очередной "больной" с троянами

Printable View

07.04.2008, 20:34
M.Hamster

Вложений: 2

очередной "больной" с троянами

Принесли ноутбук.
Похоже, что много всякого разного нацепляли.

Симптомы:
- весьма длительная загрузка (более 7 минут)
- общая "тормознутость" системы
- появление всевозможного мусора в системных папках и на рабочем столе ("file.exe", "zzxbkb.tmp" и т.п.)
- блокировка панели управления и диспетчера задач
- периодически вылезает довольно симпатичное окно с предложением установить "ultimate Defender" "ultimate cleaner" и что-то там еще. Причем не поленились нарисовать иконки и выполнить все в стиле микрософтовского центра управления безопасности. Первый раз такое вижу. Довольно забавно :-) .

Согласно правилам пытался запустить CureIT - блокируется.
При запуске [B]"Скрипт лечения/карантина и сбора информации для раздела "Помогите!" virusinfo.info"[/B] выбрасывает в BSoD.

Так что логи только по скрипту сбора информации и HiJackThis.

Надеюсь на вашу помощь.
07.04.2008, 20:53
V_Bond

[URL="http://mail.ustc.edu.cn/~jfpan/download/IceSword122en.zip"]скачайте [/URL]C:\WINDOWS\system32\WLCtrl32.dll, C:\WINDOWS\System32\Drivers\Wtk39.sys.C:\WINDOWS\System32\Drivers\Qwd63.sys ,C:\WINDOWS\system32\Drivers\Tkyt66.sys - force delete
выполните скрипт ...
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DelBHO('{F10587E9-0E47-4CBE-84AE-7DD20B8684BB}');
QuarantineFile('C:\Program Files\IE Extensions\cj.v2.dll','');
DelBHO('{8E1BFC0E-8AD2-424D-AC8A-06038481516E}');
DelBHO('{1DA68520-0AE3-4C6B-8F34-28FC3CA0EDC4}');
QuarantineFile('C:\WINDOWS\system32\xlibgfl254.dll','');
QuarantineFile('C:\WINDOWS\system32\wowfx.dll','');
QuarantineFile('C:\WINDOWS\system32\ntos.exe','');
QuarantineFile('C:\Documents and Settings\LocalService\cftmon.exe','');
QuarantineFile('C:\Documents and Settings\Constantin\cftmon.exe','');
BC_DeleteSvc('Qwd63');
QuarantineFile('C:\WINDOWS\System32\Drivers\Qwd63.sys','');
BC_DeleteSvc('Schedule');
BC_DeleteSvc('Google Online Services');
QuarantineFile('Wtk39.sys','');
QuarantineFile('C:\WINDOWS\system32\Drivers\Tkyt66.sys','');
QuarantineFile('C:\WINDOWS\system32\Drivers\Qwd63.sys','');
QuarantineFile('C:\WINDOWS\system32\yaywWQjg.dll','');
QuarantineFile('C:\WINDOWS\system32\xartcd5.dll','');
QuarantineFile('C:\WINDOWS\TEMP\BN4.tmp','');
QuarantineFile('C:\WINDOWS\system32\WLCtrl32.dll','');
QuarantineFile('C:\WINDOWS\system32\fccyvVoL.dll','');
QuarantineFile('C:\WINDOWS\system32\drivers\spools.exe','');
QuarantineFile('C:\WINDOWS\Installer\{afd6d8e9-2607-44dc-af41-04464e219339}\RunOnceAvp.dll','');
QuarantineFile('C:\WINDOWS\Installer\{8f200620-9bdd-48f4-9fb6-53abb00f8173}\UnknownSrv.dll','');
QuarantineFile('C:\WINDOWS\Installer\{35dc35d5-c336-498c-86de-c1b017de3756}\zip.dll','');
QuarantineFile('c:\windows\system32\tpkmpsvc.exe','');
QuarantineFile('c:\windows\system32\drivers\spools.exe','');
QuarantineFile('c:\documents and settings\constantin\ie_updates3r.exe','');
QuarantineFile('c:\windows\temp\bn4.tmp','');
DeleteFile('c:\windows\temp\bn4.tmp');
DeleteFile('c:\documents and settings\constantin\ie_updates3r.exe');
DeleteFile('c:\windows\system32\drivers\spools.exe');
DeleteFile('C:\WINDOWS\system32\drivers\spools.exe');
DeleteFile('C:\WINDOWS\system32\fccyvVoL.dll');
DeleteFile('C:\WINDOWS\system32\WLCtrl32.dll');
DeleteFile('C:\WINDOWS\system32\xartcd5.dll');
DeleteFile('C:\WINDOWS\system32\yaywWQjg.dll');
DeleteFile('C:\WINDOWS\system32\Drivers\Qwd63.sys');
DeleteFile('C:\WINDOWS\system32\Drivers\Tkyt66.sys');
DeleteFile('Wtk39.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Qwd63.sys');
DeleteFile('C:\Documents and Settings\Constantin\cftmon.exe');
DeleteFile('C:\Documents and Settings\LocalService\cftmon.exe');
DeleteFile('C:\WINDOWS\system32\ntos.exe');
DeleteFile('C:\WINDOWS\system32\wowfx.dll');
DeleteFile('C:\WINDOWS\system32\xlibgfl254.dll');
DeleteFile('WLCtrl32.dll');
DeleteFile('yaywWQjg.dll');
DeleteFile('xartcd5.dll');
DeleteFile('C:\Program Files\IE Extensions\cj.v2.dll');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
пришлите карантин согласно приложения 3 правил ....
повторите логи ...
АВЗ- Мастер поиска и устранения проблем - выбрать все проблемы устранить ...
07.04.2008, 21:35
M.Hamster

файлы удалил, но при выполнении скрипта система вывалилась в BSoD (в журнале по этому поводу ничего не осталось).
07.04.2008, 21:36
Гриша

Повторите логи,посмотрим что там.
07.04.2008, 21:43
M.Hamster

Вложений: 2

[quote=Гриша;212351]Повторите логи,посмотрим что там.[/quote]

окей. Повторяю.
07.04.2008, 21:49
V_Bond

выполните скрипт ...
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DelBHO('{F10587E9-0E47-4CBE-84AE-7DD20B8684BB}');
DelBHO('{8E1BFC0E-8AD2-424D-AC8A-06038481516E}');
DelBHO('{0BB37543-FCCC-4D1A-8006-4720B01DA31F}');
BC_DeleteSvc('Wtk39');
QuarantineFile('Wtk39.sys','');
BC_DeleteSvc('Qwd63');
QuarantineFile('C:\WINDOWS\System32\Drivers\Qwd63.sys','');
BC_DeleteSvc('Schedule');
QuarantineFile('C:\WINDOWS\system32\drivers\spools.exe','');
BC_DeleteSvc('Google Online Services');
QuarantineFile('C:\Documents and Settings\Constantin\ie_updates3r.exe','');
QuarantineFile('C:\WINDOWS\system32\yaywWQjg.dll','');
QuarantineFile('C:\WINDOWS\system32\xartcd5.dll','');
QuarantineFile('C:\WINDOWS\system32\fccyvVoL.dll','');
QuarantineFile('C:\WINDOWS\Installer\{afd6d8e9-2607-44dc-af41-04464e219339}\RunOnceAvp.dll','');
QuarantineFile('C:\WINDOWS\Installer\{8f200620-9bdd-48f4-9fb6-53abb00f8173}\UnknownSrv.dll','');
QuarantineFile('C:\WINDOWS\Installer\{35dc35d5-c336-498c-86de-c1b017de3756}\zip.dll','');
QuarantineFile('C:\Program Files\IE Extensions\cj.v2.dll','');
QuarantineFile('C:\Documents and Settings\LocalService\cftmon.exe','');
QuarantineFile('c:\windows\system32\tpkmpsvc.exe','');
QuarantineFile('c:\documents and settings\localservice\cftmon.exe','');
DeleteFile('c:\documents and settings\localservice\cftmon.exe');
DeleteFile('C:\Documents and Settings\LocalService\cftmon.exe');
DeleteFile('C:\Program Files\IE Extensions\cj.v2.dll');
DeleteFile('C:\WINDOWS\system32\fccyvVoL.dll');
DeleteFile('C:\WINDOWS\system32\xartcd5.dll');
DeleteFile('C:\WINDOWS\system32\yaywWQjg.dll');
DeleteFile('C:\Documents and Settings\Constantin\ie_updates3r.exe');
DeleteFile('C:\WINDOWS\system32\drivers\spools.exe');
DeleteFile('C:\WINDOWS\System32\Drivers\Qwd63.sys');
DeleteFile('Wtk39.sys');
DeleteFile('C:\Documents and Settings\Constantin\cftmon.exe');
DeleteFile('C:\WINDOWS\system32\ntos.exe');
DeleteFile('C:\WINDOWS\system32\xlibgfl254.dll');
DeleteFile('WLCtrl32.dll');
DeleteFile('xartcd5.dll');
DeleteFile('yaywWQjg.dll');
BC_ImportDeletedList;
ExecuteRepair(1);
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
пришлите карантин согласно приложения 3 правил ....
повторите логи ...
07.04.2008, 22:04
M.Hamster

Вложений: 2

карантин выслал.

логи повторяю.
07.04.2008, 22:23
wise-wistful

1.[url=http://virusinfo.info/showthread.php?t=7239]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".[/url]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
ClearQuarantine;
QuarantineFile('E:\autorun.inf','');
DelBHO('{8E1BFC0E-8AD2-424D-AC8A-06038481516E}');
DelBHO('{0BB37543-FCCC-4D1A-8006-4720B01DA31F}');
DeleteFile('C:\WINDOWS\Installer\{afd6d8e9-2607-44dc-af41-04464e219339}\RunOnceAvp.dll');
DeleteFile('C:\WINDOWS\Installer\{35dc35d5-c336-498c-86de-c1b017de3756}\zip.dll');
DeleteFile('C:\WINDOWS\Installer\{8f200620-9bdd-48f4-9fb6-53abb00f8173}\UnknownSrv.dll');
DeleteFile('C:\WINDOWS\system32\fccyvVoL.dll');
DeleteFile('C:\WINDOWS\system32\yaywWQjg.dll');
DeleteFile('wowfx.dll');
DeleteFile('xlibgfl254.dll');
DeleteFile('C:\WINDOWS\system32\wowfx.dll');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]
После выполнения скрипта компьютер перезагрузится.
Прислать карантин согласно [b]приложения 3 [url=http://virusinfo.info/showthread.php?t=1235]правил [/url][/b].
Загружать по ссылке: [url]http://virusinfo.info/upload_virus.php?tid=21169[/url]

2.Пофиксить в HijackThis следующие строчки ( [url]http://virusinfo.info/showthread.php?t=4491[/url] )
[CODE]O20 - Winlogon Notify: partnershipreg - C:\WINDOWS\
O20 - Winlogon Notify: WLCtrl32 - C:\WINDOWS\
O20 - Winlogon Notify: xartcd5 - C:\WINDOWS\
O20 - Winlogon Notify: yaywWQjg - C:\WINDOWS\ [/CODE]

Повторите логи.
07.04.2008, 22:25
V_Bond

C:\WINDOWS\Installer\{35dc35d5-c336-498c-86de-c1b017de3756}\zip.dll Trojan-Dropper.Win32.Agent.gfy
C:\WINDOWS\Installer\{8f200620-9bdd-48f4-9fb6-53abb00f8173}\UnknownSrv.dll Trojan-Downloader.Win32.Agent.lsw
c:\windows\installer\{afd6d8e9-2607-44dc-af41-04464e219339}\runonceavp.dll Trojan-Downloader.Win32.Small.iuq
пофиксите ..
[code]
O2 - BHO: (no name) - {0BB37543-FCCC-4D1A-8006-4720B01DA31F} - C:\WINDOWS\system32\fccyvVoL.dll (file missing)
O2 - BHO: (no name) - {8E1BFC0E-8AD2-424D-AC8A-06038481516E} - C:\WINDOWS\system32\yaywWQjg.dll (file missing)
O2 - BHO: iSecurity - {A8311E8F-E459-4D22-89B4-CB9DCF10A425} - (no file)
O20 - AppInit_DLLs: C:\WINDOWS\system32\wowfx.dll
O21 - SSODL: zip - {35dc35d5-c336-498c-86de-c1b017de3756} - C:\WINDOWS\Installer\{35dc35d5-c336-498c-86de-c1b017de3756}\zip.dll
[/code]
07.04.2008, 22:29
wise-wistful

По карантину fccyvVoL.dll - [b]Packed.Win32.Monder[/b], C:\WINDOWS\system32\drivers\spools.exe - [b]Worm.Win32.Socks.au[/b], C:\Documents and Settings\LocalService\cftmon.exe - [b]Worm.Win32.Socks.au[/b], yaywWQjg.dll - [b]not-a-virus:AdWare.Win32.Virtumonde.mxj[/b], cj.v2.dll - [b]Trojan-Clicker.Win32.Agent.xs[/b], UnknownSrv.dll - [b]Trojan-Downloader.Win32.Agent.lsw[/b], runonceavp.dll - [b]Trojan-Downloader.Win32.Small.iuq[/b] , ie_updates3r.exe - [b]Trojan-Downloader.Win32.Winlagons.bs[/b], zip.dll - [b]Trojan-Dropper.Win32.Agent.qfy[/b], xartcd5.dll - [b]Trojan-Spy.Win32.Goldun.ma[/b], по btkeyind.dll и tpkmpsvc.exe - подождём ответа аналитиков.
07.04.2008, 22:52
M.Hamster

Выполнил все рекомендации и скрипт.

Логи повторяю.

(карантин выслал только потому что так было сказано - по сути там только inf-файлы)
07.04.2008, 22:57
wise-wistful

Интересовал E:\autorun.inf. Он для установки беспроводной связи, насколько я понял.
07.04.2008, 23:29
M.Hamster

Вложений: 2

еще пока не все... :(

Все еще очень долго грузится (промежуток между вводом пароля и загрузкой explorer'а около 2-3 минут).

вылезает окно с предложением установить "защитный софт".

повторяю логи...
07.04.2008, 23:36
M.Hamster

попробовал поставить Касперского. Не получилось.
При первом запуске, как обычно, вылезает мастер для установки ключа, но в окне программы не видны радио-баттоны вместе с подписями и не работают кнопки, которых также не видно.
07.04.2008, 23:47
V_Bond

выполните скрипт ...
[code]
begin
QuarantineFile('C:\WINDOWS\system32\tp4ex.exe','');
QuarantineFile('C:\Program Files\Norton AntiVirus\NavShExt.dll','');
BC_ImportQuarantineList;
BC_Activate;
RebootWindows(true);
end.
[/code]
пришлите карантин согласно приложения 3 правил ....
08.04.2008, 00:21
M.Hamster

папки [CODE]'C:\Program Files\Norton AntiVirus\NavShExt.dll'[/CODE] не существует.
второй файл высылаю, но это не вирус - это айбиэмовский софт для трэкбола.

Кстати, бывали ли преценденты, когда вирус полностью выносил папку с Нортоном? У меня, похоже, это произошло.

После пары перезагрузок Касперский все-таки встал. Поросячий визг сразу наполнил кабинет. Сейчас запущу сканирование всей машины.

В остальном все вроде нормально смущает только странная трехминутная пауза при загрузке машины. Буду разбираться с этим завтра (итак уже засиделся).

[B]Огромное спасибо всем за помощь.[/B]

Уже который раз выручаете. Придется проставляться пивом/соком :)

[size="1"][color="#666686"][B][I]Добавлено через 11 минут[/I][/B][/color][/size]

решил почистить остатки от Нортона полез на сайт за ремувером и ... оказалось, что что-то блокирует доступ на сайт [URL="http://www.symantec.com"]www.symantec.com[/URL]

Пытаюсь разобраться.
08.04.2008, 00:24
V_Bond

выполните скрипт ...
[code]
begin
ClearHostsFile;
RebootWindows(true);
end.
[/code]
08.04.2008, 00:38
M.Hamster

ага. Уже нашел. Спасибо.
08.04.2008, 17:37
M.Hamster

При проверке дисков Касперский нашел еще кучу мусора, но ничего крмминального. Похоже, что теперь все чисто.Хозяин ноута говорит, что задержка при загрузке имела место быть уже очень давно, так что вряд ли это имеет отношение к вирусам.Еще раз огромное спасибо!
08.04.2008, 17:39
Гриша

Нам интересно[URL="http://virusinfo.info/showthread.php?t=19883"] Ваше мнение [/URL]о нашем ресурсе. Будем очень благодарны за отзыв, он может помочь нам улучшить ресурс.

Советуем прочитать [URL="http://security-advisory.virusinfo.info/"]электронную книгу[/URL] "Безопасный Интернет. Универсальная защита для Windows ME - Vista".
22.02.2009, 04:48
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]3[/B][*]Обработано файлов: [B]16[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\documents and settings\\constantin\\ie_updates3r.exe - [B]Trojan-Downloader.Win32.Winlagons.bs[/B] (DrWEB: Trojan.DownLoader.based)[*] c:\\documents and settings\\localservice\\cftmon.exe - [B]Worm.Win32.Socks.au[/B] (DrWEB: Trojan.DownLoader.56630)[*] c:\\program files\\ie extensions\\cj.v2.dll - [B]Trojan.Win32.Emgr.b[/B] (DrWEB: Trojan.Click.18123)[*] c:\\windows\\installer\\{afd6d8e9-2607-44dc-af41-04464e219339}\\runonceavp.dll - [B]Trojan-Downloader.Win32.Small.iuq[/B] (DrWEB: Trojan.MulDrop.12057)[*] c:\\windows\\installer\\{35dc35d5-c336-498c-86de-c1b017de3756}\\zip.dll - [B]Trojan-Dropper.Win32.Agent.qfy[/B] (DrWEB: Trojan.MulDrop.14031)[*] c:\\windows\\installer\\{8f200620-9bdd-48f4-9fb6-53abb00f8173}\\unknownsrv.dll - [B]Trojan-Downloader.Win32.Agent.lsw[/B] (DrWEB: Trojan.Click.18023)[*] c:\\windows\\system32\\drivers\\spools.exe - [B]Worm.Win32.Socks.au[/B] (DrWEB: Trojan.DownLoader.56630)[*] c:\\windows\\system32\\fccyvvol.dll - [B]Trojan.Win32.Monder.gen[/B] (DrWEB: Trojan.Virtumod.347)[*] c:\\windows\\system32\\xartcd5.dll - [B]Trojan-Spy.Win32.Goldun.ma[/B] (DrWEB: Trojan.PWS.GoldSpy)[*] c:\\windows\\system32\\yaywwqjg.dll - [B]not-a-virus:AdWare.Win32.Virtumonde.mxj[/B] (DrWEB: Trojan.Virtumod.287)[/LIST][/LIST]