Win32 /Adware.Virtumonde Win32+Privacyremover.M64

Printable View

26.08.2008, 01:13
Sashok SPB

Win32 /Adware.Virtumonde Win32+Privacyremover.M64

Объяснять нечего. Также как и у всех: надпись на рабочем столе, тормоза интернета и т.п.

Логи удалось загрузить только на openfile.ru

[url]http://openfile.ru/74892/[/url]
26.08.2008, 01:16
pig

[QUOTE=Sashok SPB;274133]Также как и у всех[/QUOTE]
Ну так и поступайте, [url=http://virusinfo.info/showthread.php?t=1235]как все[/url].
26.08.2008, 01:30
Sashok SPB

Не получается отправить файлы virusinfo_syscure.zip, virusinfo_syscheck.zip и hijackthis.log... Выдается ошибка. Как можно по другому отправить вам файлы?
26.08.2008, 01:32
pig

Заверните в один архив, закачайте на [url]http://virusinfo.ifolder.ru/[/url] и ссылку на скачивание сюда.
26.08.2008, 01:43
Sashok SPB

Похоже из-за вируса какая-то проблема. Не могу отправить файл.

[size="1"][color="#666686"][B][I]Добавлено через 2 минуты[/I][/B][/color][/size]

Выдаётся:

"
Соединение было сброшено

Во время загрузки страницы соединение с сервером было сброшено.

"
26.08.2008, 01:47
pig

Видимо, придётся это делать с другого компьютера.
26.08.2008, 01:55
Sashok SPB

Вложений: 3

Удалось загрузить на openfile.ru

[url]http://openfile.ru/74892/[/url]
26.08.2008, 10:03
Rene-gad

-[URL="http://virusinfo.info/showthread.php?t=4491"]Пофиксите[/URL]
[CODE]O8 - Extra context menu item: Web Research: Save Link Address As... - res://C:\PROGRA~1\WEBRES~1\wrshell.dll/#110
O8 - Extra context menu item: Web Research: Save Page Area (Frame) - res://C:\PROGRA~1\WEBRES~1\wrshell.dll/#102
O8 - Extra context menu item: Web Research: Save Page Area (Frame) As... - res://C:\PROGRA~1\WEBRES~1\wrshell.dll/#106
O8 - Extra context menu item: Web Research: Save Picture - res://C:\PROGRA~1\WEBRES~1\wrshell.dll/#101
O8 - Extra context menu item: Web Research: Save Picture As... - res://C:\PROGRA~1\WEBRES~1\wrshell.dll/#108
O8 - Extra context menu item: Web Research: Save Selected Targets As... - res://C:\PROGRA~1\WEBRES~1\wrshell.dll/#111
O8 - Extra context menu item: Web Research: Save Selection - res://C:\PROGRA~1\WEBRES~1\wrshell.dll/#104
O8 - Extra context menu item: Web Research: Save Selection As... - res://C:\PROGRA~1\WEBRES~1\wrshell.dll/#109
O8 - Extra context menu item: Web Research: Save Target - res://C:\PROGRA~1\WEBRES~1\wrshell.dll/#103
O8 - Extra context menu item: Web Research: Save Target As... - res://C:\PROGRA~1\WEBRES~1\wrshell.dll/#107
[/CODE]
[COLOR="Red"][B]Удалите один из антивирусов!!!
Второй отключите.
Отключите системное восстановление.[/B][/COLOR]
Повторите логи начиная от п.10 правил.
26.08.2008, 11:54
Sashok SPB

Вложений: 2

Выполнено
26.08.2008, 12:01
Rene-gad

Отключите
[B]- Системное восстановление. Сколько еще раз нужно Вам повторять?[/B]
- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт[/URL]
[CODE]
begin
SetAVZGuardStatus(True);
QuarantineFile('c:\windows\system32\svchost.exe','');
BC_QrFile('c:\windows\system32\svchost.exe');
BC_Activate;
RebootWindows(true);
end.
[/CODE]

После перезагрузки:
- Закачайте карантин по ссылке [COLOR="Red"][B]Прислать запрошенный карантин[/B][/COLOR] вверху темы (Приложение 3 правил).

Выполните пункт 2 правил. Если что-то будет найдено - не удаляйте, а запишите и сообщите тут.
26.08.2008, 12:10
Sashok SPB

Восстановление системы отключал, после перезагрузки опять включилось.
26.08.2008, 12:21
Rene-gad

[QUOTE=Sashok SPB;274276]Восстановление системы отключал, после перезагрузки опять включилось.[/QUOTE]Да хоть сто раз: проверяйте [B]перед запуском[/B] АВЗ состояние СВ.
26.08.2008, 12:43
Sashok SPB

Скрипт выполнил - Визуально ничего не изменилось.
Карантин отправил.
Выполняю п.2 правил.
26.08.2008, 12:52
Rene-gad

[QUOTE=Sashok SPB;274297]Скрипт выполнил - Визуально ничего не изменилось.[/QUOTE]и не должно было.
[QUOTE=Sashok SPB;274297]Карантин отправил.
[/QUOTE]
Выполните скрипт
[CODE]
begin
SetAVZGuardStatus(True);
ClearQuarantine;
QuarantineFile('c:\windows\system32\svchost.exe','');
BC_QrFile('c:\windows\system32\svchost.exe');
BC_Activate;
RebootWindows(true);
end.
[/CODE]
Проверьте наличие в карантине файла с расширением .dta. Если есть - повторите закачку, если не попал - найдите и закачайте по приложениям 2 и 3 правил.
26.08.2008, 13:32
Sashok SPB

Карантин отправил.
26.08.2008, 13:34
Rene-gad

[QUOTE=Sashok SPB;274323]Карантин отправил.[/QUOTE]В нем только ini - файл. Я же Вас просил проверить содержимое. Сделайте закачку файла по правилам приложения 2 и 3.
26.08.2008, 13:42
Sashok SPB

Виноват туплю!

Нужно отправить файл bcqr00001.dat?
Если так, то АВЗ (согласно приложения №2) ругается:

Ошибка карантина файла, попытка прямого чтения (C:\WINDOWS\system32\bcqr00001.dat)
Карантин с использованием прямого чтения - ошибка
26.08.2008, 13:46
Rene-gad

Загрузитесь с дистрибутива, при загрузке давите на клавишу R. Попадете в консоль восстановления.
На приглашение наберите
[CODE]copy c:\windows\system32\svchost.exe c:\svchost.dta [/CODE]
Загрузитесь нормально.
Пришлите файл[B] c:\svchost.dta[/B] по правилам.
26.08.2008, 14:25
Sashok SPB

svchost.dta отправилл
26.08.2008, 14:58
Rene-gad

[QUOTE=Sashok SPB;274359]svchost.dta отправилл[/QUOTE]По Вирустотал файл чистый.
- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт[/URL]
[CODE]
begin
executerepair(2);
executerepair(3);
executerepair(4);
executerepair(9);
RebootWindows(true);
end.
[/CODE]
После перезагрузки если ничего не изменится - выполните пункт 2 правил + проверку AVPTool (ссылка в подписи).
26.08.2008, 17:07
Sashok SPB

Выполнил скрипт. Визуально ичего не поменялось (сообщение на рабочем столе, кастрированы свойства десктопа и т.п.). Интернет по-прежнему глючит.

Выполняю п.2 + АВП

[size="1"][color="#666686"][B][I]Добавлено через 13 минут[/I][/B][/color][/size]

Dr.WEB выдал:

[FONT=Arial CYR]tdssadw.dll[/FONT][FONT=Arial CYR]C:\WINDOWS\system32[/FONT][FONT=Arial CYR]Trojan.Packed.612[/FONT][FONT=Arial CYR]tdssl.dll[/FONT][FONT=Arial CYR]C:\WINDOWS\system32[/FONT][FONT=Arial CYR]Trojan.Packed.612[/FONT][FONT=Arial CYR]tdsslog.dll[/FONT][FONT=Arial CYR]C:\WINDOWS\system32[/FONT][FONT=Arial CYR]Trojan.Packed.612[/FONT][FONT=Arial CYR]tdssmain.dll[/FONT][FONT=Arial CYR]C:\WINDOWS\system32[/FONT][FONT=Arial CYR]Trojan.Packed.612[/FONT][FONT=Arial CYR]tdssserf.dll[/FONT][FONT=Arial CYR]C:\WINDOWS\system32[/FONT][FONT=Arial CYR]Trojan.Packed.612[/FONT]
26.08.2008, 17:15
Rene-gad

[QUOTE=Sashok SPB;274443]
Dr.WEB выдал:[/QUOTE]
А хорошо было бы все по правилам делать. Тогда бы столько времени не потеряли.
Смог Др. Веб удалить файлы?
26.08.2008, 17:17
Sashok SPB

Когда у меня эта фигня начилась, я сканировал систему Вебом 4.33... Ничего не было выявлено.

Пока команду на удаление я не давал.
26.08.2008, 17:18
Rene-gad

[QUOTE=Sashok SPB;274460]
Пока команду на удаление я не давал.[/QUOTE]Попробуйте удалить, потом - AVPTool, потом логи в студию
26.08.2008, 19:43
Sashok SPB

Вложений: 3

ок

DrWeb всё, что нашёл (выше указывал), удалил.
AVPTools нормально устанавливается, но при запуске вывалиается с сообщением об ошибке:

AppName: is-q8d21.exe
AppVer: 7.0.0.223
ModName: ntdll.dll
ModVer: 5.1.2600.5512
Offset: 00011669

Также при повторном сканировании Вебом снова оказался заражён [FONT=Arial CYR]Trojan.Packed.612 [/FONT]файл [FONT=Arial CYR]C:\WINDOWS\system32\[/FONT]tdssl.dll .

Логи
27.08.2008, 10:02
Rene-gad

[QUOTE=Sashok SPB;274467]Также при повторном сканировании Вебом снова оказался заражён [FONT=Arial CYR]Trojan.Packed.612 [/FONT]файл [FONT=Arial CYR]C:\WINDOWS\system32\[/FONT]tdssl.dll .
[/QUOTE]Хмм... Давайте так: Отключите все, что можно. Если не сможете что-либо отключить:

1. Пуск/Выполнить... набрать [B]msconfig[/B], нажать клавишу [B]ВВОД[/B].
2. В карточке Автозапуск - Все отключить
3. В карточке Службы - Службы Windows не показывать, остальные отключить.
4. Перегрузить систему, далее по тексту.

Запустите АВЗ, активируйте AVZPM, сделайте логи начиная от п.10 правил.
22.02.2009, 07:30
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]4[/B][*]Обработано файлов: [B]8[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\program files\\battery miser\\mcidle.dll - [B]Trojan-GameThief.Win32.OnLineGames.sykx[/B][/LIST][/LIST]