Страные экзешники, маскируються под папки. Что за вир такой ?

Printable View

13.05.2008, 15:42
46-431

Вложений: 2

Страные экзешники, маскируються под папки. Что за вир такой ?

Доброго дня, во какая беда. Сначала комп не хотел показывать скрытые папки и файлы, после прочитки вашего форума от этого удалось избавиться, только вот загвоздка, винда показывает теперь скрытыми все копии папок которые есть на диске, и их подпапок, и так далее. Случайно открыл тотал командером, в расширении пишит exe!!!! Пробовал удалить в ручную, так через некоторое время востанавливаються, что за зверь такой ????

[[color=#CC0000]moderated: карантин нужно присылать согласно приложения 3, к логам нужно добавить[/color] [B]virusinfo_syscure.zip[/B]]
13.05.2008, 16:01
akok

Пофиксите
[QUOTE]F2 - REG:system.ini: Shell=
F2 - REG:system.ini: UserInit=c:\windows\system32\userinit.exe,c:\windows\system32\secpol.exe,C:\WINDOWS\system32\ntos.exe,
O20 - AppInit_DLLs: C:\WINDOWS\system32\win_51.dll
O20 - Winlogon Notify: fsmgmt - fsmgmt.dll (file missing)[/QUOTE]
[URL="http://virusinfo.info/showthread.php?t=7239"]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".[/URL]

[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
QuarantineFile('fsmgmt.dll','');
QuarantineFile('C:\WINDOWS\system32\rsvp32_2.dll','');
QuarantineFile('c:\windows\system32\secpol.exe','');
QuarantineFile('c:\windows\system32\userinit.exe','');
QuarantineFile('C:\WINDOWS\system32\win_51.dll','');
QuarantineFile('C:\WINDOWS\system32\ntos.exe','');
QuarantineFile('C:\WINDOWS\system32\amvo.exe','');
QuarantineFile('C:\WINDOWS\system32\SVOHOST.exe','');
QuarantineFile('C:\WINDOWS\system32\LC50A.tmp.exe/r','');
QuarantineFile('C:\WINDOWS\svchost.exe','');
QuarantineFile('C:\WINDOWS\Temp\Xerox\EReg\opbreg.exe','');
SetServiceStart('Wel41', 4);
DeleteService('Wel41');
SetServiceStart('Wek85', 4);
DeleteService('Wek85');
SetServiceStart('Tbh75', 4);
DeleteService('Tbh75');
SetServiceStart('Owd55', 4);
DeleteService('Owd55');
SetServiceStart('Lsa17', 4);
DeleteService('Lsa17');
SetServiceStart('Krx52', 4);
DeleteService('Krx52');
SetServiceStart('Jrx06', 4);
DeleteService('Jrx06');
SetServiceStart('Isy06', 4);
DeleteService('Isy06');
SetServiceStart('Ipv52', 4);
DeleteService('Ipv52');
SetServiceStart('Iov28', 4);
DeleteService('Iov28');
SetServiceStart('Hnu74', 4);
DeleteService('Hnu74');
SetServiceStart('grande48', 4);
DeleteService('grande48');
SetServiceStart('Gnu28', 4);
DeleteService('Gnu28');
SetServiceStart('Fms63', 4);
DeleteService('Fms63');
SetServiceStart('Els85', 4);
DeleteService('Els85');
SetServiceStart('Elr31', 4);
DeleteService('Elr31');
SetServiceStart('dpti2o', 4);
DeleteService('dpti2o');
SetServiceStart('Dkq30', 4);
DeleteService('Dkq30');
SetServiceStart('Ahn20', 4);
DeleteService('Ahn20');
SetServiceStart('SysSch', 4);
DeleteService('SysSch');
StopService('SysSch');
QuarantineFile('C:\WINDOWS\Offline Web Pages\svchost.exe','');
DeleteFile('C:\WINDOWS\Offline Web Pages\svchost.exe');
DeleteFile('C:\WINDOWS\System32\Drivers\Ahn20.sys');
DeleteFile('C:\WINDOWS\System32\drivers\Dkq30.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Elr31.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Els85.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Fms63.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Fnu41.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Gnu28.sys');
DeleteFile('C:\WINDOWS\system32\drivers\grande48.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Hnu74.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Iov28.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Ipv52.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Isy06.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Jrx06.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Krx52.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Lsa17.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Owd55.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Tbh75.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Wek85.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Wel41.sys');
DeleteFile('C:\WINDOWS\svchost.exe');
DeleteFile('C:\WINDOWS\system32\LC50A.tmp.exe');
DeleteFile('C:\WINDOWS\system32\SVOHOST.exe');
DeleteFile('C:\WINDOWS\system32\amvo.exe');
DeleteFile('C:\WINDOWS\system32\ntos.exe');
DeleteFile('C:\WINDOWS\system32\win_51.dll');
DeleteFile('c:\windows\system32\secpol.exe');
DeleteFile('fsmgmt.dll');
BC_ImportALL;
BC_Activate;
ExecuteSysClean;
RebootWindows(true);
end.
[/code]
После выполнения скрипта компьютер перезагрузится.
Пришлите карантин согласно приложению 3 правил

Повторите логи

[size="1"][color="#666686"][B][I]Добавлено через 2 минуты[/I][/B][/color][/size]

Парочку ехе-шников запакуйте с паролем и тоже пришлите по правилам.
13.05.2008, 16:55
46-431

Вложений: 2

отчет о проделаном

Короче профиксил, амя все прописал, получил следующие файлы, д архивы сделал этих подозрительных папок, хочу отметить, что диск с очистился от них полность, теперь такаяже песня на диске Д, только скорость роста не померно высока...во как....

[[color=#CC0000]moderated: Карантин нужно присылать согласно приложения 3 правил[/color]]

туда - [url]http://virusinfo.info/upload_virus.php?tid=22816[/url]
13.05.2008, 17:06
wise-wistful

[b]страные экзешники, маскируються под папки.rar [/b] все 4 файла там - [b]Trojan-PSW.Win32.LdPinch.gkx[/b].

[quote] [SIZE="1"]Scan taken on 13 May 2008 13:06:35 (GMT)
A-Squared Found nothing
AntiVir Found TR/Crypt.XPACK.Gen
ArcaVir Found nothing
Avast Found Win32:OnLineGames-DQC
AVG Antivirus Found Win32/PolyCrypt.D
BitDefender Found Packer.Pohernah.C
ClamAV Found nothing
CPsecure Found Troj.PSW.W32.LdPinch.gkx
Dr.Web Found Win32.HLLW.Booti
F-Prot Antivirus Found nothing
F-Secure Anti-Virus Found Trojan-PSW.Win32.LdPinch.gkx
Fortinet Found W32/Basine.C!tr.pws
Ikarus Found Trojan-Spy.Win32.Delf.ma
Kaspersky Anti-Virus Found Trojan-PSW.Win32.LdPinch.gkx
NOD32 Found nothing
Norman Virus Control Found nothing
Panda Antivirus Found Trj/Ldpinch.WE
Sophos Antivirus Found Mal/Basine-C
VirusBuster Found nothing
VBA32 Found Trojan-PSW.Win32.LdPinch.gkx [/SIZE][/quote]
13.05.2008, 17:17
akok

А Вы антивирус отключали перед выполнением скрипта?

[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]

А cureit'ом проверялись?
13.05.2008, 17:19
46-431

приношу свои извенения

Прошу прощения за свою безалаберность, просто пока в ссылку носом не ткнули, не понял как виры отправлять, теперь быду знать...
Мог ли данный вир увеличить расход трафика в инете или дайтеплиз ссылку где о нем можно прочитать....
13.05.2008, 17:19
Shu_b

[QUOTE=akoK;226740]А Вы антивирус отключали перед выполнением скрипта?[/QUOTE]

А чего там отключать... там вероятно базы не обновлялись с момента сборки дистрибутива... :)
13.05.2008, 17:20
46-431

[quote=akoK;226740]А Вы антивирус отключали перед выполнением скрипта?

[SIZE=1][COLOR=#666686][B][I]Добавлено через 1 минуту[/I][/B][/COLOR][/SIZE]

А cureit'ом проверялись?[/quote]

да отключал, стоит доктор веб, проверяемся каждыйдень, он ни чего не находил...
13.05.2008, 17:21
wise-wistful

1.Пофиксить в HijackThis следующие строчки ( [url]http://virusinfo.info/showthread.php?t=4491[/url] )
[CODE]F2 - REG:system.ini: UserInit=C:\WINDOWS\SYSTEM32\Userinit.exe,C:\WINDOWS\system32\ntos.exe,
O4 - HKLM\..\Run: [SoundMam] C:\WINDOWS\system32\SVOHOST.exe
O4 - HKLM\..\Run: [Winrun] "C:\WINDOWS\svchost.exe"
O4 - HKLM\..\Run: [advap32] C:\WINDOWS\system32\LC50A.tmp.exe/r
O4 - HKCU\..\Run: [amva] C:\WINDOWS\system32\amvo.exe
O4 - HKCU\..\Run: [userinit] C:\WINDOWS\system32\ntos.exe [/CODE]

Без перезагрузки

2.[url=http://virusinfo.info/showthread.php?t=7239]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".[/url]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\SYSTEM32\Userinit.exe','');
DeleteFile('C:\WINDOWS\RavMon.exe');
DeleteFile('C:\WINDOWS\Offline Web Pages\svchost.exe');
DeleteFile('C:\WINDOWS\System32\Drivers\Ahn20.sys');
DeleteFile('C:\WINDOWS\System32\drivers\Dkq30.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Elr31.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Els85.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Fms63.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Fnu41.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Gnu28.sys');
DeleteFile('C:\WINDOWS\system32\drivers\grande48.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Hnu74.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Iov28.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Ipv52.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Isy06.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Jrx06.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Krx52.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Lsa17.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Owd55.sys');
DeleteFile('C:\WINDOWS\system32\drivers\riode32.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Tbh75.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Wek85.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Wel41.sys');
DeleteFile('C:\WINDOWS\svchost.exe');
DeleteFile('C:\WINDOWS\system32\LC50A.tmp.exe');
DeleteFile('C:\WINDOWS\system32\SVOHOST.exe');
DeleteFile('C:\WINDOWS\system32\amvo.exe');
DeleteFile('C:\WINDOWS\system32\ntos.exe');
BC_ImportDeletedList;
BC_DeleteSvc('Tbh75');
BC_DeleteSvc('Wel41');
BC_DeleteSvc('Wek85');
BC_DeleteSvc('riode32');
BC_DeleteSvc('Owd55');
BC_DeleteSvc('Lsa17');
BC_DeleteSvc('Krx52');
BC_DeleteSvc('Jrx06');
BC_DeleteSvc('Ipv52');
BC_DeleteSvc('Iov28');
BC_DeleteSvc('grande48');
BC_DeleteSvc('Hnu74');
BC_DeleteSvc('Gnu28');
BC_DeleteSvc('Fnu41');
BC_DeleteSvc('Fms63');
BC_DeleteSvc('Els85');
BC_DeleteSvc('Elr31');
BC_DeleteSvc('Dkq30');
BC_DeleteSvc('Ahn20');
BC_DeleteSvc('SysSch');
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]
После выполнения скрипта компьютер перезагрузится.
Прислать карантин согласно [b]приложения 3 [url=http://virusinfo.info/showthread.php?t=1235]правил [/url][/b].

Повторите логи.
13.05.2008, 17:21
46-431

[quote=akoK;226740]А Вы антивирус отключали перед выполнением скрипта?

[SIZE=1][COLOR=#666686][B][I]Добавлено через 1 минуту[/I][/B][/COLOR][/SIZE]

А cureit'ом проверялись?[/quote]

да отключал, стоит доктор веб, проверяемся каждыйдень, он ни чего не находил...
13.05.2008, 17:26
Shu_b

[QUOTE=46-431;226744]да отключал, стоит доктор веб, проверяемся каждыйдень, он ни чего не находил...[/QUOTE]

качайте по ссылке из правил, всё найденное лечить, неизлечимое удалять!

[size="1"][color="#666686"][B][I]Добавлено через 4 минуты[/I][/B][/color][/size]

ps пожалуйста не надо редактировать сообщения, я уже пятый раз чишу ссылки на дропер...
13.05.2008, 17:40
46-431

=)Будем стараться, правда все познаеться в.....
А базы постоянно обновлялись, комп постоянно проверяеться и тестируеться....
13.05.2008, 17:44
Гриша

Вам же уже говорили по поводу ссылки?
13.05.2008, 17:48
46-431

Вложений: 3

после проделанного

=)Проделал данные операции, высылаю логи....
13.05.2008, 17:49
46-431

=)Чесно не понял по поводу какой ссылки идет речь....
13.05.2008, 17:50
Гриша

Которая есть в каждом вашем сообщении,вы ее не видете?
13.05.2008, 17:58
drongo

а так видно? [b] [url]hXXp://periyalala.com/info.exe[/url][/b]
14.05.2008, 10:27
46-431

по поводу ссылки

Нет я на нее не обращал внимания, а что это такое ????

[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]

Да действительно, а что это или как от этого избавиться??? пока через просмотр еее попробовал удалить
14.05.2008, 10:33
wise-wistful

Мы же просили выслать карантины согласно приложения 3 правил. [b]rsvp32_2.dll[/b] поищите при помощи АВЗ--сервис--поиск файлов на диске. И вышлите согласно приложения 2 правил.
При подключении к сети проблемы есть?
14.05.2008, 10:54
46-431

ответ

нет при подключении к сети проблемм нет...

[size="1"][color="#666686"][B][I]Добавлено через 13 минут[/I][/B][/color][/size]

Выслал запрашиваемый файл вот ... еще что то нужно ???
[SIZE=1]Файл сохранён как[/SIZE][SIZE=1]080514_015131_virus_482a8bf34bc78.zip[/SIZE][SIZE=1]Размер файла[/SIZE][SIZE=1]147422[/SIZE][SIZE=1]MD5[/SIZE][SIZE=1]106f09a7196d9a3d37abb95fce35323f[/SIZE]
15.05.2008, 13:56
wise-wistful

rsvp32_2.dll - [b]SpamTool.Win32.Agent.js[/b]

Скачайте программу [url=http://www.winsockfix.nl/]WinsockFix[/url] (в зависимости от системы). Запишите настройки сети, та как после выполнения скрипта может пропасть подключение.

1.[url=http://virusinfo.info/showthread.php?t=7239]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".[/url]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\WINDOWS\system32\rsvp32_2.dll');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]
После выполнения скрипта компьютер перезагрузится.

Если после выполнения скрипта пропадёт сеть, тогда запустите WinsockFix.
Запустите и нажмите Fix. По окончании ее работы будет перезагрузка.
Имейте ввиду, что она сбросит настройки сетевых подключений, запишите их заранее и потом введите снова.
Повторите логи.
15.05.2008, 17:50
46-431

Вложений: 3

Случилось страшное

Послепроделаных операций пропал нет, причем напрочь, к вечеру разобрался с соседним компом, и прочитал последнее сообщение, все выполнил, сеть после скриптов не пропала, но нета на больной машине нет, пишет что не может открыть страницу поиска, высылаю логи

[[COLOR="Red"]moderated: Карантин загружается согласно приложения 3 правил[/COLOR]]
Для Вашей темы туда: [url]http://virusinfo.info/upload_virus.php?tid=22816[/url]
15.05.2008, 21:44
wise-wistful

1.[url=http://virusinfo.info/showthread.php?t=7239]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".[/url]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('c:\windows\system32\svchost.exe','');
QuarantineFile('c:\windows\system32\vhosts.exe','');
DeleteFile('c:\windows\system32\vhosts.exe');
DeleteFile('rsvp32_2.dll');
BC_ImportAll;
BC_DeleteSvc('msupdate');
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]
После выполнения скрипта компьютер перезагрузится.
Прислать карантин согласно [b]приложения 3 [url=http://virusinfo.info/showthread.php?t=1235]правил [/url][/b].
Загружать по ссылке: [url]http://virusinfo.info/upload_virus.php?tid=22816[/url]

Логи повторите.

Вы WinsockFix запускали?
16.05.2008, 09:07
46-431

про winfix

После сего проделоного, логи сети не поменялись, но я следуя инструкциям запустил WInFix, нета нет, бегую с флешкой к другому компу....
16.05.2008, 09:22
V_Bond

[QUOTE=46-431;227738]После сего проделоного, логи сети не поменялись, но я следуя инструкциям запустил WInFix, нета нет, бегую с флешкой к другому компу....[/QUOTE]
сетевые настройки заново ввели ?
16.05.2008, 10:42
46-431

Вложений: 3

еще раз о главном

[quote=V_Bond;227739]сетевые настройки заново ввели ?[/quote]

да а как же, нета как небыло так и нет, еще и рабочий принтер по сети не работает, не открыает шлюз 192.168.1.1, но сеть между двумя компами пока есть, короче без инета но с сетью...
высюлаю логи и карантин

[[color=#CC0000]moderated: карантин нужно присылать согласно приложения 3 [url=http://virusinfo.info/showthread.php?t=1235]правил[/url] для Вашей темы[/color] - [url]http://virusinfo.info/upload_virus.php?tid=22816[/url] ]
16.05.2008, 10:43
Гриша

Карантин куда нужно присылать?
16.05.2008, 11:13
wise-wistful

1.[url=http://virusinfo.info/showthread.php?t=7239]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".[/url]
[CODE]begin
ExecuteRepair(14);
RebootWindows(true);
end.[/CODE]
16.05.2008, 12:16
46-431

[quote=Гриша;227766]Карантин куда нужно присылать?[/quote]

согласно правил приложения 3 по ссылке, выслан архивом название вирус, пароль (наверное тож вирус)
Высылаю все в соответствии как с меня требуют, если делаю что то нетак, гото выслушать критику и исправится...

[size="1"][color="#666686"][B][I]Добавлено через 34 секунды[/I][/B][/color][/size]

[quote=wise-wistful;227782]1.[URL="http://virusinfo.info/showthread.php?t=7239"]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".[/URL]
[code]begin
ExecuteRepair(14);
RebootWindows(true);
end.[/code][/quote]

логи высылать ???
16.05.2008, 12:19
wise-wistful

нет. логи не нужны. как нет не появился?
16.05.2008, 12:47
46-431

УРА !!!!!!!!!!

ВаУ!!!!!!!!!!!!!!!!!! нет заработал, заработал принтер короче ура!!!!! не знаю далеко ли до победы, но ужо скажу !!!!
БОЛЬШОЕ ОГРОМЕННОЕ ВАМ МУЖИКИ СПАСИБКО!!!!! короче вихрь эмоций и прочее...
22.02.2009, 05:17
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]6[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\windows\\system32\\rsvp32_2.dll - [B]SpamTool.Win32.Agent.js[/B] (DrWEB: Trojan.Spambot)[*] c:\\windows\\system32\\vhosts.exe - [B]Trojan-Downloader.Win32.Agent.pfk[/B] (DrWEB: BackDoor.Dax)[/LIST][/LIST]