Подцепил трояна. Активно рассылает почту.

Здравствуйте!

пару недель сижу инфицированный.
Симптомы:[LIST][*]комп.начинает рассылать письма во все концы.[*]какой-то гад слушает tcp порты (все время разные) и по команде извне спамит[*]восстановление системы не отключается. Чекбокс серый. Видна часть надписи "(заблокировано группо"[*]CureIT ничего не нашел[*]логи прилагаю.[/LIST]все сделал по инструкции кроме:[LIST][*]не отключил восстановление системы (нет такой возможности)[*]в процессе проверки не смог отключить Norton Internet Security (не знаю как это сделать не удалив его)[/LIST]В качестве временной меры включил блокировку входящих TCP соединений. Неделю жил нормально, но вот вчера вирус опять активизировался (видимо, сидит в планировщике?). Разослал десяток писем и утих.


С уважением,

Выполните скрипт в AVZ:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\SYSTEM32\glmf.dll','');
BC_ImportQuarantineList;
BC_Activate;
RebootWindows(true);
end.[/code]
Компьютер перезагрузится.
Пришлите карантин согласно приложению 3 правил
(загружать тут: [url]http://virusinfo.info/upload_virus.php?tid=19575[/url]).

[quote=Bratez;200434]Выполните скрипт в AVZ:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\SYSTEM32\glmf.dll','');
BC_ImportQuarantineList;
BC_Activate;
RebootWindows(true);
end.[/code]Компьютер перезагрузится.
Пришлите карантин согласно приложению 3 правил
(загружать тут: [URL]http://virusinfo.info/upload_virus.php?tid=19575[/URL]).[/quote]

Bratez, все сделал как сказано.
Обратил внимание, что продолжают какие-то гады попытки законнектиться по TCP (приложение с моей стороны уже никакое не отвечает). Предположил, что ломятся на адрес/порт, который помнят.

Я перегрузил маршрутизатор, поменял IP-адрес на компе (раньше выдавался автоматом, теперь сделал статикой). Пока тишина.
В логах NIS обнаружил такую запись (создана 1.5 часа назад):
[B]Source: [/B]C:\WINDOWS\system32\drivers\vdizmza2.sys
[B]Risk category: [/B]Virus
[B]Overall Risk Impact: [/B]High
Click for more information about this risk : [URL="http://securityresponse.symantec.com/avcenter/cgi-bin/virauto.cgi?vid=25464"]Trojan Horse[/URL]
[B]Action taken: [/B]Blocked

Файла такого в директории уже нет.

Высылаю карантин согласно правил.

P.S. такая вот странная активность обнаружена после запуска Skype.
Details: Connection: 130.117.72.100: 12350.
from JHOMEV6V: 1191.
314 bytes sent.
209727 bytes received.
17.453 elapsed time.



В лог NIS записано минуту спустя:
Details: An instance of "C:\Program Files\Common Files\Symantec Shared\OPC\{31011D49-D90C-4da0-878B-78D28AD507AF}\SSAutoRN.exe" is preparing to access the Internet.


Что теперь нужно сделать?
Можно ли вернуть автоматическое получение ip-адреса?

Давайте подождём ответ вирлаба по поводу запрошенного файла. Вирустотал выдаёт такой результат:
[quote]Антивирус Версия Обновление Результат
[b]AntiVir[/b] 7.6.0.73 2008.03.11 [b]TR/Hijacker.Gen[/b]
[b]AVG[/b] 7.5.0.516 2008.03.11 [b]Downloader.Small.60.AO[/b]
[b]eSafe[/b] 7.0.15.0 2008.03.09 [b]suspicious Trojan/Worm[/b]
[b]Ikarus[/b] T3.1.1.20 2008.03.11 [b]Virus.Win32.Small.IKB[/b]
[b]Microsoft[/b] 1.3301 2008.03.10 [b]VirTool:Win32/Obfuscator.L[/b]
[b]Sophos[/b] 4.27.0 2008.03.11 [b]Sus/Behav-1021[/b]
[b]Webwasher-Gateway[/b] 6.6.2 2008.03.11 [b]Trojan.Hijacker.Gen[/b][/quote]

[quote=wise-wistful;200673]Давайте подождём ответ вирлаба по поводу запрошенного файла. Вирустотал выдаёт такой результат:[/quote]

прошу прощения.
Вернул автоматическое получение адреса и получил прежний адрес.
Открыл фильтр на входящие tcp соединения.
Тут же комп бросился рассылать письма.

Поэтому высылаю еще раз свежие логи AVZ и HijackThis.

В данный момент активно ломятся внешние хосты. Пока входящие TCP коннекты запрещены почта не отсылается. Как только порты открываю - начинается безобразие.

Пришлите по правилам файл:
C:\Temp\Downloads\MobileBalance\MobileBalance.exe

[quote=Bratez;200692]Пришлите по правилам файл:
C:\Temp\Downloads\MobileBalance\MobileBalance.exe[/quote]

Здравствуйте!

файл выложил по ссылке [URL]http://virusinfo.info/upload_virus.php?tid=19575[/URL]

Это программка мониторинга состояния счетов мобильных телефонов.
Программка куплена за деньги. В настоящий момент ходит на сайты:
- мегафона
- билайна
- точка.ру
- аллоинкогнито
- центробанка

в общем, там вряд ли что будет интересного.

glmf.dll - вирлаб дал ответ, что чистый.

[quote=wise-wistful;200717]glmf.dll - вирлаб дал ответ, что чистый.[/quote]

АГА, замечательно. Что делать дальше?
Последние логи 2-мя поставми выше

друзья!

есть шанс на спасение? Какие действия нужно выполнить?

Высылаю последние логи.

Здравствуйте!

пару недель сижу инфицированный.
Симптомы:[LIST][*]комп.начинает рассылать письма во все концы.[*]какой-то гад слушает tcp порты (все время разные) и по команде извне спамит[*]восстановление системы не отключается. Чекбокс серый. Видна часть надписи "(заблокировано группо"[*]CureIT ничего не нашел[*]логи прилагаю.[/LIST]все сделал по инструкции кроме:[LIST][*]не отключил восстановление системы, т.к. чекбокс отключения не кликабелен. Видна часть надписи "(заблокировано группо". Подскажите как это сделать?[*]в процессе проверки не смог отключить Norton Internet Security (не знаю как это сделать не удалив его)[/LIST]В качестве временной меры включил блокировку входящих TCP соединений. Неделю жил нормально, но вот вчера вирус опять активизировался. Разослал десяток писем и утих.

Вирлаб проверил некий файл glmf.dll и сказал, что он чист.

Подскажите, что нужно сделать?

заранее признателен,

зря темы плодите писали бы в той же ....
glmf.dll - не верю что чистый ....
плфиксите ( если что потом вернем)
[code]
O20 - Winlogon Notify: glmf - C:\WINDOWS\SYSTEM32\glmf.dll
[/code]
hijackthis повторите ....

[quote=V_Bond;201526]зря темы плодите писали бы в той же ....
glmf.dll - не верю что чистый ....
плфиксите ( если что потом вернем)
[code]
O20 - Winlogon Notify: glmf - C:\WINDOWS\SYSTEM32\glmf.dll
[/code]hijackthis повторите ....[/quote]

А что значит "пофиксите"?

лог высылаю.

[url]http://virusinfo.info/showthread.php?t=4491[/url]
стоит прочитать правила там много интеоресного написано ... и все вопросы исчезнут .... [url]http://virusinfo.info/showthread.php?t=1235[/url]

[quote=V_Bond;201702][URL]http://virusinfo.info/showthread.php?t=4491[/URL]
стоит прочитать правила там много интеоресного написано ... и все вопросы исчезнут .... [URL]http://virusinfo.info/showthread.php?t=1235[/URL][/quote]

Спасибо за ссылку на правила, еще раз перечитать было полезно (честно-говоря, за последние 5 дней перечитывал раз 30).

Для меня, как новичка, в Вашем посте было совсем не очевидно, что пофиксить нужно именно с помощью [B]HijackThis[/B].

Сделал, как Вы указали. Безобразия пока прекратились.
Выслать опять .dll-ку для исследования?

Лог прилагаю.

вышлите ...

[quote=V_Bond;201736]вышлите ...[/quote]

Закачал.
Название файла 080314_162711_virus_47daedaf39cc7.zip

Что нужно делать дальше?

выполните скрипт ....
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
DeleteFile('C:\WINDOWS\SYSTEM32\glmf.dll');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
повторите логи начиная с пункта 10 правил ...

[quote=V_Bond;202217]выполните скрипт ....
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
DeleteFile('C:\WINDOWS\SYSTEM32\glmf.dll');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]повторите логи начиная с пункта 10 правил ...[/quote]

скрипт выполнил.
логи высылаю.

Больше ничего подозрительного нет.
Проблема осталась?

[quote=Bratez;202308]Больше ничего подозрительного нет.
Проблема осталась?[/quote]

С этим разобрались спасибо!

Если успокоите насчет следующего, то вообще будем спать спокойно :).

Я поставил мониторинг входящих TCP соединений в NIS.
Лог показывает попытки входящего TCP соединения типа [B]2-х[/B] видов:
[B]1.[/B]
[code]Rule "Strange Inbound TCP connections" permitted (85.140.219.147,9744).
Inbound TCP connection.
Local address, service is (JHOMEV6V,9744).
Remote address, service is (85.140.219.147,1632).
Process name is "C:\Program Files\Skype\Phone\Skype.exe".[/code]Я вот думаю - ждать когда они дыру в скайпе пробьют? или что делать?
А может это и не скайп с моей стороны отвечает?
А если это скайп, то закрыть входящие на него можно, но как тогда мне на него будут звонить?
Попытки коннекта идут со следующих хостов на порт 9744:
83.167.116.160
195.218.134.114
159.93.43.57
66.110.125.145
195.26.18.1
85.140.219.147
87.228.0.247
83.167.116.146
64.145.169.130 (здесь почему-то лог показывает, что порт https)

[B]2.[/B]
[code]Rule "Strange Inbound TCP connections" permitted (83.99.191.27,22803).
Inbound TCP connection.
Local address, service is (JHOMEV6V,22803).
Remote address, service is (83.99.191.27,2750).
Process name is "N/A".[/code]Хосты следующие:
83.99.191.27 (порт 22803)
85.140.79.49 (порт 1433)
195.5.116.238 (порт 1080)
85.140.184.233
69.60.124.154 (порт 407)
61.59.159.143 (порты 3128, 2301, 1080)
89.19.165.215
118.168.165.212

Подскажите, пожалуйста, нужно что-то делать или нет?

Заранее признателен.

самое простое не пользоваться скайпом ... за все безплатное нужно платить ... скайп открывает кучу портов ... гоняет через вас левый трафик "слегка" используя в своих целях ваш канал ...

[quote=V_Bond;202511]самое простое не пользоваться скайпом ... за все безплатное нужно платить ... скайп открывает кучу портов ... гоняет через вас левый трафик "слегка" используя в своих целях ваш канал ...[/quote]


все, проблема с вирусом решена.

Всем огромное спасибо!

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]4[/B][*]Обработано файлов: [B]7[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\windows\\system32\\glmf.dll - [B]Trojan.Win32.Pakes.cjf[/B] (DrWEB: Trojan.Maby)[/LIST][/LIST]