Pandex или Backdoor троян или ваще все что угодно

Printable View

08.04.2008, 11:52
Reef

Вложений: 3

Pandex или Backdoor троян или ваще все что угодно

Здраствуйте, обращаюсь к вам в первый раз.

Суть проблемы, на компе с вин2К, втянутый в домен, и с корпоративным самантеком, появились по жалобам пользователя всякие глюки. Каждые несколько минут возникало сообщение самантека на инфецированный файл, которого на самом деле не существовало, при этом он ругался то на Пандекс, троян, то потом на Бакдоор, в процессе получения логов, стал ругатся еще на что-то. Что характерно сразу после загрузки винды, курсор мыши начинал постоянно и неприятно мигать курсосом с песочными часами.
Все нужные файлы прилагаются. Очень прошу помочь, ибо саматек пробему не решает, а утилита доктор веба, даже не запускается.
08.04.2008, 12:00
PavelA

Для статистики сообщите: версия Симантека программы и сканера, а также версия баз.
08.04.2008, 12:29
kps

У Вас версия AVZ 4.29 - старая, скачайте новую 4.30. Отключите восстановление системы, как написано в правилах. Отключите антивирус перед выполнением скрипта.

[url=http://virusinfo.info/showthread.php?t=7239]Выполните скрипт в AVZ[/url]:
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINNT\system32\yofv232.exe','');
QuarantineFile('c:\program files\internet explorer\iexplore.exe','');
QuarantineFile('C:\WINNT\system32\WLCtrl32.dll','');
QuarantineFile('WLCtrl32.dll','');
QuarantineFile('C:\WINNT\aromis.exe','');
QuarantineFile('C:\WINNT\TEMP\27C4.tmp.exe','');
QuarantineFile('C:\S87ekhV.exe','');
QuarantineFile('C:\Documents and Settings\Администратор\cftmon.exe','');
QuarantineFile('C:\Documents and Settings\Default User\cftmon.exe','');
QuarantineFile('C:\WINNT\System32\Drivers\Oyt60.sys','');
QuarantineFile('C:\WINNT\System32\Drivers\Dnd22.sys','');
QuarantineFile('C:\Documents and Settings\emitichkina.CAMPUS.001\ie_updates3r.exe','');
QuarantineFile('C:\WINNT\system32\wjcstd32.dll','');
QuarantineFile('C:\WINNT\system32\drivers\spools.exe','');
QuarantineFile('C:\Documents and Settings\All Users\Документы\Settings\partnership.dll','');
QuarantineFile('c:\autoex.dll','');
QuarantineFile('c:\winnt\system32\drivers\spools.exe','');
DeleteFile('c:\autoex.dll');
DeleteFile('C:\Documents and Settings\All Users\Документы\Settings\partnership.dll');
DeleteFile('C:\WINNT\system32\wjcstd32.dll');
DeleteFile('C:\Documents and Settings\emitichkina.CAMPUS.001\ie_updates3r.exe');
DeleteFile('C:\WINNT\System32\Drivers\Dnd22.sys');
DeleteFile('C:\WINNT\System32\Drivers\Oyt60.sys');
DeleteFile('C:\S87ekhV.exe');
DeleteFile('C:\WINNT\TEMP\27C4.tmp.exe');
DeleteFile('C:\WINNT\aromis.exe');
DeleteFile('WLCtrl32.dll');
DeleteFile('C:\WINNT\System32\WLCtrl32.dll');
DeleteFile('C:\WINNT\system32\drivers\spools.exe');
DelBHO('{F2F2A4CB-DAAD-4D0C-BDFC-E945647202C2}');
DelBHO('{3348D07C-7C5C-D2C4-CFBA-A47F82347C8B}');
BC_ImportALL;
ExecuteSysClean;
BC_DeleteSvc('Oyt60');
BC_DeleteSvc('Dnd22');
BC_DeleteSvc('Schedule');
BC_DeleteSvc('Google Online Services');
BC_Activate;
RebootWindows(true);
end.[/code]

Компьютер перезагрузится.

Пришлите карантин согласно приложению №3 [url=http://virusinfo.info/showthread.php?t=1235]правил[/url] (загружать здесь: [url]http://virusinfo.info/upload_virus.php?tid=21195[/url] ).

AVZ => Файл => Мастер поиска и устранения проблем. Категория проблемы - поставьте "Системные проблемы", степень опасности - "Все проблемы". Нажмите "Пуск". Всё найденное следует пометить и пофиксить. Данную операцию повторить для категории "Настройки и твики браузера".

Сделайте новые логи.
08.04.2008, 12:46
Reef

[quote=PavelA;212587]Для статистики сообщите: версия Симантека программы и сканера, а также версия баз. [/quote]

версия самантека Full version 10.1.5.5000
сканера 71.4.0.15
баз 07.04.2008 rev 2

[quote=kps;212587]Отключите восстановление системы, как написано в правилах.[/quote]

у вас в факе написанно про ХП, МЕ. По 2К, нету, а там механизм судя по всему отличается от выше перечисленных.
08.04.2008, 13:05
kps

Отключите антивирус, выполните скрипт выше в новой версии AVZ 4.30 (если еще не выполнили) и пришлите карантин.
08.04.2008, 13:06
Bratez

Для Win2k отключение восстановления системы не предусмотрено - пропустите этот шаг.
08.04.2008, 13:25
PavelA

Ядро Симантека только старое, а так все актуальное. Не должен он такое пропускать, видать Ваши системщики плоховато его настроили.
08.04.2008, 13:25
Reef

эээ, после выполнения скрипта, и перезагрузки, у меня теперь вобще никакие приложения не открываются, в том числе и AVZ. Только эксплорер стартует, на все остальное ругается, что не может найти файл, который я собно запускаю
08.04.2008, 13:39
Bratez

Скопируйте нижеприведенный код в текстовый файл с расширением .inf
[code][Version]
Signature="$Chicago$"
Provider=Symantec

[DefaultInstall]
AddReg=UnhookRegKey

[UnhookRegKey]
HKLM, Software\CLASSES\batfile\shell\open\command,,,"""%1"" %*"
HKLM, Software\CLASSES\comfile\shell\open\command,,,"""%1"" %*"
HKLM, Software\CLASSES\exefile\shell\open\command,,,"""%1"" %*"
HKLM, Software\CLASSES\piffile\shell\open\command,,,"""%1"" %*"
HKLM, Software\CLASSES\regfile\shell\open\command,,,"regedit.exe "%1""
HKLM, Software\CLASSES\scrfile\shell\open\command,,,"""%1"" %*"
HKCU, Software\Microsoft\Windows\CurrentVersion\Policies\System,DisableRegistryTools,0x00000020,0
[/code]
На больной машине нажмите этот файл правой кнопкой и выберите "Установить".
Запуск программ должен нормализоваться.
08.04.2008, 14:22
Reef

Ок, карантин загрузил, сейчас сделаю новые логи
08.04.2008, 15:03
Reef

Вложений: 3

Вот новые.
При работе их получения, самантек выругался один раз на бекдор
08.04.2008, 15:34
kps

Из Вашего карантина -
C:\WINNT\system32\yofv232.exe - [b]Trojan.Win32.BHO.bgf[/b]
C:\WINNT\system32\WLCtrl32.dll - [b]Trojan-Downloader.Win32.Mutant.ci[/b]
C:\WINNT\aromis.exe - [b]Email-Worm.Win32.Zhelatin.ww[/b]
C:\Documents and Settings\Администратор\cftmon.exe - [b]Worm.Win32.Socks.au[/b]
C:\Documents and Settings\Default User\cftmon.exe - [b]Worm.Win32.Socks.au[/b]
C:\WINNT\system32\wjcstd32.dll - [b]Trojan.Win32.BHO.bgf[/b]
C:\WINNT\system32\drivers\spools.exe - [b]Worm.Win32.Socks.au[/b]
C:\Documents and Settings\All Users\Документы\Settings\partnership.dll - [b]Trojan-Proxy.Win32.Xorpix.ds[/b]
c:\autoex.dll - [b]not-a-virus:AdWare.Win32.BHO.ajq[/b]
Большинство удалено, что осталось удалим, но сначала проверим еще кое-что, а после того как пришлете еще один карантин, удалим всю оставшуюся гадость сразу.

Отключите антивирус.
[url=http://virusinfo.info/showthread.php?t=7239]Выполните скрипт в AVZ[/url]:
[code]begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINNT\Installer\{ECE0113B-23D0-4DD8-89E6-D2F026CABF03}\ACDSeeDesktopShortcu_ECE0113B23D04DD889E6D2F026CABF03.exe','');
QuarantineFile('C:\WINNT\Installer\240fb.msi','');
QuarantineFile('C:\WINNT\msiutil.exe','');
QuarantineFile('sglfb.sys','');
QuarantineFile('deckzpsx.sys','');
QuarantineFile('C:\WINNT\system32\msdvdr.pif','');
QuarantineFile('C:\Documents and Settings\emitichkina.CAMPUS.001\cftmon.exe','');
BC_ImportQuarantineList;
BC_Activate;
RebootWindows(true);
end.[/code]

Компьютер перезагрузится.

Пришлите карантин согласно приложению №3 [url=http://virusinfo.info/showthread.php?t=1235]правил[/url] (загружать здесь: [url]http://virusinfo.info/upload_virus.php?tid=21195[/url] ).
08.04.2008, 16:18
Reef

Спасибо ребят! Рабочий день уже кончается, тогда уж завтра добью заразу =)
Всем ОГРОМНОЕ спасибо за участие.
08.04.2008, 16:21
kps

Только сами лучше не добивайте, а с помощью наших скриптов (когда пришлете карантин после скрипта из поста номер 12 - я напишу скрипт для удаления оставшейся заразы).
09.04.2008, 13:22
Reef

Выполнил скрипт-отправил карантин. Самантек все еще ругается на какие-то вирусы, говоря, что все удалил.
09.04.2008, 13:53
kps

Отключите антивирус.
[url=http://virusinfo.info/showthread.php?t=7239]Выполните скрипт в AVZ[/url]:
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('c:\docume~1\emitic~1.001\locals~1\temp\1db9.tmp');
DeleteFile('c:\documents and settings\emitichkina.campus.001\cftmon.exe');
DeleteFile('C:\WINNT\system32\msdvdr.pif');
DeleteFile('C:\WINNT\system32\msdvdr.sys');
DeleteFile('C:\Documents and Settings\Default User\cftmon.exe');
DeleteFile('C:\Documents and Settings\Администратор\cftmon.exe');
DeleteFile('C:\WINNT\system32\drivers\spools.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_DeleteSvc('msdvdDrv');
BC_Activate;
ExecuteRepair(1);
RebootWindows(true);
end.[/code]

Компьютер перезагрузится.
Сделайте новые логи.
09.04.2008, 17:28
Reef

Вложений: 2

Не могу выложить третий логк, ибо утилита HijackThis перестала запускаться.
09.04.2008, 17:51
kps

Неудивительно, что не запускается, у Вас столько гадости наплодилось.

AVZ => Файл => Мастер поиска и устранения проблем. Категория проблемы - поставьте "Системные проблемы", степень опасности - "Все проблемы". Нажмите "Пуск". Всё найденное следует пометить и пофиксить. Данную операцию повторить для категории "Настройки и твики браузера".

Отключите антивирус, очистите временные папки Temp и кеш интернета.
Затем [url=http://virusinfo.info/showthread.php?t=7239]выполните скрипт в AVZ[/url]:
[code]begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('R:\autorun.inf','');
QuarantineFile('C:\WINNT\system32\kwpm.dll','');
QuarantineFile('C:\WINNT\system32\624855\624855.dll','');
QuarantineFile('C:\WINNT\system32\ccmsetup\ccmsetup.exe','');
QuarantineFile('C:\WINNT\winself.exe','');
QuarantineFile('C:\WINNT\system32\wmsdkns.exe','');
QuarantineFile('C:\WINNT\system32\ddacfcedbfd.dll','');
QuarantineFile('c:\winnt\system32\wmsdkns.exe','');
QuarantineFile('c:\winnt\winself.exe','');
DeleteFile('C:\WINNT\msiutil.exe');
DeleteFile('C:\WINNT\system32\ddacfcedbfd.dll');
DeleteFile('C:\WINNT\system32\wmsdkns.exe');
DeleteFile('C:\WINNT\winself.exe');
DeleteFile('Rrw54.sys');
DeleteFile('C:\WINNT\system32\DRIVERS\Rrw54.sys');
DeleteFile('C:\DOCUME~1\EMITIC~1.001\LOCALS~1\Temp\load2.exe');
DeleteFile('WLCtrl32.dll');
DeleteFile('C:\WINNT\system32\WLCtrl32.dll');
DeleteFile('C:\WINNT\system32\624855\624855.dll');
DeleteFile('C:\WINNT\system32\kwpm.dll');
DeleteFile('C:\WINNT\system32\yofv232.exe');
DelBHO('{ffff0001-0002-101a-a3c9-08002b2f49fb}');
DelBHO('{fc3a74e5-f281-4f10-ae1e-733078684f3c}');
DelBHO('{cf021f40-3e14-23a5-cba2-717765728274}');
DelBHO('{9c5b2f29-1f46-4639-a6b4-828942301d3e}');
DelBHO('{965a592f-8efa-4250-8630-7960230792f1}');
DelBHO('{8674aea0-9d3d-11d9-99dc-00600f9a01f1}');
DelBHO('{622cc208-b014-4fe0-801b-874a5e5e403a}');
DelBHO('{5fa6752a-c4a0-4222-88c2-928ae5ab4966}');
DelBHO('{5dafd089-24b1-4c5e-bd42-8ca72550717b}');
DelBHO('{5929cd6e-2062-44a4-b2c5-2c7e78fbab38}');
DelBHO('{4e7bd74f-2b8d-469e-92c6-ce7eb590a94d}');
DelBHO('{4e1075f4-eec4-4a86-add7-cd5f52858c31}');
DelBHO('{15651c7c-e812-44a2-a9ac-b467a2233e7d}');
DelBHO('{13197ace-6851-45c3-a7ff-c281324d5489}');
DelBHO('{0E9A703A-D3D3-4663-9DDB-8558A4EB46AB}');
DelBHO('{03C59006-FF31-11DC-A920-7C3956D89593}');
DelBHO('{00000250-0320-4dd4-be4f-7566d2314352}');
BC_ImportALL;
ExecuteSysClean;
BC_DeleteSvc('Rrw54');
BC_DeleteSvc('MSSysInterv');
BC_Activate;
RebootWindows(true);
end.[/code]

Компьютер перезагрузится.

Пришлите карантин согласно приложению №3 [url=http://virusinfo.info/showthread.php?t=1235]правил[/url] (загружать здесь: [url]http://virusinfo.info/upload_virus.php?tid=21195[/url] ).

Сделайте новые логи.
10.04.2008, 11:13
Reef

Вложений: 3

Все сделал, отправил.
10.04.2008, 11:31
kps

Уже стало гораздо лучше.
[url=http://virusinfo.info/showthread.php?t=7239]Выполните скрипт в AVZ[/url]:
[code]begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINNT\Installer\240fb.msi','');
QuarantineFile('R:\media.exe','');
QuarantineFile('C:\WINNT\msiutil.exe','');
QuarantineFile('C:\Program Files\Winamp\winampa.exe','');
QuarantineFile('C:\DOCUME~1\EMITIC~1.001\LOCALS~1\Temp\7E8A.tmp.exe','');
QuarantineFile('C:\WINNT\System32\Drivers\Qlq00.sys','');
DeleteFile('C:\WINNT\System32\Drivers\Qlq00.sys');
DeleteFile('C:\DOCUME~1\EMITIC~1.001\LOCALS~1\Temp\7E8A.tmp.exe');
DeleteFile('C:\WINNT\msiutil.exe');
DelCLSID('Microsoft Windows Visual V2.0');
BC_ImportALL;
ExecuteSysClean;
BC_DeleteSvc('Qlq00');
BC_Activate;
RebootWindows(true);
end.[/code]

Компьютер перезагрузится.

Пришлите карантин.

[url=http://virusinfo.info/showthread.php?t=4491]Пофиксите в HijackThis[/url]:
[code]O20 - Winlogon Notify: partnershipreg - C:\WINNT\
O20 - Winlogon Notify: WLCtrl32 - C:\WINNT\[/code]

Сделайте новые логи.

Вот это Вам знакомо?
O17 - HKLM\System\CS2\Services\Tcpip\Parameters: Domain = campus.muh.ru
10.04.2008, 13:54
Reef

Вложений: 2

[quote=kps;213767]
Пришлите карантин.

[URL="http://virusinfo.info/showthread.php?t=4491"]Пофиксите в HijackThis[/URL]:
[code]O20 - Winlogon Notify: partnershipreg - C:\WINNT\
O20 - Winlogon Notify: WLCtrl32 - C:\WINNT\[/code]

Сделайте новые логи.
[/quote]

сделал

[quote=kps;213767]

Вот это Вам знакомо?
O17 - HKLM\System\CS2\Services\Tcpip\Parameters: Domain = campus.muh.ru[/quote]

ну конечно знакомо, это наш домен.
10.04.2008, 14:05
V_Bond

R:\media.exe TR/Agent.3584.178
выполните скрипт ...
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('R:\autorun.inf');
DeleteFile('R:\media.exe');
DeleteFile('C:\WINNT\msiutil.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
повторите логи ...
10.04.2008, 14:32
kps

И еще R:\ - это что, флешка? Если да, то выполняйте скрипт от [b]V_Bond[/b] при подключенной флешке.
10.04.2008, 16:25
Reef

Нет. R это сетевой диск
11.04.2008, 10:28
Reef

Вложений: 3

Сделал новые логи
11.04.2008, 10:33
V_Bond

авз - сервис - актив сетап - удалите C:\WINNT\msiutil.exe
насчет R:\ у вас нет прав на этот диск ... обращайтесь к админу ...
11.04.2008, 11:05
Reef

Сделал.
Насчет диска, то черт с ним. Там есть папки как с полным доступом, так и закрытыми вовсе. Так и задуманно.
Значит все? Наконец-то? :D
11.04.2008, 11:11
V_Bond

у вас все .... но зараза будет лезть из сети ...
22.02.2009, 04:48
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]4[/B][*]Обработано файлов: [B]24[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\autoex.dll - [B]not-a-virus:AdWare.Win32.BHO.ajq[/B] (DrWEB: Trojan.DownLoader.59758)[*] c:\\documents and settings\\all users\\документы\\settings\\partnership.dll - [B]Trojan-Proxy.Win32.Xorpix.ds[/B] (DrWEB: Trojan.Proxy.3093)[*] c:\\documents and settings\\default user\\cftmon.exe - [B]Worm.Win32.Socks.au[/B] (DrWEB: Trojan.DownLoader.56630)[*] c:\\documents and settings\\emitichkina.campus.001\\cftmon.exe - [B]Worm.Win32.Socks.au[/B] (DrWEB: Trojan.DownLoader.56630)[*] c:\\documents and settings\\администратор\\cftmon.exe - [B]Worm.Win32.Socks.au[/B] (DrWEB: Trojan.DownLoader.56630)[*] c:\\winnt\\aromis.exe - [B]Email-Worm.Win32.Zhelatin.ww[/B] (DrWEB: Trojan.Packed.426)[*] c:\\winnt\\msiutil.exe - [B]Trojan-Dropper.Win32.Agent.qik[/B] (DrWEB: Trojan.Msiutil)[*] c:\\winnt\\system32\\drivers\\spools.exe - [B]Worm.Win32.Socks.au[/B] (DrWEB: Trojan.DownLoader.56630)[*] c:\\winnt\\system32\\msdvdr.pif - [B]Backdoor.Win32.HacDef.torf[/B] (DrWEB: BackDoor.HackDef.526)[*] c:\\winnt\\system32\\wjcstd32.dll - [B]Trojan.Win32.BHO.bgf[/B] (DrWEB: Trojan.Mocalfost.37)[*] c:\\winnt\\system32\\wlctrl32.dll - [B]Trojan-Downloader.Win32.Mutant.ci[/B] (DrWEB: Trojan.DownLoader.54123)[*] c:\\winnt\\system32\\yofv232.exe - [B]Trojan.Win32.BHO.bgf[/B] (DrWEB: Trojan.Mocalfost.36)[*] r:\\media.exe - [B]Worm.Win32.Tiny.b[/B] (DrWEB: Win32.HLLW.Autoruner.1786)[/LIST][/LIST]