" - на второй - и ничего не происходит.
18.01.2008, 02:11
pig

Значит, этот числится в базе безопасных.

Надо Олега сюда позвать. IMHO, эта система провоцирует AVZ на глюки с путями на основе %SystemRoot%.
18.01.2008, 06:51
Laminat

Так что дальше делать то?
В принципе скачаный Др.Веб помог избавиться от приложения из-за которого винд либо вообще не загружался полносьтю либо часа через 2 - иф не ошибаюсь (vhosts.exe) - когда с самого начала перманентная 100% загрузка процессора, а вместо стрелки-курсора песочные часики и сплошной тормоз.
А благодаря вчерашним действиям avast - больше не выдает сообщение об Агенте.
Может на этом и успокоиться .... пока?
В таком случае огромное спасибо всем кто проявил участие.
18.01.2008, 09:45
V_Bond

да похоже все чисто ....
как понимать это ? ( может вы нам объясните?) у вас несколько систем на диске ?
C:\WINDOWS.\system32\ntoskrnl.exe
C:\WINDOWS.0\system32\ntoskrnl.exe
C:\WINDOWS.0\0\system32\ntoskrnl.exe
18.01.2008, 15:38
pig

Третье - это однозначно глюк AVZ. Вот первое - да, интересно. Если соответствует действительности, то это и есть источник глюка.
22.02.2009, 03:31
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]14[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]