Помогите, Trojan-Downloader.Win32.Mutant.aim!

Printable View

19.07.2008, 13:55
Чайник

Вложений: 3

Помогите, Trojan-Downloader.Win32.Mutant.aim!

Добрый день!
Просим помощи:
Лечимся 3-й день, все безрезультатно, Касперский находит, рапортует об удалении, после перезагрузки результат нулевой, троян реинкарнирует.
Симптоматика - после перезагрузки касперский сообщает следующее:

19.07.2008 13:40:25 Процесс C:\WINDOWS\system32\winlogon.exe, обнаружено: потенциально опасное ПО 'Invader' (модификация).

19.07.2008 13:40:38 Файл C:\WINDOWS\System32\drivers\Winkp83.sys, обнаружено: троянская программа 'Trojan-Downloader.Win32.Mutant.aim'. Пользователь: HOME\MD$, компьютер:localhost.
19.07.2008, 14:24
kps

[url=http://virusinfo.info/showthread.php?t=7239]Выполните скрипт в AVZ[/url]:
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\System32\Drivers\Winjp62.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Winjo73.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Winjo38.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Winaf84.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Gia34.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\TBPanel.SYS','');
QuarantineFile('C:\WINDOWS\system32\WinCtrl32.dll','');
DeleteFile('C:\WINDOWS\system32\WinCtrl32.dll');
DeleteFile('C:\WINDOWS\system32\WinCtrl32.dl_');
DeleteFile('C:\WINDOWS\System32\Drivers\Gia34.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Winaf84.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Winjo38.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Winjo73.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Winjp62.sys');
BC_ImportALL;
ExecuteSysClean;
DelWinlogonNotifyByKeyName('WinCtrl32');
BC_DeleteSvc('Winjp62');
BC_DeleteSvc('Winjo73');
BC_DeleteSvc('Winjo38');
BC_DeleteSvc('Winaf84');
BC_DeleteSvc('Gia34');
BC_Activate;
RebootWindows(true);
end.[/code]

Компьютер перезагрузится.

Пришлите карантин согласно приложению №3 [url=http://virusinfo.info/showthread.php?t=1235]правил[/url] (загружать здесь: [url]http://virusinfo.info/upload_virus.php?tid=26736[/url] ).

Очистите временные папки и кеш браузера.
Сделайте новые логи.
19.07.2008, 14:53
Чайник

Карантин загрузил
Очистил временные файлы через свойства обозревателя.
как очистить кэш?
Логи создать, как в первом сообщении, 2 в AVZ и один в hijackthis?
19.07.2008, 14:57
kps

Имелось ввиду очистить папки Temp (например C:\Windows\Temp) и кеш браузера в смысле - временные файлы интернета (то, что Вы очистили через свойства обозревателя).

Новые логи создать так же по правилам, как и раньше.
19.07.2008, 15:30
Чайник

Вложений: 3

Высылаю логи.
19.07.2008, 15:46
Rene-gad

Систему обновить, т.е. установить Сервис Пак 3 + последующие обновления
[QUOTE]Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)[/QUOTE]
Пофиксить для порядка
[CODE]O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)
O9 - Extra button: Yahoo! Messenger - {E5D12C4E-7B4F-11D3-B5C9-0050045C3C96} - C:\PROGRA~1\Yahoo!\MESSEN~1\YPager.exe (file missing)
O9 - Extra 'Tools' menuitem: Yahoo! Messenger - {E5D12C4E-7B4F-11D3-B5C9-0050045C3C96} - C:\PROGRA~1\Yahoo!\MESSEN~1\YPager.exe (file missing)
O20 - Winlogon Notify: WinCtrl32 - C:\WINDOWS\[/CODE]
Какие проблемы наблюдаете?
19.07.2008, 23:18
Чайник

Пофиксили.
На вирусы касперский больше не ругается, все вроде в порядке. Но почти на каждое действие выскакивают окошки с сообщениями типа этого:
19.07.2008 22:48:37 Процесс C:\Program Files\Apple Software Update\SoftwareUpdate.exe (PID: 3360): попытка создания параметры браузера Microsoft Internet Explorer (ключ HKEY_USERS\S-1-5-21-746137067-261903793-839522115-1003\Software\Microsoft\Internet Explorer\URLSearchHooks, значение {EF99BD32-C1FB-11D2-892F-0090271D4F88}, данные ) разрешена.
Мы все разрешаем. Не знаем правильно ли... Может стоит касперского поставить в решим с меньшей защитой?
Систему попробуем обновить позже.
Огромное спасибо за помощь!
19.07.2008, 23:27
Rene-gad

Конкретно на тему: Apple Software Update нужно поставить в ручной режим и давать разрешение файрволлу только на тот раз, когда Вы хотите обновить приложения Apple, т.е. каждый раз спрашивать.
19.07.2008, 23:46
Чайник

Понятно.
А востановление сисиемы уже можно включить? А то она у нас отключена как было предписано инструкцией.
19.07.2008, 23:53
kps

Восстановление можете включать. В логах чисто. Больше проблем нет?
21.07.2008, 10:13
Чайник

Все чисто :) Проблем нет.
Большое человеческое спасибо! :)
23.07.2008, 01:43
Чайник

Вложений: 3

Я опять к вам. Сегодня опять словила вирусы. Теперь кажется поняла где, и в тот раз и в этот раз проблемы начались после посещения одного и того же сайта (на который до этого ходила регулярно уже не один год). Сегодня как только открыла тот сайт начал сразу хрюкать Касперский не перставая, сайт сразу закрыла, Касперскому говорила все лечить, запрещать и удалять. Потом компьютер сам два раза перезагрузился при этом перед перезагрузками усиленно хрюкал Касперский. В итоге загрузила в безопасном режиме, проверила доктором Вебом, потом в обычном режиме опять Касперским, они оба нашли разные вирусы, удалили. Ну и делее опять по вашей инструкции. Прицепляю то что получила. Сейчас Касперский молчит, не хрюкает. Помогите еще раз, посмотрите пожалуйста чего там у меня.
23.07.2008, 02:00
kps

На всякий случай проверим:
[url=http://virusinfo.info/showthread.php?t=7239]Выполните скрипт в AVZ[/url]:
[code]begin
ClearQuarantine;
QuarantineFile('C:\WINDOWS\system32\drivers\TBPANEL.SYS','');
QuarantineFile('Beep.sys','');
QuarantineFile('C:\WINDOWS\system32\drivers\Beep.sys','');
BC_ImportQuarantineList;
BC_Activate;
RebootWindows(true);
end.[/code]

Компьютер перезагрузится.

Пришлите карантин согласно приложению №3 [url=http://virusinfo.info/showthread.php?t=1235]правил[/url] (загружать здесь: [url]http://virusinfo.info/upload_virus.php?tid=26736[/url] ).

Вот это Вам знакомо?
[code]R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = 74.60.120.228:1025
O17 - HKLM\System\CCS\Services\Tcpip\..\{D618A7C7-D457-4F0A-B350-B30F7E851685}: NameServer = 85.255.113.132,85.255.112.226
O17 - HKLM\System\CCS\Services\Tcpip\..\{F73FCD7A-C068-4630-9F8D-55E5AB4A70B6}: NameServer = 85.255.113.132,85.255.112.226
O17 - HKLM\System\CCS\Services\Tcpip\..\{F88111F4-8F28-4736-AE6F-CF0D862B6EB2}: NameServer = 85.255.113.132,85.255.112.226
O17 - HKLM\System\CS1\Services\Tcpip\Parameters: NameServer = 85.255.113.132 85.255.112.226
O17 - HKLM\System\CS2\Services\Tcpip\Parameters: NameServer = 85.255.113.132 85.255.112.226
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: NameServer = 85.255.113.132 85.255.112.226[/code]
Если незнакомо, то [url=http://virusinfo.info/showthread.php?t=4491]пофиксите в HijackThis[/url] эти строчки.
23.07.2008, 10:51
Rene-gad

Вот эти пофиксить обязательно[code]
O17 - HKLM\System\CCS\Services\Tcpip\..\{D618A7C7-D457-4F0A-B350-B30F7E851685}: NameServer = 85.255.113.132,85.255.112.226
O17 - HKLM\System\CCS\Services\Tcpip\..\{F73FCD7A-C068-4630-9F8D-55E5AB4A70B6}: NameServer = 85.255.113.132,85.255.112.226
O17 - HKLM\System\CCS\Services\Tcpip\..\{F88111F4-8F28-4736-AE6F-CF0D862B6EB2}: NameServer = 85.255.113.132,85.255.112.226
O17 - HKLM\System\CS1\Services\Tcpip\Parameters: NameServer = 85.255.113.132 85.255.112.226
O17 - HKLM\System\CS2\Services\Tcpip\Parameters: NameServer = 85.255.113.132 85.255.112.226
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: NameServer = 85.255.113.132 85.255.112.226[/code]
Это зловредный сервер из Одессы.
23.07.2008, 10:59
Чайник

Спасибо.
Пофиксила.
Скрипт выполнила. Карантин загрузила.
23.07.2008, 11:13
Rene-gad

А Сервис Пак 3 почему не поставили? И почему альтернативный браузер не используете?
23.07.2008, 11:32
Чайник

Я всегда использую Фаерфокс, а пока лечусь хожу Експлорером как сказано в инструкции.
До Сервис Пака руки не дошли :( каюсь. Уже все утро мужа пинаю по этому поводу, обещал сегодня принести Сервис Пак 2. Третьего нету, а с сайта у нас обновления не ставятся потому как винду мы переустанавливали и ключ уже не подошел и ее поставили так...
А вообще уже приходит мысль переходить с винды на линух.
23.07.2008, 12:06
kps

Присланный файл чистый. Больше в логах ничего подозрительного. Какаие-то проблемы наблюдаются?
23.07.2008, 12:49
Чайник

Никаких проблем нет :)
Спасибо за помощь!
24.07.2008, 15:01
Rene-gad

[QUOTE=Чайник;259062]На этот раз с компьютера соседки у которой тоже вирусов куча. [/QUOTE]
Переносим в отдельную тему: [url]http://virusinfo.info/showthread.php?t=26993[/url]
22.02.2009, 06:40
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]3[/B][*]Обработано файлов: [B]38[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\windows\\system32\\winctrl32.dll - [B]Trojan-Downloader.Win32.Mutant.app[/B] (DrWEB: Trojan.Rntm.16)[*] c:\\windows\\system32\\winctrl32.dll - [B]Trojan-Downloader.Win32.Mutant.azc[/B] (DrWEB: Trojan.Packed.573)[/LIST][/LIST]