Помогите справиться с вирусом

Printable View

05.05.2008, 04:38
O.K.

Вложений: 4

Помогите справиться с вирусом

Добрый день всем,

После посещения сайта bivillage.com найдена троянская программа Trojan-Downloader.VBS. Agent.nf. Системная дата компьютера поменялась на 4 января 2004 года, в процессах висит (висел до сканирования AVZ посторонний exe-процесс). Системная дата так и не меняется на нормальную, компьютер постоянно что-то качает, уходит трафик.

Помогите, пожалуйста
05.05.2008, 07:48
Bratez

Выполните скрипт в AVZ:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('D:\MSDOS.bat','');
QuarantineFile('D:\autorun.inf','');
QuarantineFile('C:\MSDOS.bat','');
QuarantineFile('C:\autorun.inf','');
QuarantineFile('C:\WINDOWS\~tmp8289.exe','');
QuarantineFile('C:\DOCUME~1\New\LOCALS~1\Temp\dat40.tmp','');
QuarantineFile('C:\DOCUME~1\New\LOCALS~1\Temp\dat3F.tmp','');
DeleteFile('C:\DOCUME~1\New\LOCALS~1\Temp\dat3F.tmp');
DeleteFile('C:\DOCUME~1\New\LOCALS~1\Temp\dat40.tmp');
DeleteFile('C:\WINDOWS\~tmp8289.exe');
DeleteFile('C:\autorun.inf');
DeleteFile('C:\MSDOS.bat');
DeleteFile('D:\MSDOS.bat');
DeleteFile('D:\autorun.inf');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]
Компьютер перезагрузится.
Пришлите карантин согласно приложению 3 правил
(загружать тут: [url]http://virusinfo.info/upload_virus.php?tid=22447[/url]).
Обновите базы AVZ.
Сделайте новые логи.
05.05.2008, 15:33
O.K.

Вложений: 4

Сделано
06.05.2008, 02:34
O.K.

Вирус побил QIP. Не запускается....

[size="1"][color="#666686"][B][I]Добавлено через 10 часов 38 минут[/I][/B][/color][/size]

Помогииите...Меня забыли...?
06.05.2008, 02:50
Kuzz

Давайте посмотрим еще и эти файлы:
[url=http://virusinfo.info/showthread.php?t=7239]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".[/url]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('D:\MSDOS.bat','');
QuarantineFile('D:\autorun.inf','');
QuarantineFile('C:\MSDOS.bat','');
QuarantineFile('C:\autorun.inf','');
RegKeyDel('HKLM','SOFTWARE\Microsoft\Code Store Database\Distribution Units\{ED1F56D6-E7EB-4CA8-81DB-D99BD7AB6082}');
QuarantineFile('C:\WINDOWS\Downloaded Program Files\TrayNotifier2.dll','');
QuarantineFile('C:\WINDOWS\TEMP\dat8.tmp','');
QuarantineFile('C:\WINDOWS\TEMP\dat3.tmp','');
QuarantineFile('c:\windows\windows.ext','');
DeleteFile('c:\windows\windows.ext');
DeleteFile('C:\WINDOWS\TEMP\dat3.tmp');
DeleteFile('C:\WINDOWS\TEMP\dat8.tmp');
DeleteFile('C:\WINDOWS\Downloaded Program Files\TrayNotifier2.dll');
DeleteFile('C:\autorun.inf');
DeleteFile('C:\MSDOS.bat');
DeleteFile('D:\autorun.inf');
DeleteFile('D:\MSDOS.bat');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]
После выполнения скрипта компьютер перезагрузится.
Прислать карантин согласно [b]приложения 3 [url=http://virusinfo.info/showthread.php?t=1235]правил [/url][/b].
Загружать по ссылке: [url]http://virusinfo.info/upload_virus.php?tid=22447[/url]
06.05.2008, 03:11
Bratez

Добавьте в карантин C:\WINDOWS\system32\spoolsv.exe, что-то он мне не нравится.
И еще: после скрипта [b]Kuzz[/b] поставьте правильную дату и время.

[size="1"][color="#666686"][B][I]Добавлено через 7 минут[/I][/B][/color][/size]

Для порядка пофиксите вот эти строчки в HijackThis:
[code]
O2 - BHO: (no name) - {02478D38-C3F9-4efb-9B51-7695ECA05670} - (no file)
O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O9 - Extra button: (no name) - SolidConverterPDF - (no file) (HKCU)
[/code]
06.05.2008, 04:53
O.K.

Карантин оказался пустой, до выполнения скрипта Kuzz Kaspersky Online Scanner и Cure It нашли штук 40 троянов разных мастей и больше 150 файлов, зараженных вирусом Win32.HLLW.Autoruner.1864 и прибили их.

dat3.tmp, dat8.tmp - это были Rootkit.Win32.Agent.ajg и Trojan-PSW.Win32.OnLineGames.abqz.

Win32.HLLW.Autoruner.1864 побил в основном exe-файлы - QIP, MSN Installer, AVZ, TweakUiPower, на диске D особенно много, все удалилось...
spoolsv.exe было две штуки, один из них зараженный, Cure It его удалил, второй в карантине. Был ужас...Системная дата теперь нормальная.

Нужно сделать новые логи?
06.05.2008, 05:11
Kuzz

Да. Оч. желательны новые логи.
Надо убедиться, что ничего не пропустили.
06.05.2008, 06:52
O.K.

Вложений: 3

Готово
06.05.2008, 10:17
Bratez

Пофиксите в HijackThis:
[code]
O4 - HKCU\..\Run: [Shell] "C:\WINDOWS\system32\Rundll32.exe" "C:\WINDOWS\system32\shell32.dll",Control_RunDLL "C:\DOCUME~1\New\LOCALS~1\Temp\dat3F.tmp"
O9 - Extra button: (no name) - SolidConverterPDF - (no file) (HKCU)
[/code]
Перезагрузитесь и повторите лог HijackThis.
06.05.2008, 16:38
O.K.

Вложений: 1

Новый лог
06.05.2008, 16:40
Гриша

Чисто,жалобы есть?
07.05.2008, 03:59
O.K.

Визуально все спокойно. Если что-то появится, напишу.

Большое вам спасибо

[size="1"][color="#666686"][B][I]Добавлено через 2 часа 52 минуты[/I][/B][/color][/size]

Ой...проблемы есть... Пропали все принтеры. При попытке установить принтер система пишет "Невозможно завершение операции. Подсистема печати недоступна"

[size="1"][color="#666686"][B][I]Добавлено через 3 часа 39 минут[/I][/B][/color][/size]

И еще, при запуске MSN загрузка ЦП 100%, зависает намертво, такого раньше не было..
07.05.2008, 05:43
zerocorporated

[QUOTE=O.K.;224277]
Ой...проблемы есть... Пропали все принтеры. При попытке установить принтер система пишет "Невозможно завершение операции. Подсистема печати недоступна"
[/QUOTE]

Во вложении reg файл, запустите его и потом перезагрузите ПК - служба печати включится.
07.05.2008, 15:44
O.K.

Сделала, это не помогло....
07.05.2008, 16:00
V_Bond

[url]http://support.microsoft.com/kb/314876/ru[/url]
[url]http://support.microsoft.com/kb/810894/ru[/url]
07.05.2008, 16:14
O.K.

Диспетчера очереди печати у меня в "Службах" вообще нет(((((((
07.05.2008, 16:21
V_Bond

авз - сервис - диспетчер служб - службы - все ...
сделайте лог приложите ...
07.05.2008, 16:38
O.K.

Вложений: 1

Вот лог
07.05.2008, 16:49
V_Bond

выполните скрипт ...
[code]
begin
QuarantineFile('c:\windows\system32\spoolsv.exe','');
BC_ImportQuarantineList;
BC_Activate;
RebootWindows(true);
end.
[/code]
пришлите карантин согласно приложения 3 правил ...
07.05.2008, 17:05
O.K.

Сделано
07.05.2008, 17:08
V_Bond

пуск - стандартные - командная строка - net start spooler
что пишет ?
07.05.2008, 17:25
O.K.

Пишет "неправильное имя службы"

[size="1"][color="#666686"][B][I]Добавлено через 12 минут[/I][/B][/color][/size]

Для вызова дополнительной справки наберите NET HELPMSG 2185

затем:

Объяснение

Сделана попытка запустить службу, не входящую в конфигурацию системы
07.05.2008, 21:02
V_Bond

давайте пробовать [url]http://support.microsoft.com/kb/919750/[/url]
22.02.2009, 05:10
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]3[/B][*]Обработано файлов: [B]30[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\autorun.inf - [B]Worm.Win32.Otwycal.l[/B] (DrWEB: Win32.HLLW.Autoruner.1864)[*] c:\\docume~1\\new\\locals~1\\temp\\dat3f.tmp - [B]Rootkit.Win32.Agent.ajg[/B] (DrWEB: Trojan.Inject.3275)[*] c:\\docume~1\\new\\locals~1\\temp\\dat40.tmp - [B]Trojan-GameThief.Win32.OnLineGames.abqz[/B] (DrWEB: Trojan.Inject.3276)[*] c:\\msdos.bat - [B]Worm.Win32.Otwycal.aj[/B] (DrWEB: Win32.HLLW.Autoruner.1864)[*] d:\\autorun.inf - [B]Worm.Win32.Otwycal.l[/B] (DrWEB: Win32.HLLW.Autoruner.1864)[*] d:\\msdos.bat - [B]Worm.Win32.Otwycal.aj[/B] (DrWEB: Win32.HLLW.Autoruner.1864)[/LIST][/LIST]