Вирус:открываются китайские сайты, блокируется установка антивирусов, зависает AVZ

Printable View

17.07.2008, 00:08
Влад Мистецкий

Вложений: 2

Вирус:открываются китайские сайты, блокируется установка антивирусов, зависает AVZ

Добрый вечер. У меня возникла следующая проблема:
После контакта с зараженной флешкой на компьютере при работе с браузером постоянно открываются новые окна интернет эксплорера(причем неважно в каком браузере я работаю, новые окна открываются все равно в интернет експлорере) с ссылками на китайские(японские? вообщем восточные) сайты с рекламой и непонятной кодировкой. Так же компьютер стал притормаживать, иногда выдавать ошибки и т.д.
На компьютере был установлен антивирус Касперского 6.0 с не очень новыми базами. После возникновения этой проблемы я решил запустить его на скан - но при запуске касперского ничего не происходило кроме диких тормозов системы(в списке процессов avp появлялся, но ничего не делал). Я решил попробовать установить какой-то другой антивирус, но все попытки инстала не работали(во время процесса экстракта окно инстала просто пропадало, причем у инсталяторов всех антивирусов которые у меня были: panda, drweb, bit и еще несколько). Я попробовал удалить старого касперского и поставить другого - после установки он как и прежде не смог запустится...
Я полез искать информацию в интернете(прежде всего по ссылкам сайтов, на которые вирус редиректит), но ничего похошего по симптомам не нашел.
Скачал АВЗ - но при начале проверки он повис. Скачал пингпонг - он нормально начал сканирование, но ничего особого не нашел(предложил скинуть пару файлов в карантин, я перезагрузился - но ничего не изменилось, АВЗ как вис, так и виснет, касперский как не работал, так и не работает.
Безопасный режим не работает(перезагружается система).
Почему-то таск менеджер жрет до 20% загружености ЦП.
Это пока те симптомы, которые я смог обнаружить, мб есть чтото еще.
Помогите плз!))))

вот странички на которые он редиректит
[URL="http://www-qq-com.kankev.com/qq2008/reg.html?username=hh88&zhaosp=qq"]h**p://www-qq-com.kankev.com/qq2008/reg.html?username=hh88&zhaosp=qq[/URL]
[URL="http://www.91qianming.cn/?aid=9974"]h**p://www.91qianming.cn/?aid=9974[/URL]
и еще несколько
ссылки наверное тоже содержат вирусные скрипты, так что осторожно
17.07.2008, 00:26
wise-wistful

Отключите восстановление системы.

1.[url=http://virusinfo.info/showthread.php?t=7239]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".[/url]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
TerminateProcessByName('c:\windows\system32\com\lsass.exe');
TerminateProcessByName('c:\windows\system32\com\smss.exe');
QuarantineFile('C:\autorun.inf','');
QuarantineFile('C:\pagefile.pif','');
QuarantineFile('C:\WINDOWS\system32\dnsq.dll','');
QuarantineFile('C:\WINDOWS\System32\bcm1xsup.dll','');
QuarantineFile('c:\windows\system32\com\lsass.exe','');
QuarantineFile('c:\windows\system32\com\smss.exe','');
DeleteFile('C:\System Volume Information\_restore{E51478C0-6351-4701-A608-08CF05C6F1C8}\RP253\A0062572.pif');
DeleteFile('C:\System Volume Information\_restore{E51478C0-6351-4701-A608-08CF05C6F1C8}\RP251\A0061458.pif');
DeleteFile('c:\windows\system32\com\smss.exe');
DeleteFile('c:\windows\system32\com\lsass.exe');
DeleteFile('C:\WINDOWS\system32\dnsq.dll');
DeleteFile('C:\pagefile.pif');
DeleteFile('C:\autorun.inf');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]
После выполнения скрипта компьютер перезагрузится.
Прислать карантин согласно [b]приложения 3 [url=http://virusinfo.info/showthread.php?t=1235]правил [/url][/b].
Загружать по ссылке: [url]http://virusinfo.info/upload_virus.php?tid=26614[/url]

Обновите базы АВЗ.

Повторите логи, только все 3 лога.
17.07.2008, 02:44
Влад Мистецкий

карантин прислал, сейчас повторяю скрипты на логи, НО! я не могу обновить базы, поскольку в переименованном АВЗ(пингпонге) не высвечивается пункт меню "Обновить базы"
17.07.2008, 02:55
pig

А попробуйте теперь нормальную версию.
17.07.2008, 03:14
kps

Пока обновлять не обязательно - у Вас червь Xorer. Покажите новые логи.
17.07.2008, 03:16
Влад Мистецкий

Вложений: 3

Скачал и запустил HijakThis, но он при запуске сканирования выдал ошибку, если нажать "да" или "нет" - результат один - рограмма зависает. Я пробовал скачать переименованную версию Хиджака - но с ней абсолютно тоже самое:( скриншот с ошибкой прилагаю

нормальная версия АВЗ - точно так же зависает. Следовательно логи сделаны на пингпонге с необновленными базами(((
17.07.2008, 04:45
Влад Мистецкий

Может это конечно параноя - но как только я зашел в гугл и начал искать описание этого червя - эксплорер сразу сдох и компьютер повис. После перезагрузки в самом начале работы виндоуса он начал запускать огромное количество одинаковых процессов lsass.exe и комп подвис о5. После следующей перезагрузки начал ругаться на отсуствие модема, выдал критическую ошибку svhost.exe и комп завис. После следующей загрузки все вроде бы нормально.
Что это за зверь такой? О_О

[size="1"][color="#666686"][B][I]Добавлено через 1 час 13 минут[/I][/B][/color][/size]

оказалось, не параноя. он действительно убивает комп, когда вводишь где либо его название(проверено раз 5)... буду очень благодарен, если ктото скинет ссылку на его описание в интернете.
17.07.2008, 10:57
PavelA

Выполнить в пингпонге. ;)
Попробуем вот этот скрипт:

[CODE]
begin
SetAVZGuardStatus(True);
RegKeyParamDel('HKLM', 'SYSTEM\CurrentControlSet\Control\Session Manager', 'PendingFileRenameOperations');
DeleteFile('c:\windows\system32\com\lsass.exe');
DeleteFile('c:\windows\system32\com\smss.exe');
DeleteFile('C:\WINDOWS\system32\com\netcfg.dll');
DeleteFile('C:\WINDOWS\system32\com\netcfg.000');
DeleteFile('C:\WINDOWS\system32\dnsq.dll');
DeleteFile('C:\pagefile.pif');
DeleteFile('C:\autorun.inf');
DeleteFile('C:\NetApi000.sys');
DeleteFile('C:\WINDOWS\System32\drivers\alg.exe');
DeleteFile('C:\037589.log');
DeleteFile('C:\WINDOWS\system32\AntiTool.exe');
DeleteFileMask('c:\', 'lsass.exe.*', false);
DeleteFileMask('c:\documents and settings\all users\Главное меню\Программы\Автозагрузка', '*.exe', false);
BC_ImportALL;
ExecuteSysClean;
BC_LogFile(GetAVZDirectory + 'boot_clr.log');
BC_Activate;
ExecuteRepair(6);
RebootWindows(true);
end.[/CODE]

После сделать новые логи.
17.07.2008, 12:37
Влад Мистецкий

Вложений: 2

done
17.07.2008, 13:20
Влад Мистецкий

После последнего скрипта все симптомы вируса пропали(не вылетает ИЕ при поиске его по названию, начал запускаться касперский, перестал зависать нормальный АВЗ).
Сейчас попробую пробежаться АВЗ со свежеми базами, потом каспером и другими антивирусами
17.07.2008, 13:23
Гриша

Нужен лог Хиджака
17.07.2008, 13:59
Влад Мистецкий

Вложений: 1

хиджак нормально запустился, вот лог
17.07.2008, 14:07
Гриша

[URL="http://virusinfo.info/showthread.php?t=4491"]Пофиксить[/URL]

[CODE]O9 - Extra button: (no name) - {8DAE90AD-4583-4977-9DD4-4360F7A45C74} - (no file)
O20 - AppInit_DLLs: C:\WINDOWS\system32\dnsq.dll
[/CODE]

[URL="http://virusinfo.info/showthread.php?t=7239"]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".[/URL]

[CODE]begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
RegKeyParamDel('HKLM', 'SYSTEM\CurrentControlSet\Control\Session Manager', 'PendingFileRenameOperations');
DeleteFile('C:\WINDOWS\system32\dnsq.dll');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]

Повторите логи...
17.07.2008, 14:09
kps

Еще не забудьте выполнить пункт 2 правил - этот червь может идти напару с файловым вирусом.
17.07.2008, 14:51
Влад Мистецкий

Вложений: 3

вот логи, сейчас проверюсь КьюрИтом
17.07.2008, 14:58
Гриша

В логах чисто,нужно очистить временные файлы,кеш браузера и проверится свежим куритом...
17.07.2008, 15:10
Влад Мистецкий

Курит еще не доконца проверил, но пока нашел Рокс только в карантинных файлах АВЗ.
Кеш и темпорери удалил.

Но у меня есть несколько вопросов.
1)как очистить флешку, на которой находится этот вирус(если там есть документы, которые нужно сохранить, тоесть полное форматирование сразу - нельзя), полностью обновленный лицензионный 7 касперский пропустит или не пропустит этот вирус, если я снова вставлю флешку?
2)у меня стоит еще один зараженный компьютер этим же вирусом.
Можно ли использовать для него те же скрипты, что и тут? вроде бы там удаляются только файлы, которые заражены вирусом? или все таки создать отдельную тему для второго компьютера точно так же?
17.07.2008, 15:45
PavelA

по в.2 Лучше создать новую тему. М.б. там еще что-то живет.
Скрипт, который я давал, достаточно универсальный, но все-таки лучше "утром деньги, вечером стулья, но деньги вперед" (с) "Двенадцать стульев"
Будут логи в новой теме - будем разбираться.
17.07.2008, 15:46
Гриша

1.Отключите автозапуск этим скриптом:

[CODE]procedure DisableAutorun;
begin
// Блокировка автозапуска (0x1 + 0x4 + 0x8 + 0x10 + 0x40 + 0x80 - отключили все типа, кроме CD)
RegKeyIntParamWrite('HKLM','SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer','NoDriveTypeAutoRun', 221);
// Блокировка автозапуска (0x4) - заблокировали автозапуск на C:
RegKeyIntParamWrite('HKLM','SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer','NoDriveAutoRun', 4);
end;

begin
DisableAutorun;
end.[/CODE]

Перезагрузитесь,подключите флешку(но не открывайте ее) и проверьте свежим антивирусом.

2.Для второго компа отдельная тема.
17.07.2008, 15:58
Влад Мистецкий

Спасибо, с флешкой и вторым компьютером сделаю.

Только что курит нашел вирус в 3х лог файлах в C:\Windos\System32
с именами
32610.log
37782.log
68657.log
что это за файлы? я их переместил в карантин
17.07.2008, 16:18
PavelA

Думаю, что это недобитые остатки. Скрипт придется дорабатывать.
17.07.2008, 16:22
Гриша

Это логи которые пишет хорер,в частности в них есть ссылка на интернет ресурс,видимо куда он это дело отправляет,я как-то давно ковырялся с этими логами,уж больно расшифровывать их сложно и муторно,просто удалите их,сами они опасности не предоставляют...

P.S.

[B]PavelA[/B]:скрипт тут не доработаешь,логи пишутся с рандомными именами состоящие из цифр...
17.07.2008, 18:08
PavelA

2Гриша а delete по маске c:\*.log нельзя применить, а ?
17.07.2008, 18:27
kps

Они были обнаружены в %system32%. По маске удалить оттуда можно все логи, только зачем? Захватим и возможно нужные логи. И потом логи червя неопасные, просто мусор. Пользователь сам может его удалить.
22.02.2009, 06:35
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]6[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\autorun.inf - [B]Worm.Win32.AutoRun.dck[/B] (DrWEB: Win32.HLLW.Autoruner.868)[*] c:\\pagefile.pif - [B]Virus.Win32.Xorer.ep[/B] (DrWEB: Win32.HLLP.Rox.14)[*] c:\\windows\\system32\\com\\lsass.exe - [B]Virus.Win32.Xorer.ep[/B] (DrWEB: Win32.HLLP.Rox.14)[*] c:\\windows\\system32\\com\\smss.exe - [B]Virus.Win32.Xorer.dt[/B] (DrWEB: Win32.HLLP.Rox)[*] c:\\windows\\system32\\dnsq.dll - [B]Virus.Win32.Xorer.ee[/B] (DrWEB: Win32.HLLP.Rox)[/LIST][/LIST]