Win32/Wigon.BY (IT) и тыщи писем

Printable View

29.05.2008, 19:15
JusT

Win32/Wigon.BY (IT) и тыщи писем

доброго дня. столкнулся с проблемой. где и как словил - не знаю, но стабильно при отключении компа при пропадания света, после его включения начинается бешенная рассылка писем, которе проверяюстя
Symantek Corp Edition.. за 10 секунд в проверке уже до 100 писем, оно формируется, проверяется, но не отсылается. но комп за 30 сек встаёт на тугой ручник .. т.е. эти письма всё создаются и создаются.. проверка идёт и идёт, весь экран уже в проверках.. ну и комп почти висит.. помогает только выдернуть сетевой шнурок и сам передатчик (инет бесппроволной)..

пришлось сменить симантек на более мирно и тихоорущий нод32, но и он не в состоянии удалить hmq74.sys в C:\WINDOWS\system32\Drivers\Hmq47.sys - там вроде как вирус есть, но не лечится...

уже не знаю что делать. помогите. комп на работе, является "сервером" для 6 других.... надолго тушить не могу, да и люди очень нервничают...

Заранее большое спасибо!
29.05.2008, 19:33
PavelA

Скачать [url]http://mail.ustc.edu.cn/~jfpan/download/IceSword122en.zip[/url]
Выбрать File. Найти 'C:\WINDOWS\system32\Drivers\Hmq47.sys', 'C:\WINDOWS\system32\WinNt32.dll', нажать delete,
подтвердить Ок.

После этого выполнить скрипт:
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
SetServiceStart('Uyc58', 4);
QuarantineFile('C:\WINDOWS\system32\ntsim.sys','');
QuarantineFile('C:\WINDOWS\system32\Drivers\Hmq47.sys','');
QuarantineFile('C:\WINDOWS\system32\WinNt32.dll','');
DeleteFile('C:\WINDOWS\system32\WinNt32.dll');
DeleteFile('C:\WINDOWS\System32\Drivers\Uyc58.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Hmq47.sys');

DeleteFile('C:\WINDOWS\Temp\BN3.tmp');
BC_DeleteSvc('Uyc58');
BC_DeleteSvc('Hmq47');
BC_Importall;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]

Загрузить карантин по ссылке вверху темы. Сделать новые логи.

З.Ы. У меня Симантек 10 Корп. достаточно успешно справляется с этими зверями.
30.05.2008, 12:32
JusT

при повторных сканах - появились новые *****.sys $((
таких раньше не было

кстати, той програмкой , которой надо было делать делит - оно не вытирало почемуто ;*(
вроде как функция срабатывала - но при повторном заходе в туже папку - искомый файл там был.

после всех манипуляций, и отключения антивиря - наблюдается процесс еже_двух минутной комутации инет соединения.. обрыв - и тут же подключение... и так каждые 2 минуты

архив карантина выслал по форме вверху

ЗЫ - а можно в личку ссыльку или точное название на пакет симантека , который справляется?
если это не запрещено конечно...

ЗЫЫ появилось ощущение, что это недолечиеный вирус, который мне менял beep.sys - 3 раза в секунду бип сис помещался в карантин... лечил dr web cure it
30.05.2008, 12:56
PavelA

У нас Симантек ядро 10.1.6.6010, сканер - 71.4.0.15

Еще один руткит в логах появился. Ситуация несколько ухудшился.
Скрипт для удаления нового гада:
[CODE]begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\DRIVERS\vbtenum.sys','');
QuarantineFile('C:\WINDOWS\System32\drivers\tcpsr.sys','');
QuarantineFile('hkcom32.dll','');
QuarantineFile('C:\WINDOWS\system32\vbcqttg.dll','');
DeleteFile('C:\WINDOWS\system32\vbcqttg.dll');
DeleteFile('hkcom32.dll');
DeleteFile('C:\WINDOWS\System32\drivers\tcpsr.sys');
DeleteFile('C:\WINDOWS\system32\DRIVERS\vbtenum.sys');
DelBHO('{FFFFFFFF-8F0D-4322-B01F-B42439E0B71C}');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]

Если что-то попадет в карантин, то загрузить.

[size="1"][color="#666686"][B][I]Добавлено через 15 минут[/I][/B][/color][/size]

Кстати, давай и beep.sys за компанию присылай. Не помешает его проверить.
30.05.2008, 13:36
JusT

не хочет карантинится..может чтото не так делаю
да и наззвается он теперь beeper.sys а не beep.sys

логи новые + карантин высланы
30.05.2008, 14:17
PavelA

вот для этого в icesword сделай force delete.
C:\WINDOWS\system32\Drivers\Fjm36.sys
WinNt32.dll
'C:\WINDOWS\System32\drivers\tcpsr.sys'

После этого сразу же скрипт:
[CODE]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\WINDOWS\system32\WinNt32.dll');
DeleteFile('C:\WINDOWS\System32\drivers\tcpsr.sys');

DeleteFile('C:\WINDOWS\System32\Drivers\Fjm36.sys');
BC_DeleteSvc('Fjm36');
BC_Importall;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/CODE]
Вот это надо профиксить:
O20 - Winlogon Notify: vbcqttg - vbcqttg.dll (file missing)

После этого сделать новые логи.
30.05.2008, 14:21
JusT

уточните последовательность. после скрипта ребут и потом фиксить ?
30.05.2008, 14:39
PavelA

Да, именно так. Хотя профиксить можно и до скрипта, этот файлик мы уже удалили.

Самое главное убить то, что написано сверху.
30.05.2008, 15:14
JusT

'C:\WINDOWS\System32\drivers\tcpsr.sys'
не удалось обнаружить ничего подобного.
нив систем, ни в систем32

зато по логу зверёк Fjm36.sys стал с новым именем... *****,sys

там в логах будет процесс от intess-qdpro (єто рабочие библиотеки лиценз. софта)
огромная просьба не скриптовать против них ничего.
30.05.2008, 16:01
Гриша

Отключите антивирус и интернет!

В IceSword сделайте этим файлам WinNt32.dll,Xcf60.sys-Force Delete на запрос о перезагрузке ответьте положительно.

[URL="http://virusinfo.info/showthread.php?t=7239"]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".[/URL]

[CODE]begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('Beep.sys','');
QuarantineFile('C:\Program Files\Maxthon\SETUPAPI.dll','');
DeleteService('Xcf60');
DeleteFile('C:\WINDOWS\System32\drivers\Xcf60.sys');
DeleteFile('C:\WINDOWS\system32\WinNt32.dll');
DeleteFile('C:\WINDOWS\System32\drivers\tcpsr.sys');
DeleteFile('WinNt32.dll');
BC_ImportDeletedList;
ExecuteSysClean;
BC_DeleteSvc('Xcf60 ');
BC_DeleteSvc('tcpsr ');
BC_Activate;
ExecuteRepair(1 );
RebootWindows(true);
end.[/CODE]

Пришлите карантин,повторите логи.
30.05.2008, 16:49
JusT

перед последней зачисткой, дабы отрубить вход в инет и антивирь - в мсконфиге обнаружил новый процесс - glock32.exe -
//windows/system32/glock.exe

отключил на всякий.

логи и карантин прикладываю.

не рприкладывается.. ;(( говорит что уже было.
30.05.2008, 16:56
Гриша

Удалите старые логи через "Мой кабинет"=>"Управление вложениями"
30.05.2008, 17:15
JusT

вроде пока тихо...

логи и карантин выслал
30.05.2008, 17:24
Гриша

[URL="http://virusinfo.info/showthread.php?t=4491"]Пофиксить[/URL]

[CODE]F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe
O3 - Toolbar: (no name) - {E0E899AB-F487-11D5-8D29-0050BA6940E3} - (no file)
O20 - Winlogon Notify: WinNt32 - C:\WINDOWS\[/CODE]

По SETUPAPI.dll подождем ответа аналитиков.
30.05.2008, 17:38
JusT

пофиксено

огромное спасибо..
вроде картинка начинает блистать )
я совсем потерял надежду на ремонт

советом не обрадуете - что именно лучше использовать на 1600duron/512mb ram
машине, для предотвращения вот подобного :?
имеется ввиду, чтобы не грузило сильно, лечило, и блочило.
антивирная утилита авз - сгодится ? или это только мануальный чеккер ?
30.05.2008, 18:10
kps

AVZ - это ручной инструмент. Вам нужен постоянный мониторинг - антивирус. Рекомендуемые - [url]http://virusinfo.info/showthread.php?t=1550[/url]
30.05.2008, 19:26
PavelA

Блин!!!! Как я забыл о перезагрузке после удаления в "Мече".

Пепел на мою уже седую голову!! Пора заниматься только со статистикой.
30.05.2008, 20:01
kps

Павел, Вы ничего не забыли. IceSword при использовании force delete спрашивает "Вы уверены? Вам лучше перезагрузиться", при нажатии "да" естественно никакой перезагрузки автоматом не происходит, это просто рекомендация :)
И перезагружать сразу после удаления самостоятельно совсем не обязательно. Лучше сразу после удаления в IceSword выполнить добивающий скрипт в AVZ, который перезагрузит компьютер.
30.05.2008, 20:07
zerocorporated

[QUOTE=JusT;234239]пофиксено

огромное спасибо..
вроде картинка начинает блистать )
я совсем потерял надежду на ремонт

советом не обрадуете - что именно лучше использовать на 1600duron/512mb ram
машине, для предотвращения вот подобного :?
имеется ввиду, чтобы не грузило сильно, лечило, и блочило.
антивирная утилита авз - сгодится ? или это только мануальный чеккер ?[/QUOTE]

[URL="http://security-advisory.virusinfo.info/"]Перейдите под учетную запись ограниченного пользователя, отключите глобально скрипты и плагины (только доверенным разрешайте)[/URL], [URL="http://virusinfo.info/showthread.php?t=20291"]отключите автозапуск[/URL].
30.05.2008, 21:15
Гриша

SETUPAPI.dll - [B]Trojan.Win32.Agent.qud[/B]

[URL="http://virusinfo.info/showthread.php?t=7239"]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".[/URL]

[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\Program Files\Maxthon\SETUPAPI.dll');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]

Повторите логи начиная с п.10 правил
31.05.2008, 13:41
JusT

Агромадное спасибо Вашей Команде за оперативную помоСЧ.
...есть же на свете люди! Спасибо!

ушёл читать пдф про безопасность.
31.05.2008, 13:44
Гриша

AVZ => Файл => Мастер поиска и устранения проблем. Категория проблемы - поставьте "Системные проблемы", степень опасности - "Все проблемы". Нажмите "Пуск". Всё найденное следует пометить и пофиксить. Данную операцию повторить для категории "Настройки и твики браузера".

В логах чисто,жалобы есть?

Нам интересно [URL="http://virusinfo.info/showthread.php?t=19883"]Ваше мнение [/URL]о нашем ресурсе. Будем очень благодарны за отзыв, он может помочь нам улучшить ресурс.
22.02.2009, 05:37
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]15[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\program files\\maxthon\\setupapi.dll - [B]Trojan.Win32.Agent.qud[/B] (DrWEB: Trojan.DownLoader.62825)[*] c:\\windows\\system32\\vbcqttg.dll - [B]Trojan.Win32.Pakes.czu[/B] (DrWEB: Trojan.Inject.3435)[/LIST][/LIST]