braviax.exe + univrs32+ beep.sys

Printable View

09.04.2008, 16:05
aspu

braviax.exe + univrs32+ beep.sys

Вот такая гадость завелась. Как только не чистил все равно при загрузке в обычном режиме перезагружает комп и самовосстанавливается
09.04.2008, 16:12
wise-wistful

1.[url=http://virusinfo.info/showthread.php?t=7239]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".[/url]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
TerminateProcessByName('c:\windows\system32\braviax.exe');
QuarantineFile('C:\Program Files\Save\Save.exe','');
QuarantineFile('C:\WINDOWS\System32\system.exe','');
QuarantineFile('C:\WINDOWS\System32\iUB2WLi4.exe','');
QuarantineFile('gglib.exe','');
QuarantineFile('C:\WINDOWS\System32\heap32.exe','');
QuarantineFile('C:\WINDOWS\System32\univrs32.dat','');
QuarantineFile('c:\windows\system32\braviax.exe','');
DeleteFile('c:\windows\system32\braviax.exe');
DeleteFile('C:\WINDOWS\System32\univrs32.dat');
DeleteFile('C:\WINDOWS\System32\system.exe');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]
После выполнения скрипта компьютер перезагрузится.
Прислать карантин согласно [b]приложения 3 [url=http://virusinfo.info/showthread.php?t=1235]правил [/url][/b].
Загружать по ссылке: [url]http://virusinfo.info/upload_virus.php?tid=21280[/url]

Повторите логи.
09.04.2008, 16:19
aspu

После прогона скрипта перезагрузился и снова восстановился. Карантин выслал, сейчас повторю логи.
09.04.2008, 16:28
Rene-gad

[QUOTE=aspu;213464]После прогона скрипта перезагрузился и снова восстановился. [/QUOTE]Кто восстановился?
[QUOTE]Карантин выслал[/QUOTE]Решпект: 24 Мб :>
09.04.2008, 16:32
aspu

ой а я смотрю что-то долго заливается)))))) извиняюсь

Восстановился как минимум braviax и univrs
09.04.2008, 16:40
Rene-gad

[QUOTE=aspu;213469] извиняюсь[/QUOTE]
Да Вы тут ни при чем :)
[QUOTE=aspu;213469]Восстановился как минимум braviax и univrs[/QUOTE]
Повторите логи, плиз.
09.04.2008, 16:44
aspu

стандартный скрипт № 3 очень долго создается в данный момент жду его завершения
09.04.2008, 16:47
Rene-gad

еще вопрос: Вы CureIt от ДокторВеб, как в правилах написано, прогоняли?
09.04.2008, 16:53
aspu

да снимал винт прогонял на другом компе, потом вычищал все упоминания braviax из реестра и все равно при загрузке он восстанавливается

[size="1"][color="#666686"][B][I]Добавлено через 3 минуты[/I][/B][/color][/size]

только не куритом а самим дрвебом со свежими обновлениями но думаю это непринципиально
09.04.2008, 16:53
Rene-gad

[QUOTE=aspu;213482]да снимал винт прогонял на другом компе[/QUOTE]
Попробуйте на этом же компе заменить файл C:\WINDOWS\System3\winlogon.exe на оригинальный. Он находится либо в папке C:\i386 либо на оригинальном диске от Microsoft.
09.04.2008, 16:58
aspu

свежие логи
09.04.2008, 17:00
aspu

[quote=Rene-gad;213485]Попробуйте на этом же компе заменить файл C:\WINDOWS\System3\winlogon.exe на оригинальный. Он находится либо в папке C:\i386 либо на оригинальном диске от Microsoft.[/quote]
На зараженном стоит ХР SP1 на чистом - SP2. Подойдет винлогон?
09.04.2008, 17:03
Rene-gad

[QUOTE=aspu;213494]На зараженном стоит ХР SP1[/QUOTE]Отсюда и все Ваши проблемы. Нет, не подойдет, ищите на том же диске, где СП1 в папке C:\i386 .
09.04.2008, 17:05
aspu

[quote=Rene-gad;213499]Отсюда и все Ваши проблемы. .[/quote]
Да я сам в шоке был когда вчера увидел )))
09.04.2008, 17:06
Rene-gad

[QUOTE=aspu;213500]Да я сам в шоке был когда вчера увидел )))[/QUOTE]Попробуйте накатать СП2 в оффлайне. Отключите антивирус и файрволл.
09.04.2008, 17:13
Shu_b

[QUOTE=aspu;213469]ой а я смотрю что-то долго заливается)))))) извиняюсь[/QUOTE]

если уберёте из него Eva64.rar, и winrar.bak, то он будет нормального размера.

в присланном:

C:\WINDOWS\System32\Drivers\Beep.SYS FraudTool.Win32.UltimateDefender.cm ( Trojan.Fakealert.458 )
C:\WINDOWS\system32\braviax.exe ... ( Trojan.Packed.383 )
c:\windows\system32\univrs32.dat AdWare.Win32.Agent.zo ( Trojan.Click.5043 )
09.04.2008, 17:16
aspu

"Попробуйте накатать СП2 в оффлайне"
К сожалению пакета отдельного СП2 под рукой нет, а без этого проблема решаема?

"C:\WINDOWS\System32\Drivers\Beep.SYS FraudTool.Win32.UltimateDefender.cm ( Trojan.Fakealert.458 )
C:\WINDOWS\system32\braviax.exe Trojan.Packed.383
c:\windows\system32\univrs32.dat AdWare.Win32.Agent.zo ( Trojan.Click.5043 )"
Это я вижу а вот как от них избавиться? Откуда-то они же восстанавливаются

[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]

вы еще не упомянули C:\WINDOWS\System32\dllcache\Beep.SYS ;)
09.04.2008, 17:23
Shu_b

[QUOTE=aspu;213510]вы еще не упомянули[/QUOTE]

Я упомянул только то, что Вы прислали, для тех, кто не может загрузить данный карантин.
09.04.2008, 17:28
aspu

значит avz его не заметил :(
После замены винлогон из I386 перестал грузится, выкидывает БСОД. После загрузки последней удачной конфигурации снова выполз злодей :(
09.04.2008, 17:32
kps

[url=http://virusinfo.info/showthread.php?t=7239]Выполните скрипт в AVZ[/url]:
[code]begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\Samsung\ML1250\Common\WATCHPNP.EXE','');
QuarantineFile('C:\WINDOWS\system32\watchPnp.exe','');
QuarantineFile('C:\WINDOWS\System32\iUB2WLi4.exe','');
QuarantineFile('gglib.exe','');
QuarantineFile('C:\WINDOWS\System32\gglib.exe','');
QuarantineFile('C:\WINDOWS\System32\heap32.exe','');
QuarantineFile('C:\Program Files\Save\Save.exe','');
QuarantineFile('C:\Documents and Settings\All Users.WINDOWS\Start Menu\Programs\Startup\opcc.exe','');
QuarantineFile('C:\Documents and Settings\Настя.V8ZLNQEXKJ7KPNR\Start Menu\Programs\Startup\unblacklist.exe','');
DeleteFile('C:\WINDOWS\System32\univrs32.dat');
DeleteFile('C:\WINDOWS\System32\braviax.exe');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]

Компьютер перезагрузится.

Пришлите карантин согласно приложению №3 [url=http://virusinfo.info/showthread.php?t=1235]правил[/url] (загружать здесь: [url]http://virusinfo.info/upload_virus.php?tid=21280[/url] ).

AVZ => Файл => Мастер поиска и устранения проблем. Категория проблемы - поставьте "Системные проблемы", степень опасности - "Все проблемы". Нажмите "Пуск". Всё найденное следует пометить и пофиксить. Данную операцию повторить для категории "Настройки и твики браузера".

Зайдите в AVZ - Сервис - Системные утилиты - SFC проверка системных файлов.
Понадобится установочный диск Windows.

После проделанных действий сделайте новые логи, начиная с пункта 10 правил.
09.04.2008, 17:41
aspu

карантин отправил
09.04.2008, 17:56
aspu

новые логи
09.04.2008, 17:58
Shu_b

присланный C:\Documents and Settings\All Users.WINDOWS\Start Menu\Programs\Startup\opcc.exe - свежий Hoax.Win32.Renos.bln
09.04.2008, 18:01
kps

[url=http://virusinfo.info/showthread.php?t=7239]Выполните скрипт в AVZ[/url]:
[code]begin
ClearQuarantine;
SetAVZGuardStatus(True);
QuarantineFile('c:\windows\system32\winlogon.exe','');
BC_ImportQuarantineList;
BC_Activate;
RebootWindows(true);
end.[/code]

Компьютер перезагрузится.

Пришлите карантин согласно приложению №3 [url=http://virusinfo.info/showthread.php?t=1235]правил[/url].
09.04.2008, 18:16
aspu

выслал

[size="1"][color="#666686"][B][I]Добавлено через 10 минут[/I][/B][/color][/size]

Скажите есть хоть смысл бороться или резать эту винду к чертовой матери не дожидаясь перитонита?
09.04.2008, 18:20
Гриша

winlogon.exe-по версии ВТ чист
09.04.2008, 18:21
Rene-gad

[QUOTE=aspu;213553]выслал[/QUOTE]присланный файл чистый.
[QUOTE=aspu;213553]
Скажите есть хоть смысл бороться или резать эту винду к чертовой матери не дожидаясь перитонита?[/QUOTE]
Сделайте логи в последний раз. Если не поможет - R.I.P Windows XP SP1 ;)
09.04.2008, 18:22
aspu

в сообщении № 22 последние логи после них вроде ничего не чистили
09.04.2008, 18:28
Rene-gad

[QUOTE=Гриша;213561]winlogon.exe-по версии ВТ чист[/QUOTE]
Но почему-то он не попал в доверенные приложения :O
[QUOTE]в сообщении № 22 последние логи после них вроде ничего не чистили[/QUOTE]
Спасибо, не заметил.
Давайте консилиум соберем... 8)
@aspu
Подождете маленько? Может, вылечим еще систему?
09.04.2008, 18:54
aspu

Да сколько угодно :) Все равно бросил его на работе и раньше пятницы до него не доберусь :)

[size="1"][color="#666686"][B][I]Добавлено через 5 минут[/I][/B][/color][/size]

Пока поищу СП2 отдельной заплаткой
09.04.2008, 21:26
kps

Если не Вы добавляли задания в планировщик заданий и они Вам не нужны, тогда зайдите в
Пуск - Панель управления - Назначенные задания - удалить все.

Затем [url=http://virusinfo.info/showthread.php?t=7239]выполните скрипт в AVZ[/url]:
[code]begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\System32\drivers\beep.sys','');
DeleteFile('c:\windows\system32\braviax.exe');
DeleteFile('C:\WINDOWS\System32\univrs32.dat');
DeleteFile('C:\Documents and Settings\All Users.WINDOWS\Start Menu\Programs\Startup\opcc.exe');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]

Компьютер перезагрузится.
Пришлите карантин.
Сделайте новые логи.
10.04.2008, 16:17
aspu

Карантин пустой и вроде зловред не показывается. Новые логи прикладываю
10.04.2008, 16:28
kps

braviaxа уже нет.
[url=http://virusinfo.info/showthread.php?t=7239]Выполните скрипт в AVZ[/url]:
[code]begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('gglib.exe','');
QuarantineFile('C:\Program Files\Save\Save.exe','');
QuarantineFile('C:\Program Files\Media Access\MediaAccK.exe','');
DeleteFile('gglib.exe');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]

Компьютер перезагрузится.

Пришлите карантин согласно приложению №3 [url=http://virusinfo.info/showthread.php?t=1235]правил[/url].

[url=http://virusinfo.info/showthread.php?t=4491]Пофиксите в HijackThis[/url]:
[code]O4 - HKLM\..\Run: [vmtuner] gglib.exe
O4 - HKLM\..\Run: [Media Access] C:\Program Files\Media Access\MediaAccK.exe[/code]

Сделайте новые логи.

Вот это Вам знакомо?:
C:\Program Files\Save\Save.exe?
10.04.2008, 16:45
aspu

карантин пустой. строку с gglib не нашел, зато пофиксил save.exe. Новые логи прилагаются.
10.04.2008, 16:55
kps

Уже гораздо лучше.
[url=http://virusinfo.info/showthread.php?t=7239]Выполните скрипт в AVZ[/url]:
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\Documents and Settings\Настя.V8ZLNQEXKJ7KPNR\Start Menu\Programs\Startup\unblacklist.exe','');
QuarantineFile('C:\DOCUME~1\ÍÀÑÒß~1.V8Z\LOCALS~1\Temp\Set1.tmp','');
DeleteFile('C:\Program Files\Media Access\MediaAccK.exe');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]

Компьютер перезагрузится.

Пришлите карантин.

Вот это Вам знакомо?
C:\Documents and Settings\Настя.V8ZLNQEXKJ7KPNR\Start Menu\Programs\Startup\unblacklist.exe
Если нет и карантин будет пустой, то поищите его через AVZ согласно приложения 2 правил и пришлите.

Обновите лучше XP до SP2, иначе можем часто встречаться в этом разделе.
10.04.2008, 17:04
aspu

unblacklist это думаю остатки взломанного касперского.
Комп не мой, но я уже настоятельно посоветовал девушке обзавестись лицензионным сп2 чтобы облегчить людям жизнь.

[size="1"][color="#666686"][B][I]Добавлено через 4 минуты[/I][/B][/color][/size]

Результат загрузки
Файл сохранён как 080410_080413_2008-04-10_47fe104de85e3.zip
Размер файла 56426
MD5 585247b8746e118f53b68a59f1acc34a
10.04.2008, 20:19
kps

Присланный файл чистый. Какие-то проблемы остались?
11.04.2008, 09:10
aspu

Вроде чисто все. Огромное всем спасибо.
11.04.2008, 11:19
kps

Нам интересно [url=http://virusinfo.info/showthread.php?t=19883]Ваше мнение[/url] о нашем ресурсе. Будем очень благодарны за отзыв, он может помочь нам улучшить ресурс.

Советуем прочитать электронную [url=http://security-advisory.virusinfo.info/]книгу[/url] "Безопасный Интернет. Универсальная защита для Windows ME - Vista".
22.02.2009, 04:48
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]5[/B][*]Обработано файлов: [B]22[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\documents and settings\\all users.windows\\start menu\\programs\\startup\\opcc.exe - [B]Hoax.Win32.Renos.bln[/B] (DrWEB: Trojan.Fakealert.498)[*] c:\\windows\\system32\\braviax.exe - [B]Hoax.Win32.Renos.bmt[/B] (DrWEB: Trojan.Packed.568)[*] c:\\windows\\system32\\drivers\\beep.sys - [B]Backdoor.Win32.UltimateDefender.a[/B] (DrWEB: Trojan.Fakealert.458)[*] c:\\windows\\system32\\univrs32.dat - [B]not-a-virus:AdWare.Win32.Agent.zo[/B] (DrWEB: Trojan.Click.5043)[/LIST][/LIST]