борюсь с вирусами со времен ms-dos 3.10, но этот достал..

Printable View

16.08.2008, 23:25
deep

борюсь с вирусами со времен ms-dos 3.10, но этот достал..

Прошу помощи борцов с вирусом Trojan-Downloader.Win32.Mutant.aim. как не лечи его Каспером 7, drweb 4.44 появляется. поставил Kis отмониторить - ничего. сам по себе мутант появляется раз в 2 дня и качает вири. уже заставку мне поставил - Spyware detected, а сегодня синий экран смерти =) я повелся...
и блин самое обидное Kis его ловит только когда файл подозрительный найдет, а сам процесс обновления виря не мониторит....
а как я кис ставил после drweb это отдельная песня =)
вообщем помогите...
17.08.2008, 00:12
kps

[url=http://virusinfo.info/showthread.php?t=7239]Выполните скрипт в AVZ[/url]:
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('D:\WINDOWS\system32\gpprefcl.dll','');
QuarantineFile('D:\WINDOWS\kvxqmtre.dll','');
QuarantineFile('D:\WINDOWS\evgratsm.dll','');
QuarantineFile('D:\WINDOWS\system32\DRIVERS\tcpip.sys','');
QuarantineFile('srv.exe','');
DeleteFile('D:\WINDOWS\evgratsm.dll');
DeleteFile('D:\WINDOWS\kvxqmtre.dll');
BC_ImportALL;
ExecuteSysClean;
BC_DeleteSvc('Wmi Defrag');
BC_DeleteSvc('UPSRpcLocator');
BC_DeleteSvc('TapiSrvWmi');
BC_DeleteSvc('NetlogonNMIndexingService');
BC_DeleteSvc('MSDTCWmiApSrv');
BC_DeleteSvc('ImapiServiceALG');
BC_DeleteSvc('hkmsvcAlerter');
BC_Activate;
ExecuteRepair(6);
ExecuteRepair(8);
ExecuteRepair(5);
RegKeyIntParamWrite( 'HKLM', 'SOFTWARE\Microsoft\Windows\CurrentVersion\policies\NonEnum', '{BDEADF00-C265-11D0-BCED-00A0C90AB50F}', 1);
RebootWindows(true);
end.[/code]

Компьютер перезагрузится.

Пришлите карантин согласно приложению №3 [url=http://virusinfo.info/showthread.php?t=1235]правил[/url] (загружать здесь: [url]http://virusinfo.info/upload_virus.php?tid=28210[/url] ).

AVZ => Файл => Мастер поиска и устранения проблем. Категория проблемы - поставьте "Системные проблемы", степень опасности - "Все проблемы". Нажмите "Пуск". Всё найденное следует пометить и исправить. Данную операцию повторить для категории "Настройки и твики браузера".

Очистите временные папки и кеш браузера.
Сделайте новые логи.
17.08.2008, 10:35
deep

вторая часть загруженного

[B]вот что нашел по утру KIS 7[/B]

[I]обнаружено: потенциально опасное ПО Invader Процесс: D:\WINDOWS\system32\winlogon.exe
удалено: троянская программа Trojan-Downloader.Win32.Mutant.aim Файл: d:\windows\system32\drivers\winct00.sys
удалено: троянская программа Trojan-Downloader.Win32.Mutant.aim Файл: D:\System Volume Information\_restore{C8C2405F-FA3B-474A-BCA5-04382CCC75F1}\RP5\A0000366.SYS
удалено: троянская программа Trojan-Downloader.Win32.Mutant.axq Файл: D:\WINDOWS\system32\WinCtrl32.dll
удалено: троянская программа Trojan.Win32.Monder.gen Файл: h:\temp\scan.exe
удалено: троянская программа Trojan.Win32.Monder.gen Файл: d:\windows\system32\lphcgjvj0e945.exe
удалено: троянская программа Trojan-Downloader.Win32.Mutant.aim Файл: d:\windows\system32\drivers\winkx80.sys
удалено: троянская программа Trojan-Downloader.Win32.Agent.aayp Файл: D:\WINDOWS\system32\~.exe//PE_Patch//MewBundle//MEW//#
удалено: троянская программа Trojan-Downloader.Win32.Mutant.axq Файл: D:\System Volume Information\_restore{C8C2405F-FA3B-474A-BCA5-04382CCC75F1}\RP1\A0000006.dll
удалено: троянская программа Trojan.Win32.Monder.gen Файл: D:\System Volume Information\_restore{C8C2405F-FA3B-474A-BCA5-04382CCC75F1}\RP1\A0000007.exe
удалено: троянская программа Trojan-Downloader.Win32.Agent.aayp Файл: D:\System Volume Information\_restore{C8C2405F-FA3B-474A-BCA5-04382CCC75F1}\RP1\A0000008.exe//PE_Patch//MewBundle//MEW//#
удалено: троянская программа Trojan-Downloader.Win32.Agent.aayp Файл: D:\System Volume Information\_restore{C8C2405F-FA3B-474A-BCA5-04382CCC75F1}\RP1\A0000016.exe//PE_Patch//MewBundle//MEW//#
удалено: троянская программа Trojan-Downloader.Win32.Mutant.aim Файл: d:\windows\system32\drivers\winqi53.sys[/I]

комп постоянно в онлайне. использую utorrent.exe клиента торрент. может через него?
в темпе(h:\temp) появляется переодически scan.exe и запускается
а также ~.exe, а также winctrl32.dll
посмотрел в безопасном режиме службы. есть куча подозрительных с файлом srv. отключил.
постоянно включает восстановление системы и пихает свои файлы в защищенную область... отключил, пофиксил

как дальше бороться?
17.08.2008, 10:39
deep

Вложений: 3

чего-то не вложилось. пробую еще раз
17.08.2008, 11:09
V_Bond

все выполнять в нормальном режиме ....!!!
оключите восстановление системы !!!
[URL="http://www.majorgeeks.com/downloadget.php?id=5199&file=15&evp=0d36c3ec48c6373fd5daac78f0c6a417"]скачайте [/URL]C:\WINDOWS\System32\Drivers\Winqi53.sys - force delete
віполните скрипт ....
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('D:\WINDOWS\system32\blphcgjvj0e945.scr','');
QuarantineFile('D:\WINDOWS\system32\lphcgjvj0e945.exe','');
DeleteService('Spoolerlanmanserver');
DeleteService('IDriverTMessenger');
QuarantineFile('srv.exe','');
QuarantineFile('D:\WINDOWS\system32\Drivers\Winqi53.sys','');
QuarantineFile('D:\WINDOWS\system32\WinCtrl32.dll','');
DeleteFile('D:\WINDOWS\system32\Drivers\Winqi53.sys');
DeleteFile('srv.exe');
DeleteFile('D:\WINDOWS\system32\lphcgjvj0e945.exe');
DeleteFile('WinCtrl32.dll');
DeleteFile('D:\WINDOWS\system32\blphcgjvj0e945.scr');
BC_ImportDeletedList;
ExecuteSysClean;
ExecuteRepair(6);
ExecuteRepair(8);
BC_Activate;
RebootWindows(true);
end.
[/code]
пришлите карантин согласно приложения 3 правил ....
повторите логи ...
17.08.2008, 11:35
deep

[QUOTE=V_Bond;268774]все выполнять в нормальном режиме ....!!!
оключите восстановление системы !!!
[URL="http://www.majorgeeks.com/downloadget.php?id=5199&file=15&evp=0d36c3ec48c6373fd5daac78f0c6a417"]скачайте [/URL]C:\WINDOWS\System32\Drivers\Winqi53.sys - force delete
віполните скрипт ....
[/QUOTE]
скачался icesword, а где там force delete не нашел.
17.08.2008, 11:36
V_Bond

[url]http://virusinfo.info/showthread.php?t=17228[/url]
17.08.2008, 11:46
deep

[QUOTE=V_Bond;268789][url]http://virusinfo.info/showthread.php?t=17228[/url][/QUOTE]

угу. спасибо. только этот файл кто-то уже стер... может каспер.может avs
17.08.2008, 12:05
V_Bond

[QUOTE=deep;268793]угу. спасибо. только этот файл кто-то уже стер...
[/QUOTE]
ну это вряд -ли ....
логи давайте ...
17.08.2008, 12:08
deep

Вложений: 3

карантин выслал
оптравляю еще раз логи
17.08.2008, 12:50
V_Bond

выполните скрипт ...
[code]
begin
QuarantineFile('D:\WINDOWS\AUTOLO~1\AL2DLL.dll','');
end.
[/code]
пришлите карантин согласно приложения 3 правил ...
17.08.2008, 16:21
deep

отправил... вроде тишина пока... думаю сервисы были инсталированы... они вредили. посмотрим что ночью будет
17.08.2008, 17:23
V_Bond

AL2DLL.dll - чистый ...
больше ничего подозрительного ...
17.08.2008, 18:45
deep

Вложений: 3

НУ ЧЕГО ТО Я СГЛАЗИЛ. ОПЯТЬ ВСЕ ПРОЯВЛЯЕТСЯ.
ОТПРАвил весь карантин и файлы
еще есть подозрение на acrord32.exe как его добавить в карантин?
17.08.2008, 19:30
V_Bond

удалить в icesword
D:\WINDOWS\System32\drivers\Winxd23.sys
выполните скрипт ...
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('D:\WINDOWS\System32\drivers\Winxd23.sys');
BC_DeleteSvc('Winxd23');
BC_DeleteSvc('CiSvcIDriverT');
DeleteFile('D:\WINDOWS\system32\blphcgjvj0e945.scr');
DeleteFile('D:\WINDOWS\system32\lphcgjvj0e945.exe');
DeleteFile('WinCtrl32.dll');
BC_ImportDeletedList;
ExecuteSysClean;
ExecuteRepair(5);
ExecuteRepair(6);
ExecuteRepair(8);
BC_Activate;
RebootWindows(true);
end.
[/code]
повторте логи ...
17.08.2008, 20:19
deep

Вложений: 3

извините, что трачу ваши человеко-часы, но вот вам еще...
я не знаю, что вы там делаете с этими логами, но большое спасибо за терпение...
и если знаете кто это написал намыльте мне, я ему тоже здоровья хочу пожелать, т.к. оно ему скоро очень понадобится
17.08.2008, 20:24
Rene-gad

-[URL="http://virusinfo.info/showthread.php?t=4491"]Пофиксите[/URL] для порядка.
[QUOTE]O20 - Winlogon Notify: WinCtrl32 - D:\WINDOWS\[/QUOTE]
В остальном чисто.
Какие проблемы замечаете?
17.08.2008, 20:33
deep

каспер только что нашел и пофиксил...
проблемы следующие.... смотрю инет - новости про грузию, качаю торренты клиентом utorrent - канал загружен полностью... каааак только канал освобождается сразу захламляется h:\temp\ - это темповый каталог жестко указанный у меня в энвайроменте. появляются файлы windows\system32\~.exe,
h:\temp\scan.exe и подружаются в память. начинает жутко чирикать винт и я понимаю, что встрял
также меняется заставка - экран смерти(фейк, но прикольный), на десктопе появляется -spyware detected типа скачайте еще один инстольник трояна...
самое поганое -я системность этого выявить не могу
думаю, что наши "американские партнеры" ищут по торренту открытые компы и заливают туда троянов... но блин этим клиентом сколько народу пользуется и вроде тишина...

раньше маленький канал был - никому не нужен был, а щас....
17.08.2008, 20:50
V_Bond

заканчивайте пользоваться торентом .... ничего в нем хорошего нет ... и быть не может ... закрывайте все интернет шары ... давайте новые логи ...
17.08.2008, 21:04
deep

[QUOTE=V_Bond;269045]заканчивайте пользоваться торентом .... ничего в нем хорошего нет ... и быть не может ... закрывайте все интернет шары ... давайте новые логи ...[/QUOTE]

ну свежие логи чуть выше. торрент работал нормально до поры... я вовремя сделал 4 dvdr архива файлов и фоток =)

а торрентс хорошая штука, очень много полезной информации... подождем до утра. я уезжаю на неделю, в связи с вирусной эпидемией отключу комп. пусть отдыхает...
17.08.2008, 21:20
Rene-gad

[QUOTE=deep;269060]
а торрентс хорошая штука, очень много полезной информации... [/QUOTE]Замечательная штука - в течение 5 минут все количество полезной информации на Вашем компе становится достоянием мировой общественности...
17.08.2008, 21:52
deep

[QUOTE=Rene-gad;269066]Замечательная штука - в течение 5 минут все количество полезной информации на Вашем компе становится достоянием мировой общественности...[/QUOTE]

ну прогресс же... куда без него.. я не жадный =)
17.08.2008, 21:57
V_Bond

ну и будете мучиться с таким прогрессом ...
25.08.2008, 18:11
deep

добрый день! хотел поблагодарить всех за помощь! вроде вирусы успокоились, вашими страниями... еще понаблюдаю.

пиринг решил выделить в отдельную dmz и сделать на линукс... вроде там вирусов пока нет =)
спасибо.
22.02.2009, 07:09
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]4[/B][*]Обработано файлов: [B]114[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] d:\\windows\\system32\\drivers\\bmbemu.sys - [B]Rootkit.Win32.Agent.fys[/B][*] d:\\windows\\system32\\lphcgjvj0e945.exe - [B]Trojan.Win32.Monder.gen[/B] (DrWEB: Trojan.Packed.600)[*] d:\\windows\\system32\\winctrl32.dll - [B]Trojan-Downloader.Win32.Mutant.axq[/B] (DrWEB: Trojan.DownLoad.3503)[/LIST][/LIST]