Вирус Trojan-Downloader.Win32

Printable View

21.02.2008, 15:42
carbon studio

Вложений: 3

Вирус Trojan-Downloader.Win32

Здравствуйте! Прошу вашей помощи, залез вирус, а верней троянская программа Trojan-Downloader.Win32.Agent, которая не дает мне покоя, уже 6 месяцев! Мой ативирусник, находит его, но вылечить не может. Суть проблемы, глючит и долго выхожу в инет, много чего не могу скопировать с носителей. Мой друг, посоветовал ваш сайт, если будет возможность, я буду очень признателен.

Заранее благодарю
С уважением,
carbon studio
21.02.2008, 16:02
PavelA

Уж и не знаю, надо ли все это карантинить.
Для начала выполнить скрипт:
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\TEMP\BN4.tmp','');
BC_DeleteSvc('Ejo84');
BC_DeleteSvc('Afk05');
BC_DeleteSvc('Afk40');
BC_DeleteSvc('Gmr27');
BC_DeleteSvc('NDnet1');
BC_DeleteSvc('Ipu41');
BC_DeleteSvc('Nty16');
BC_DeleteSvc('smtpdrv');
BC_DeleteSvc('Uaf27');
QuarantineFile('C:\DOCUME~1\9335~1\LOCALS~1\Temp\winlogon.exe','');
QuarantineFile('C:\WINDOWS\Temp\startdrv.exe','');
QuarantineFile('C:\WINDOWS\mmhren1.exe','');
QuarantineFile('C:\WINDOWS\system32\autorun.exe','');
DeleteFile('C:\WINDOWS\system32\autorun.exe');
DeleteFile('C:\WINDOWS\mmhren1.exe');
DeleteFile('C:\WINDOWS\Temp\startdrv.exe');
DeleteFile('C:\DOCUME~1\9335~1\LOCALS~1\Temp\winlogon.exe');
DeleteFile('C:\WINDOWS\System32\drivers\Uaf27.sys');
DeleteFile('C:\WINDOWS\system32\DRIVERS\smtpdrv.sys');
DeleteFile('C:\WINDOWS\System32\drivers\Nty16.sys');
BC_DeleteFile('C:\WINDOWS\system32\ksys.sys');
BC_DeleteFile('C:\WINDOWS\System32\Drivers\Ipu41.sys');
BC_DeleteFile('C:\WINDOWS\System32\Drivers\Gmr27.sys');
BC_DeleteFile('C:\WINDOWS\System32\drivers\Afk40.sys');
BC_DeleteFile('C:\WINDOWS\System32\drivers\Afk05.sys');
BC_DeleteFile('C:\WINDOWS\System32\Drivers\Ejo84.sys');
BC_DeleteFile('C:\WINDOWS\TEMP\BN4.tmp');
DeleteFile('C:\WINDOWS\TEMP\BN4.tmp');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]

Загрузить то,что попадет в карантин через ссылку вверху темы.

Сделать новые логи.

Ежели не сработает, то придется откатываться назад. Слишком тут много всякого разного накопили.
21.02.2008, 17:05
carbon studio

Вложений: 2

Спасибо за помощь!
Посмотрите,что плучилось!
21.02.2008, 17:38
Bratez

Выполните скрипт в AVZ:
[code]
begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
StopService('Ejo84');
SetServiceStart('Ejo84', 4);
QuarantineFile('C:\WINDOWS\system32\Drivers\Ejo84.sys','');
QuarantineFile('C:\WINDOWS\system32\WLCtrl32.dll','');
DeleteFile('C:\WINDOWS\system32\WLCtrl32.dll');
DeleteFile('C:\WINDOWS\system32\Drivers\Ejo84.sys');
RegKeyParamDel( 'HKEY_USERS', '.DEFAULT\Software\Microsoft\Windows NT\CurrentVersion\Windows', 'Run');
DelWinlogonNotifyByKeyname('WLCtrl32');
BC_ImportALL;
BC_DeleteSvc('Ejo84');
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]
Компьютер перезагрузится.
Пришлите карантин согласно приложению 3 правил
Сделайте новые логи, начиная с п.10 правил.
21.02.2008, 17:57
carbon studio

Вложений: 2

И новые логи!
21.02.2008, 17:58
Bratez

Карантин, согласно правилам, отправляют вот тут:
[url]http://virusinfo.info/upload_virus.php?tid=18419[/url]
а из сообщения его уберите.
Логи сейчас гляну...
21.02.2008, 18:05
carbon studio

Извини,не сообразил!!!!
Спасибо! Все сделал!

[size="1"][color="#666686"][B][I]Добавлено через 39 секунд[/I][/B][/color][/size]

Извините!
21.02.2008, 18:06
Bratez

Все на месте да еще и mmhren1.exe снова народился...

Выполните такой скрипт:
[code]
begin
RegKeyIntParamWrite('HKLM', 'SYSTEM\CurrentControlSet\Hardware Profiles\0001\System\CurrentControlSet\Enum\ROOT\LEGACY_Ejo84\0000', 'CSConfigFlags', '1');
BC_QrFile('C:\WINDOWS\System32\drivers\Ejo84.sys');
BC_DeleteSvc('Ejo84');
BC_DeleteFile('C:\WINDOWS\System32\drivers\Ejo84.sys');
BC_DeleteFile('C:\WINDOWS\system32\WLCtrl32.dll');
BC_DeleteFile('C:\WINDOWS\mmhren1.exe');
BC_LogFile(GetAVZDirectory + 'boot_clr.log');
BC_Activate;
RebootWindows(true);
end.[/code]
После перезагрузки приложите файл boot_clr.log из папки с AVZ.
21.02.2008, 18:11
carbon studio

Приложить, только этот файл или сделать снова логи???
21.02.2008, 18:12
carbon studio

Вложений: 1

Выкладываю.
21.02.2008, 18:13
Bratez

Пока только этот
21.02.2008, 18:20
carbon studio

Спасибо!!! Тогда жду следующих указаний!
21.02.2008, 18:30
Bratez

Похоже, все получилось!
Выполните еще такой скрипт:
[code]
begin
SetAVZGuardStatus(True);
RegKeyParamDel( 'HKEY_USERS', '.DEFAULT\Software\Microsoft\Windows NT\CurrentVersion\Windows', 'Run');
DelWinlogonNotifyByKeyname('WLCtrl32');
DeleteFile('C:\WINDOWS\mmhren1.exe');
ExecuteSysClean;
RebootWindows(true);
end.[/code]
и сделайте новые логи.
21.02.2008, 18:51
carbon studio

Вложений: 2

Очень долго перезагружался компьютер,это нормально???
Вроде все так сделал!!!!
Спасибо вам!
21.02.2008, 19:12
Bratez

WLCtrl32 на месте, а руткит возродился с новым именем!
[b]Отключите восстановление системы![/b]
Это я проморгал, надо было раньше вам напомнить.

Выполните такой скрипт:
[code]
begin
RegKeyIntParamWrite('HKLM', 'SYSTEM\CurrentControlSet\Hardware Profiles\0001\System\CurrentControlSet\Enum\ROOT\LEGACY_Hmr73\0000', 'CSConfigFlags', '1');
BC_DeleteSvc('Hmr73');
BC_DeleteFile('C:\WINDOWS\System32\drivers\Hmr73.sys');
BC_DeleteFile('C:\WINDOWS\system32\WLCtrl32.dll');
BC_Activate;
RebootWindows(true);
end.[/code]
После него выбирайте через F8 загрузку в безопасный режим и выполняйте следующий:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\WINDOWS\system32\WLCtrl32.dll');
DeleteFile('C:\WINDOWS\system32\Drivers\Hmr73.sys');
DelWinlogonNotifyByKeyname('WLCtrl32');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]
Затем делайте новые логи, надеюсь на этот раз победим.
21.02.2008, 19:20
carbon studio

А как отключить восстановление системы???
21.02.2008, 19:22
Bratez

Панель управления - Система - вкладка Восстанволение системы
21.02.2008, 19:44
carbon studio

Вложений: 2

Надеюсь,что получилось!!
И надо потом,включать восстановление системы???
21.02.2008, 20:40
carbon studio

Жду,что же делать дальше??? наша взяла??
21.02.2008, 21:15
V_Bond

все на месте ....
отключитесь от интернет ... отключите антивирус ...
выполните скрипт ...
[code]
begin
RegKeyIntParamWrite('HKLM', 'SYSTEM\CurrentControlSet\Hardware Profiles\0001\System\CurrentControlSet\Enum\ROOT\LEGACY_Oty27\0000', 'CSConfigFlags', '1');
BC_DeleteSvc('Oty27');
BC_DeleteFile('C:\WINDOWS\System32\drivers\Oty27.sys');
DeleteFile('C:\WINDOWS\system32\WLCtrl32.dll');
DeleteFile('C:\WINDOWS\mmhren1.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
повторите логи ....
22.02.2008, 12:08
carbon studio

Вложений: 2

Добрый день! Спасибо за ответ! Все сделал!
22.02.2008, 12:12
PavelA

профиксить в Хиджаке:
[CODE]
O20 - Winlogon Notify: WLCtrl32 - WLCtrl32.dll (file missing)[/CODE]

Не забывать обновлять базы антивируса, а лучше обновить версию.
22.02.2008, 12:15
carbon studio

оооо черт!!! Это как??)) Глуповат я в этом!
22.02.2008, 12:22
PavelA

В Hijackthis сначала "Scan". Когда появиться список на этой строчке ставишь галочку и нажимаешь внизу кнопочку "fix".

После этого новый лог Хиджака присылаешь сюда.
22.02.2008, 12:41
carbon studio

Вложений: 1

Ок сделал,появилась новая папка!
22.02.2008, 12:51
PavelA

Теперь чисто.
22.02.2008, 12:56
carbon studio

Спасибо вам за помощь!!!! И последний вопрос:
У меня осталось еще куча вирусов, которые я не могу удалить, подскажите, какую прогу приобрести?? Видимо Касперский мой, совершенно устарел, а базы у меня обновляются на автомате!

Еще раз, спасибо за помощь!
С уважением,
carbon studio
22.02.2008, 13:01
PavelA

Если не особо хочется менять, то новую версию Касперского 7-ю

Да, еще папку Quarantine у AVZ надо почистить, на всякий случай.
22.02.2008, 13:08
carbon studio

Ок, и хотел спросить,я в процессе выключал систему восстановления, ее надо включать??
22.02.2008, 14:10
pig

Да, теперь можно.
22.02.2009, 04:06
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]5[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\windows\\system32\\wlctrl32.dll - [B]Trojan.Win32.Small.agv[/B] (DrWEB: BackDoor.Bulknet.157)[/LIST][/LIST]