Помогите обнаружено: троянская программа Trojan-Proxy.Win32.Small.np Модуль: winlogon.exe\winlogon.exe

Printable View

23.09.2008, 10:18
sergey2207

Вложений: 3

Помогите обнаружено: троянская программа Trojan-Proxy.Win32.Small.np Модуль: winlogon.exe\winlogon.exe

У меня проблема касперский с этим вирусом справиться не может на сайте касперско проверял сказали что файл не заражен, хотя всё время выскакивает сообщение об угрозе и придлагает этот файл удалить при удалении автоматически перегружает компютер и всё начинается снова
23.09.2008, 10:30
wise-wistful

Скачайте [url=http://ifolder.ru/6210513]IceSword[/url].

Запустите программу.
Внизу слева выберите меню File.
Появится аналог проводника. Найдите в нем файлы [quote]C:\WINDOWS\system32\WinCtrl32.dll
C:\WINDOWS\system32\Drivers\Winrv83.sys[/quote]
Нажмите по нему правой кнопкой мыши и выберите force delete.
На запрос потверждения ответьте "да".

Без перезагрузки

1.[url=http://virusinfo.info/showthread.php?t=7239]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".[/url]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\Documents and Settings\Sergey\Application Data\Microsoft\Windows\lsass.exe','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Winmq48.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Wingl50.sys','');
QuarantineFile('C:\WINDOWS\system32\Drivers\Winrv83.sys','');
QuarantineFile('C:\WINDOWS\system32\WinCtrl32.dll','');
QuarantineFile('c:\windows\winlogon.exe','');
TerminateProcessByName('c:\windows\winlogon.exe');
DeleteFile('c:\windows\winlogon.exe');
DeleteFile('C:\WINDOWS\system32\WinCtrl32.dll');
DeleteFile('C:\WINDOWS\system32\Drivers\Winrv83.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Wingl50.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Winmq48.sys');
DeleteFile('C:\System Volume Information\_restore{B3AB74A6-BFEA-40A5-84B8-BDDC0C4C0BDC}\RP24\A0004867.sys');
DeleteFile('C:\Documents and Settings\Sergey\Application Data\Microsoft\Windows\lsass.exe');
DeleteFile('C:\System Volume Information\_restore{B3AB74A6-BFEA-40A5-84B8-BDDC0C4C0BDC}\RP24\A0006908.sys');
BC_ImportAll;
BC_DeleteSvc('Winmq48');
BC_DeleteSvc('Wingl50');
BC_DeleteSvc('Winrv83');
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]
После выполнения скрипта компьютер перезагрузится.
Прислать карантин согласно [b]приложения 3 [url=http://virusinfo.info/showthread.php?t=1235]правил [/url][/b].
Загружать по ссылке: [url]http://virusinfo.info/upload_virus.php?tid=30716[/url]

2.Пофиксить в HijackThis следующие строчки ( [url]http://virusinfo.info/showthread.php?t=4491[/url] )
[CODE]O20 - Winlogon Notify: avicore - avicore.dll (file missing) [/CODE]

Повторите логи.
23.09.2008, 11:37
sergey2207

Вложений: 3

Файл Winrv83.sys найти не могу
23.09.2008, 11:43
Rene-gad

Закройте все открытые приложения, кроме АVZ и Internet Explorer.
Отключите
- ПК от интернета/локалки
- Антивирус и Файрвол.
- Системное восстановление.
-[URL="http://virusinfo.info/showthread.php?t=4491"]Пофиксите[/URL]

- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт[/URL]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('WinCtrl32.dll','');
QuarantineFile('C:\WINDOWS\system32\drivers\Winim83.sys','');
QuarantineFile('C:\WINDOWS\system32\drivers\NPXQNRTU.sys','');
QuarantineFile('C:\WINDOWS\system32\cssrss.exe','');
QuarantineFile('avicore.dll','');
DeleteService('NPXQNRTU');
DeleteFile('WinCtrl32.dll');
DeleteFile('C:\WINDOWS\system32\drivers\Winim83.sys');
DeleteFile('C:\WINDOWS\system32\drivers\NPXQNRTU.sys');
DeleteFile('C:\WINDOWS\system32\cssrss.exe');
DeleteFile('avicore.dll');
BC_ImportAll;
ExecuteSysClean;
BC_DeleteSvc('NPXQNRTU');
BC_Activate;
RebootWindows(true);
end.
[/CODE]

После перезагрузки:
- [url="http://virusinfo.info/showthread.php?t=10025"] Очистите [/url]темп-папки, кэш проводников и корзину.
- Закройте все программы, включая Антивирус и Файрвол, Оставьте запущенным [B]только Internet Explorer[/B]. Если он не запущен - запустите!!!
- Сделайте повторные логи по правилам.
- Включите Антвирус и Файрволл
- Подключите ПК к интернету/локалке
- Закачайте карантин по ссылке [COLOR="Red"][B]Прислать запрошенный карантин[/B][/COLOR] вверху темы.
- Прикрепите логи к новому сообщению.
23.09.2008, 13:04
sergey2207

Вложений: 3

1
23.09.2008, 13:06
Rene-gad

Ничего подозрительного.
Жалобы есть?
23.09.2008, 13:38
sergey2207

Да каспер обнаруживает уже новые заражённые файлы удалено: троянская программа Trojan-Downloader.Win32.Agent.dbt Файл: C:\WINDOWS\system32\nso12k.sys и sms
23.09.2008, 13:41
Rene-gad

Скачайте AVPTool (ссылка в подписи) и проверьте в безопасном режием систему.
Потом повторите логи.
24.09.2008, 09:09
sergey2207

Вложений: 3

Проверил в безопасном режиме нашло несколько троянов и удалило их но после перезагрузки опять каспер обнаруживает вот это обнаружено: троянская программа Trojan-Proxy.Win32.Small.mu Файл: C:\WINDOWS\file.bat
как не удаляй после перезагрузки снова вылазит
24.09.2008, 11:42
Rene-gad

Закройте все открытые приложения, кроме АVZ и Internet Explorer.
Отключите
- ПК от интернета/локалки
- Антивирус и Файрвол.
- Системное восстановление.
-[URL="http://virusinfo.info/showthread.php?t=4491"]Пофиксите[/URL]

- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт[/URL]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\DOCUME~1\Sergey\LOCALS~1\Temp\AdskCleanup.0001.dir.0001\~df394b.tmp','');
QuarantineFile('C:\DOCUME~1\Sergey\LOCALS~1\Temp\AdskCleanup.0001.dir.0001\~de56d5.tmp','');
QuarantineFile('c:\docume~1\sergey\locals~1\temp\adskcleanup.0001','');
QuarantineFile('c:\windows\services.exe','');
DeleteFile('c:\windows\services.exe');
DeleteFile('c:\docume~1\sergey\locals~1\temp\adskcleanup.0001');
DeleteFile('C:\DOCUME~1\Sergey\LOCALS~1\Temp\AdskCleanup.0001.dir.0001\~de56d5.tmp');
DeleteFile('C:\DOCUME~1\Sergey\LOCALS~1\Temp\AdskCleanup.0001.dir.0001\~df394b.tmp');
BC_ImportAll;
ExecuteSysClean;
BC_DeleteSvc('NPXQNRTU');
BC_Activate;
RebootWindows(true);
end.
[/CODE]

После перезагрузки:
- [url="http://virusinfo.info/showthread.php?t=10025"] Очистите [/url]темп-папки, кэш проводников и корзину.
- Закройте все программы, включая Антивирус и Файрвол, Оставьте запущенным [B]только Internet Explorer[/B]. Если он не запущен - запустите!!!
- Сделайте повторные логи по правилам.
- Включите Антвирус и Файрволл
- Подключите ПК к интернету/локалке
- Закачайте карантин по ссылке [COLOR="Red"][B]Прислать запрошенный карантин[/B][/COLOR] вверху темы.
- Прикрепите логи к новому сообщению.
24.09.2008, 14:36
sergey2207

Вложений: 3

Каспеский все время находит C:\WINDOWS\file.bat
24.09.2008, 15:21
Rene-gad

Обновите в конце концов базы АВЗ, иначе тема будет закрыта!!!

[QUOTE=sergey2207;288227]Каспеский все время находит C:\WINDOWS\file.bat[/QUOTE]
Отключите Касперского и посмотрите, что в этом файле в текстовом редакторе.
24.09.2008, 16:48
sergey2207

Базы обновил а вот что написано в том файле
netsh firewall add allowedprogram "C:\WINDOWS\services.exe" services.exe ENABLE
del %0
24.09.2008, 17:01
Rene-gad

[QUOTE=sergey2207;288330]Базы обновил а вот что написано в том файле
netsh firewall add allowedprogram "C:\WINDOWS\services.exe" services.exe ENABLE
del %0[/QUOTE]фтопку его...
24.09.2008, 17:27
sergey2207

Так самое интересное он удаляется а при перезагрузке опять появляется его кто то генерирует вот только кто я не могу понять
24.09.2008, 17:29
Rene-gad

Выполните лечение как тут описано: [url]http://virusinfo.info/showthread.php?t=15927[/url]
05.02.2009, 10:16
sergey2207

Вложений: 3

Интернет проявляет подозрительную активность

После потключение к интернету сразу начинается активная егоработа , , тоесть, страницы не открывались, почта не запускалась , всё чтоимело возмоность выхода в интернет было выключено а в свойствах соидиненияпоказывает что идё обмен даными.
05.02.2009, 11:58
Гриша

Отключите восстановление системы!

[URL="http://virusinfo.info/showthread.php?t=7239"]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".
[/URL]

[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\oembios.exe','');
DeleteService('c4a26383');
QuarantineFile('C:\WINDOWS\System32\drivers\c4a26383.sys','');
DeleteService('altwyxwfix');
QuarantineFile('C:\WINDOWS\system32\drivers\lpugpins.sys','');
DeleteFile('C:\WINDOWS\system32\drivers\lpugpins.sys');
DeleteFile('C:\WINDOWS\System32\drivers\c4a26383.sys');
DeleteFile('C:\WINDOWS\system32\oembios.exe');
BC_ImportALL;
ExecuteSysClean;
BC_DeleteSvc('c4a26383');
BC_DeleteSvc('altwyxwfix');
BC_Activate;
RebootWindows(true);
end.[/CODE]

Пришлите карантин по правилам и повторите логи...
05.02.2009, 15:53
sergey2207

Вложений: 3

Спасибо сделал
05.02.2009, 15:56
sergey2207

Карантин что то очень большой вышел 11 мб
05.02.2009, 16:02
Гриша

В логах чисто, установите SP3+all updates...

Пришлите из карантина только вот эти файлы, если есть:

[CODE]C:\WINDOWS\system32\drivers\lpugpins.sys
C:\WINDOWS\System32\drivers\c4a26383.sys
C:\WINDOWS\system32\oembios.exe[/CODE]
06.02.2009, 16:02
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]5[/B][*]Обработано файлов: [B]43[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\windows\services.exe - [B]Email-Worm.Win32.Joleee.ae[/B] (DrWEB: Trojan.Spambot.3588)[*] c:\windows\system32\cssrss.exe - [B]Trojan-Downloader.Win32.Agent.ahkq[/B] (DrWEB: Trojan.DownLoad.5986)[*] c:\windows\winlogon.exe - [B]Trojan-Proxy.Win32.Agent.bak[/B] (DrWEB: Trojan.Spambot.3202)[/LIST][/LIST]