Новый вирус ВНИМАНИЕ!!!

Printable View

15.02.2008, 11:11
magnum

Новый вирус ВНИМАНИЕ!!!

Метод обнаружения:не отображаются скрытые папки и файлы
Находятся в корне всех дисков файлы 0hct8ybw.bat и autorun.inf пробовал удалить из под доса не получилось чиска реестра не помогла замена ини файла тоже после обновления он перезаписывается что делает не понятно но все машины начали тормозить страшно и жрет траф по гпрс (едж)2метра за 5минут думаю что авторан но не нет характерной папки с названием что делать помогите

логи выложил
15.02.2008, 11:24
magnum

логи
15.02.2008, 11:48
magnum

долго пытал юзера сознался что ходил на сайт смотри.ком глядел клипы сходил сам и опля вот тут я его и нашел...
15.02.2008, 11:59
PavelA

Выполнить скрипт:

[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\autorun.inf','');
QuarantineFile('C:\windows\system32\amvo.exe','');
QuarantineFile('C:\windows\system32\wincab.sys','');
QuarantineFile('C:\windows\system32\amvo1.dll','');
DeleteFile('C:\windows\system32\amvo1.dll');
DeleteFile('C:\windows\system32\wincab.sys');
BC_DeleteFile('C:\windows\system32\wincab.sys');
DeleteFile('C:\windows\system32\amvo.exe');
BC_DeleteFile('C:\windows\system32\amvo.exe');
DeleteFile('C:\autorun.inf');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]

Загрузите карантин по ссылке вверху темы.

Сделай новые логи.
Такое лучше удалить с компьютера
C:\Documents and Settings\beermug\Рабочий стол\Новая папка (2)\надо ломануть аську врага .zip

Если пользователь играет в онлайн-игры, то надо менять пароли.

С флешки тоже надо поудалять autorun.inf и то, что он запускает.
15.02.2008, 12:18
magnum

скрипт выполнил все также и не открывается диск делаю новые логи

[size="1"][color="#666686"][B][I]Добавлено через 36 секунд[/I][/B][/color][/size]

карантин выложил
15.02.2008, 12:20
PavelA

AVZ Файл - Восст. системы -- п.6,8 -- выполнить
15.02.2008, 12:28
magnum

сейчас скрипт сделать потом востановлениее или наоборот
15.02.2008, 12:28
PavelA

0hct8ybw.bat - поискать через AVZ, в карантин и прислать. можно только его одного.

Можно выполнять в любой последовательности.
15.02.2008, 12:29
magnum

хорошо
15.02.2008, 12:34
AndreyKa

Это не новый вирус. AVZ его детектирует - Worm.Win32.AutoRun.cmc + Trojan-PSW.Win32.OnLineGames.qyo так что присылать не надо.
Базы надо было обновить перед созданием логов.
15.02.2008, 12:35
magnum

не находит его может я не так ищю AVZ\сервис\поиск файлоф на диске
15.02.2008, 12:36
PavelA

Сначала Станд.скрипты -- №2, а потом уже поиск.
15.02.2008, 12:50
magnum

базы оьновлю затем выполню скрипт

[size="1"][color="#666686"][B][I]Добавлено через 11 минут[/I][/B][/color][/size]

[quote=AndreyKa;188013]Это не новый вирус. AVZ его детектирует - Worm.Win32.AutoRun.cmc + Trojan-PSW.Win32.OnLineGames.qyo так что присылать не надо.
Базы надо было обновить перед созданием логов.[/quote]
AVZ скачал вчера базы обновить не получилось
15.02.2008, 12:56
AndreyKa

Базы в архиве с программой не обновляются, но новые можно скачать здесь:
[url]http://z-oleg.com/secur/avz_up/avzbase.zip[/url]
15.02.2008, 13:32
magnum

спасибо
Делаю второй лог

[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]

этими скриптами можно вылечить юругие машины?

[size="1"][color="#666686"][B][I]Добавлено через 18 минут[/I][/B][/color][/size]

kjub
15.02.2008, 13:34
akok

[quote]kjub[/quote]
ась?
[quote]этими скриптами можно вылечить юругие машины?
[/quote]
На свой страх и риск:)
15.02.2008, 13:35
magnum

вот вторые логи
что за новый архив с именем моего компа? высылаю тоже гг
15.02.2008, 13:36
akok

Где вот? Логов нет...
15.02.2008, 13:46
magnum

грузится не хотят сейчас еще попробую
15.02.2008, 13:55
AndreyKa

Загружайте на сайт а тут ссылку приводите.
15.02.2008, 13:56
PavelA

Удали предыдущие логи через "Мой кабинет"
15.02.2008, 13:56
magnum

кажеца получилось
15.02.2008, 14:00
magnum

Вложений: 2

вот они
15.02.2008, 14:23
PavelA

К сожалению, все враги живы.
Такое ощущение, что скрипт не исполнился.

Или это уже другая машина?
15.02.2008, 14:45
magnum

таже самая

[size="1"][color="#666686"][B][I]Добавлено через 12 минут[/I][/B][/color][/size]

скрипт выполнил еще2 раза все то же самое что делать:O
15.02.2008, 14:46
akok

Нужен еще лог HJT
15.02.2008, 14:47
magnum

у нас их 15 машин +моя домашняя флешка и 2 зива

[size="1"][color="#666686"][B][I]Добавлено через 31 секунду[/I][/B][/color][/size]

сейчас кину
15.02.2008, 14:49
magnum

Вложений: 1

вот лог
15.02.2008, 14:50
akok

флешку вставляли после выполнения скрипта?

[size="1"][color="#666686"][B][I]Добавлено через 48 секунд[/I][/B][/color][/size]

1.[url=http://virusinfo.info/showthread.php?t=7239]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".[/url]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
QuarantineFile('C:\autorun.inf','');
QuarantineFile('C:\windows\system32\amvo.exe','');
QuarantineFile('C:\Miranda\miranda32.exe','');
QuarantineFile('C:\windows\system32\wincab.sys','');
QuarantineFile('C:\windows\system32\amvo1.dll','');
DeleteFile('C:\windows\system32\amvo1.dll');
DeleteFile('C:\windows\system32\wincab.sys');
DeleteFile('C:\windows\system32\amvo.exe');
DeleteFile('C:\autorun.inf');
BC_ImportALL;
BC_DeleteFile('C:\windows\system32\amvo.exe');
BC_DeleteFile('C:\windows\system32\amvo1.dll');
BC_DeleteFile('C:\windows\system32\wincab.sys');
BC_Activate;
ExecuteSysClean;
RebootWindows(true);
end.[/CODE]
После выполнения скрипта компьютер перезагрузится.
Прислать карантин согласно [b]приложения 3 [url=http://virusinfo.info/showthread.php?t=1235]правил [/url][/b].
Загружать по ссылке: [url]http://virusinfo.info/upload_virus.php?tid=18081[/url]
15.02.2008, 14:52
magnum

я могу увидить этот цмд файл только через тотал и изменить его на видимый и все
15.02.2008, 14:54
akok

[url=http://virusinfo.info/showthread.php?t=7239]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".[/url]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
DeleteFile('c:\0hct8ybw.bat ');
BC_ImportDeletedList;
BC_Activate;
ExecuteSysClean;
RebootWindows(true);
end.[/CODE]
После выполнения скрипта компьютер перезагрузится.

Обновите AVZ и повторите логи
15.02.2008, 14:54
magnum

собственно вот сам файл
15.02.2008, 14:58
akok

Пофиксить в HijackThis следующие строчки ( [url]http://virusinfo.info/showthread.php?t=4491[/url] )
[CODE]
F2 - REG:system.ini: UserInit=C:\WINDOWS\System32\userinit.exe
O3 - Toolbar: (no name) - {E0E899AB-F487-11D5-8D29-0050BA6940E3} - (no file)
[/CODE]

[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]

Вирусы и карантины нужно грузить по ссылке, удалите отсюда то накликают
15.02.2008, 15:19
magnum

я ухожу с работы в понедельник спрошу или новую тему создам по ссылке кину папку с вирусом могу мыло оставить
22.02.2009, 03:59
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]13[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\autorun.inf - [B]Worm.Win32.AutoRun.cub[/B] (DrWEB: Win32.HLLW.Autoruner.1343)[*] c:\\documents and settings\\3wcxx91.cmd - [B]Trojan-GameThief.Win32.OnLineGames.rem[/B] (DrWEB: Trojan.MulDrop.6474)[*] c:\\windows\\system32\\amvo.exe - [B]Trojan-GameThief.Win32.OnLineGames.ypa[/B] (DrWEB: Trojan.MulDrop.6474)[*] c:\\windows\\system32\\amvo0.dll - [B]Trojan-GameThief.Win32.OnLineGames.qyo[/B] (DrWEB: Trojan.PWS.Wsgame.2387)[*] c:\\windows\\system32\\amvo1.dll - [B]Trojan-GameThief.Win32.OnLineGames.qyo[/B] (DrWEB: Trojan.PWS.Wsgame.2387)[/LIST][/LIST]