Trojan-Proxy.Win32.Small.mp (С:\Windows\System32\file.bat) последствия??

Printable View

08.06.2008, 21:43
USERNAME777

Вложений: 3

Trojan-Proxy.Win32.Small.mp (С:\Windows\System32\file.bat) последствия??

Удалил с десяток червей и троянов с ноутбука (использовал cure-it, drweb, avira, ad-ware, removeit pro, AVZ). После этого проверил систему AVPTool и он обнаружил [B]Trojan-Proxy.Win32.Small.mp (С:\Windows\System32\file.bat) [/B]и удалил его.
Вроде ни один антивирус больше не ругеатся, НО:
- При подключении к инету и ввода любого адреса браузер тупит, а потом окно просто само закрывается, либо комп перезагружается
- я поставил PC Tools Firewall Plus, после загрузки системы он выдает сообщение [B]Приложение служб и контроллеров (C:\Windows\System32\Services.exe) пытается выйти в Интернет, используя Generic Host Process for Win32 Services (C:\Windows\System32\Svchost.exe),[/B] если ему запретить это, то следом он выдает [B]Диспетчер сеанса Windows NT (C:\Windows\System32\Smss.exe) пытается выйти в Интернет, используя Программа входа в систему Windows NT(C:\Windows\System32\Winlogon.exe),[/B] если запретить и это, то система клинит и перезагружается.
Умельцы, прошу помощи!!!!!!!!:sos:
Логи AVZ и [FONT=Verdana]HijackThis прилагаются.[/FONT]
08.06.2008, 21:44
USERNAME777

забыл добавить, что родной брендмауэр включить не удается
08.06.2008, 22:01
Гриша

Отключите всю защиту и интернет!

[URL="http://virusinfo.info/showthread.php?t=7239"]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".[/URL]

[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('WinCtrl32.dll','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Winnu18.sys','');
QuarantineFile('C:\WINDOWS\system32\Drivers\Winfm86.sys','');
QuarantineFile('Tmwo61.sys','');
QuarantineFile('C:\WINDOWS\System32\CcEvtSvc.exe','');
QuarantineFile('C:\WINDOWS\system32\WinCtrl32.dll','');
QuarantineFile('C:\WINDOWS\system32\urunon.dll','');
DeleteService('Tmwo61');
DeleteService('CcEvtSvc');
DeleteService('Winnu18');
DeleteService('Winfm86');
DeleteFile('C:\WINDOWS\system32\urunon.dll');
DeleteFile('C:\WINDOWS\system32\WinCtrl32.dll');
DeleteFile('C:\WINDOWS\System32\CcEvtSvc.exe');
DeleteFile('Tmwo61.sys');
DeleteFile('C:\WINDOWS\system32\Drivers\Winfm86.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Winnu18.sys');
DeleteFile('WinCtrl32.dll');
BC_ImportALL;
ExecuteSysClean;
BC_DeleteSvc('Tmwo61 ');
BC_DeleteSvc('CcEvtSvc ');
BC_DeleteSvc('Winnu18 ');
BC_DeleteSvc('Winfm86 ');
BC_Activate;
RebootWindows(true);
end.[/CODE]

Пришлите карантин по правилам и повторите логи.
09.06.2008, 11:58
USERNAME777

Вложений: 3

Выполнил скрипт, выслал карантин, новые логи:
10.06.2008, 12:57
Alex_Goodwin

Было: urunon.dll - Trojan-Spy.Win32.Goldun.aih
WinCtrl32.dll - Trojan-Downloader.Win32.Mutant.ado
10.06.2008, 17:00
USERNAME777

т.е. мой нотик теперь здоров? =)
10.06.2008, 17:07
Bratez

Пофиксите в HijackThis:
[code]
F2 - REG:system.ini: UserInit=C:\WINDOWS\System32\userinit.exe
O18 - Filter hijack: text/html - {DC186800-657F-11D4-B0B5-0050BABFC904} - C:\WINDOWS\system32\urunon.dll
O18 - Filter: text/plain - {DC186800-657F-11D4-B0B5-0050BABFC904} - C:\WINDOWS\system32\urunon.dll
O20 - Winlogon Notify: WinCtrl32 - C:\WINDOWS\
[/code]
Выполните скрипт в AVZ:
[code]
begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\Program Files\Internet Explorer\SETUPAPI.dll','');
BC_ImportQuarantineList;
BC_DeleteFile('C:\WINDOWS\System32\drivers\Winrx74.sys');
BC_DeleteSvc('Winrx74');
BC_Activate;
RebootWindows(true);
end.[/code]
Компьютер перезагрузится.
Пришлите новый карантин согласно приложению 3 правил.
10.06.2008, 20:03
USERNAME777

оооок, щааааааа

[size="1"][color="#666686"][B][I]Добавлено через 2 часа 42 минуты[/I][/B][/color][/size]

все выполнил, жду дальнейших указаний =)
11.06.2008, 03:41
Bratez

SETUPAPI.dll - [b]Trojan.Win32.Agent.goc[/b]

Выполните скрипт в AVZ:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\Program Files\Internet Explorer\SETUPAPI.dll');
BC_DeleteFile('C:\Program Files\Internet Explorer\SETUPAPI.dll');
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]
Компьютер перезагрузится.
Сделайте новые логи, начиная с п.10 правил.
11.06.2008, 17:59
USERNAME777

Вложений: 3

Новые логи:
11.06.2008, 18:07
V_Bond

выполните скрипт ...
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\urunon.dll','');
DeleteFile('C:\WINDOWS\system32\urunon.dll');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
пришлите карантин согласно приложения 3 правил ...
повторите логи ...
12.06.2008, 21:58
USERNAME777

выполнил скрипт - в папке карантина авз с датой пусто и во время выполнения скрипта он пишет ошибку карантина файла, пробовал несколько раз - скрипт выполняется, комп перезагружается, но папка с карантином и датой пуста
12.06.2008, 22:01
Гриша

Повторите логи.
12.06.2008, 22:05
USERNAME777

ок
12.06.2008, 22:41
USERNAME777

Вложений: 3

Новые логи
12.06.2008, 22:48
V_Bond

выполните скрипт ...
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\WINDOWS\system32\urunon.dll');
DelCLSID('DC186800-657F-11D4-B0B5-0050BABFC904');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
virusinfo_syscheck.zip - повторите ...
12.06.2008, 23:46
USERNAME777

Вложений: 1

новый
12.06.2008, 23:57
V_Bond

плохого ничего не видно .... какие-то проблемы остались ?
13.06.2008, 00:19
USERNAME777

щас буду проверять!!!! отпишусь!!!!

[size="1"][color="#666686"][B][I]Добавлено через 17 минут[/I][/B][/color][/size]

Вернул автозагрузку PC Tools Firewall Plus, после загрузки системы он опять выдал Приложение служб и контроллеров (C:\Windows\System32\Services.exe) пытается выйти в Интернет, используя Generic Host Process for Win32 Services (C:\Windows\System32\Svchost.exe), может это какая-то прога пытается обновиться ?
автообновление винды отключено

[size="1"][color="#666686"][B][I]Добавлено через 3 минуты[/I][/B][/color][/size]

я просто не знаю разрешать это действие или нет поэтому не могу проверить интернет
13.06.2008, 00:23
V_Bond

[QUOTE=USERNAME777;240261]
автообновление винды отключено
[/QUOTE]
оооочень зря.... обновите систему и проблемы исчезнут ...
13.06.2008, 00:59
USERNAME777

да и еще не знаю связано ли это с последствиями вирусов или нет, но не работает вифи, дрова скачал последние поставил - адаптер включен все нормуль но не ловит ни одну сеть, говорит мол нету сетей, и когда я задействовал вифи адаптер, PC Tools Firewall Plus выругался также как я написал выше. Разрешить ему это действие и проверить работу инета?

[size="1"][color="#666686"][B][I]Добавлено через 27 минут[/I][/B][/color][/size]

вот такую штуку обнаружил : при попытке вкл или отключить в диспетчере устройств сетевой адаптер или вифи адаптер начинает ругаться фаервол:
сначала [B]Приложение служб и контроллеров (C:\Windows\System32\Services.exe) пытается выйти в Интернет, используя Generic Host Process for Win32 Services (C:\Windows\System32\Svchost.exe), [/B]я разрешаю , далее выдает [B]Generic Host Process for Win32 Services (C:\Windows\System32\Svchost.exe) пытается выполнить функции сервера и принимать входящие подключения [/B]
[B]Локальный порт 68[/B]
[B]Протокол UDP [/B]
я разрешаю, он опять выдает что [B]Services.exe [/B]пытается выйти в инет, я разрешаю он повторяет опять [B]Svchost.exe пытается выполнить функции сервера и принимать входящие подключения [/B]
[B]Локальный порт 68[/B]
[B]Протокол UDP [/B]
[B]-[/B] так чередуется несколько раз если разрешать, потом меняется [B]Локальный порт 1900[/B]

:O это подозрительно или нет?
13.06.2008, 09:09
V_Bond

ставте заплатки ....
[url]http://www.microsoft.com/downloads/details.aspx?displaylang=ru&FamilyID=f4c8e767-4ed2-4e36-aa43-612f3017efc7[/url]
[url]http://www.microsoft.com/downloads/details.aspx?displaylang=ru&FamilyID=9a3bfbdd-62ea-4db2-88d2-415e095e207f[/url]
[url]http://www.microsoft.com/downloads/details.aspx?FamilyID=2996b9b6-03ff-4636-861a-46b3eac7a305&displaylang=ru[/url]
22.02.2009, 05:45
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]20[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\program files\\internet explorer\\setupapi.dll - [B]Trojan.Win32.Agent.goc[/B] (DrWEB: Trojan.PWS.Webmonier.23)[*] c:\\windows\\system32\\urunon.dll - [B]Trojan-Spy.Win32.Goldun.aih[/B] (DrWEB: Trojan.PWS.Banker.21334)[*] c:\\windows\\system32\\winctrl32.dll - [B]Trojan-Downloader.Win32.Mutant.ado[/B] (DrWEB: Trojan.MulDrop.16399)[/LIST][/LIST]