Trojan Packed.612 и рассылка спама с компа

Printable View

07.09.2008, 15:18
Vivisin

Вложений: 3

Trojan Packed.612 и рассылка спама с компа

Нортон сообщил об отражённой атаке на комп, поймал несколько троянов, сообщил о десятке экзешников и .tmp, которые изменили параметры запуска системы, после этого пошла массовая рассылка писем с компа, система засыпала сообщениями о сбоях и комп сам перезагрузился.

После перезагрузки в трее повилось это дебильное "Your comp is infected".

Запустила Доктора Веба. Он нашёл Trojan.Packed.612, запросил "Лечить?", я нажала "Да", и после этого комп снова перезагрузился.
После перезагрузки появилось сообщение "Система восстановлена после серьёзной ошибки".

Снова запустила Паучка, снова обнаружен тот же троян, снова "Да" - та же фигня с перезагрузкой. И то же сообщение о восстановлении системы после серьёзной ошибки.

Плюнула на паука, запустила AVZ. Правда, после этих сообщений о восстановлении системы очканула и не отключила восстановление Винды. Гляньте логи, плиз, если всё-таки надо - я переделаю с отключенным восстановлением.

При каждом подключении к интернету идёт спам-рассылка :( В IE стартовой страницей стал Гугл (кстати, всё случилось при заходе на него, или с него на один из сайтов). Нортон продолжает сообщать о блокировке троянов.
07.09.2008, 15:37
Aleksandra

1. Отключите восстановление системы и антивирус.
2. [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ:[/URL]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteService('SysmonLogccSetMgr');
DeleteService('EventSystemWZCSVC');
DeleteService('EventSystem LiveUpdate Scheduler');
DeleteService('Winty63');
DeleteService('Winrw74');
DeleteService('Winpv06');
DeleteService('Wingq17');
DeleteService('Wingm73');
QuarantineFile('c:\windows\system32\braviax.exe','');
QuarantineFile('c:\docume~1\victor~1\locals~1\temp\loader.exe','');
QuarantineFile('C:\DOCUME~1\VICTOR~1\LOCALS~1\Temp\loader.exe','');
QuarantineFile('C:\WINDOWS\system32\WinCtrl32.dll','');
QuarantineFile('srv.exe','');
QuarantineFile('C:\WINDOWS\system32\dns-sd.exe','');
QuarantineFile('WinCtrl32.dll','');
DeleteFile('c:\windows\system32\braviax.exe');
DeleteFile('c:\docume~1\victor~1\locals~1\temp\loader.exe');
DeleteFile('C:\DOCUME~1\VICTOR~1\LOCALS~1\Temp\loader.exe');
DeleteFile('C:\WINDOWS\system32\WinCtrl32.dll');
DeleteFile('srv.exe');
DeleteFile('C:\WINDOWS\System32\Drivers\Wingm73.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Wingq17.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Winpv06.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Winrw74.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Winty63.sys');
DeleteFile('WinCtrl32.dll');
DeleteFile('C:\WINDOWS\system32\dns-sd.exe');
BC_ImportAll;
ExecuteSysClean;
BC_DeleteSvc('SysmonLogccSetMgr');
BC_DeleteSvc('EventSystemWZCSVC');
BC_DeleteSvc('EventSystem LiveUpdate Scheduler');
BC_DeleteSvc('Winty63');
BC_DeleteSvc('Winrw74');
BC_DeleteSvc('Winpv06');
BC_DeleteSvc('Wingq17');
BC_DeleteSvc('Wingm73');
BC_Activate;
RebootWindows(true);
end.[/CODE]
После выполнения скрипта компьютер перезагрузится!
Пришлите карантин согласно [B]приложению 3[/B] [URL="http://virusinfo.info/showthread.php?t=1235"]правил.[/URL]
Загружать по ссылке: [URL]http://virusinfo.info/upload_virus.php?tid=29732[/URL]

3. Повторите логи.
07.09.2008, 17:18
Vivisin

Вложений: 3

[B]Aleksandra[/B],

Ой, я уже всё переделала с отключенным восстановлением, новые логи прилагаю. Кстати, и рассылка спама прекратилась вроде.
Мне всё равно выполнить именно этот скрипт?
07.09.2008, 18:05
Aleksandra

[quote=Vivisin;280394]Мне всё равно выполнить именно этот скрипт?[/quote]
Да, в логах все тоже самое.

[size="1"][color="#666686"][B][I]Добавлено через 25 минут[/I][/B][/color][/size]

После выполнения скрипта повторите логи.
07.09.2008, 19:14
Vivisin

Вложений: 3

всё сделала.

После выполнения скрипта значок в трее "Ваш комп инфицирован" пропал, перед отсылкой карантина Нортон нашёл Trojan.Pandex и комп сам перезагрузился, послать карантин не успела (со второй попытки только удалось). После перезагрузки этот значок снова появился.
Нортон сообщил, что ему не удалось полностью удалить этот троян, и предложил перезагрузку для удаления. Перезагрузилась. Красный кружок с белым крестом после этого из трея исчез. При подключении к инету Нортон снова обнаружил тот же троян :(

Переделала логи, после перезагрузки значок снова в трее и спам снова рассылается с компа :( Скоро меня провайдер вообще отключит, наверное.:(
07.09.2008, 20:17
Vivisin

и braviax.exe снова в процессах :(

стартовая у IE - снова Гугл, причём переходы на любые другие страницы не работают вообще. То есть, фактически, IE уже не работает.
Почти не работает Outlook Express. Зависает намертво.

Помогите :(
07.09.2008, 21:40
V_Bond

отключите антивирус ... !!!
выполните скрипт ...
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
BC_DeleteSvc('Winsy30');
BC_DeleteSvc('Winrx17');
BC_DeleteSvc('SysmonLogccSetMgrDnscache');
BC_DeleteSvc('NtmsSvcRemoteAccess');
BC_DeleteSvc('MSIServerMSIServer');
BC_DeleteSvc('MDMmnmsrvc');
BC_DeleteSvc('lanmanworkstationCLSched');
BC_DeleteSvc('SysmonLoggusvc');
TerminateProcessByName('c:\windows\system32\braviax.exe');
DeleteFile('c:\windows\system32\braviax.exe');
DeleteFile('C:\WINDOWS\system32\WinCtrl32.dll');
DeleteFile('C:\WINDOWS\system32\braviax.exe');
DeleteFile('C:\WINDOWS\System32\Drivers\Winrx17.sys');
DeleteFile('WinCtrl32.dll');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
повторите логи...
07.09.2008, 23:01
Vivisin

Вложений: 3

сделала.
при перезагрузке после выполнения скрипта комп не перезагрузился, а завис, помогло только аварийное отключение.
при загрузке системы на рабочем столе не было ничего и ни одна программа не работала, я снова перезагрузилась.
на рабочем столе появилось сообщение о восстановлении Active Desktop, при нажатии на "Восстановить" вылезла ошибка сценария, "команда не поддерживается объектом.
07.09.2008, 23:09
V_Bond

[URL="http://www.majorgeeks.com/downloadget.php?id=5199&file=15&evp=0d36c3ec48c6373fd5daac78f0c6a417"]скачайте [/URL]C:\WINDOWS\System32\Drivers\Winwd28.sys - force delete
выполните скрипт ...
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
BC_DeleteSvc('Winnt17');
BC_DeleteSvc('Winci05');
BC_DeleteSvc('Winwd28');
BC_DeleteSvc('ThemesMessenger');
BC_DeleteSvc('S24EventMonitorRasAuto');
DeleteFile('C:\WINDOWS\System32\Drivers\Winwd28.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Winci05.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Winnt17.sys');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
повторите логи ...
07.09.2008, 23:33
Vivisin

Скачала (там был PC Tools Spyware Doctor), установила. Пишет, что нужно обновиться, нажала на Смарт Апдэйт, пишет, у меня последняя версия. Он должен запускаться и сканировать систему? Он это не делает.

Файл IceSword'ом удалила, логи сейчас повторю.
07.09.2008, 23:45
V_Bond

не нужен вам никакой Spyware Doctor .... руки вперед головы... не нужно было там ничего нажимать ...
07.09.2008, 23:51
Vivisin

Вы мне ссылку на него дали, сказали скачать. Деинсталлировать его?
08.09.2008, 00:23
V_Bond

да ...
08.09.2008, 00:50
Vivisin

Вложений: 2

вот логи.
IE опять не работает.
08.09.2008, 01:05
V_Bond

выполните скрипт ...
[code]
begin
ClearQuarantine;
QuarantineFile('C:\Program Files\kinozaltv\tbkin0.dll','');
BC_DeleteSvc('ThemesMessenger');
BC_DeleteSvc('S24EventMonitorRasAuto');
BC_Activate;
RebootWindows(true);
end.
[/code]
пришлите карантин согласно приложения 3 правил ...
08.09.2008, 07:52
Vivisin

Сделано.
08.09.2008, 09:18
V_Bond

выполните скрипт ...
[code]
begin
ExecuteRepair(2);
ExecuteRepair(3);
ExecuteRepair(4);
RebootWindows(true);
end.
[/code]
повторите логи ...
08.09.2008, 20:40
Vivisin

Вложений: 2

готово.
08.09.2008, 20:56
V_Bond

пуск выполнить
sc delete S24EventMonitorRasAuto
sc delete ThemesMessenger
после каждой строки естественно enter
повторите логи ...
08.09.2008, 21:27
Vivisin

Вложений: 2

есть.
08.09.2008, 21:30
V_Bond

ничего плохого что свашими проблемами ?
08.09.2008, 22:25
Vivisin

Вроде всё в порядке, спасибо большое!
Завтра куплю КИС, что-то Нортон меня подводит второй раз за полтора месяца, а ведь до этого 2 года с ним проблем не знала :(
Ну и SP3 поставлю, наверное, и пойду штудировать тему "Сетевая безопасность для "чайников". :)

[size="1"][color="#666686"][B][I]Добавлено через 20 минут[/I][/B][/color][/size]

Хмм, при щелчке правой кнопкой мыши по рабочему столу выдаётся сообщение: IE: эта страница имеет изъян в системе безопасности и может быть опасна. Продолжить? Да/Нет. Что с этим делать?
08.09.2008, 22:35
V_Bond

[QUOTE=Vivisin;280980]
Хмм, при щелчке правой кнопкой мыши по рабочему столу выдаётся сообщение: IE: эта страница имеет изъян в системе безопасности и может быть опасна. Продолжить? Да/Нет. Что с этим делать?[/QUOTE]
а теперь подробнее .... контекстное меню выпадает ?
08.09.2008, 22:45
Vivisin

Выпадает после того, как я нажимаю "Да". После "Нет" ничего не происходило.

Колдунство: после нажатия "Да" меню выпадало, но при каждом следующем клике по правой кнопе появлялось то же сообщение об изъяне в системе безопасности, и так несколько раз. Сейчас перестало. Само.
08.09.2008, 22:59
V_Bond

если появится будем смотреть в реестре ...
08.09.2008, 23:04
Vivisin

[quote=V_Bond;280999]если появится будем смотреть в реестре ...[/quote]

Отпишу тогда, если снова появится.
Ещё раз спасибо.
22.02.2009, 07:50
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]24[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\docume~1\\victor~1\\locals~1\\temp\\loader.exe - [B]Trojan-Downloader.Win32.Mutant.bgn[/B] (DrWEB: Trojan.DownLoad.2077)[*] c:\\windows\\system32\\braviax.exe - [B]Hoax.Win32.Renos.vbbl[/B] (DrWEB: Trojan.Packed.612)[*] c:\\windows\\system32\\winctrl32.dll - [B]Trojan-Downloader.Win32.Mutant.bgk[/B] (DrWEB: BackDoor.Bulknet.225)[/LIST][/LIST]