Процессы flec006.exe и hdlrrr.exe, помогите излечиться.

Printable View

11.10.2008, 13:41
abonent1978

Вложений: 3

Процессы flec006.exe и hdlrrr.exe, помогите излечиться.

В списке процессов стоят два незнакомых процесса - flec006.exe и hdlrrr.exe, загружают ЦП на 100%. Кроме того, в процессах появляются и процессы, имя которых состоят и 6 цифр с расширением .exe
Проверил комп согласно инструкций и правил. Логи прилагаются.
Пожалуйста, помогите избавится от зараз. :(
11.10.2008, 14:26
kps

Отключите восстановление системы, как написано в правилах.

[url=http://virusinfo.info/showthread.php?t=7239]Выполните скрипт в AVZ[/url]:
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('%System32%\drivers\srosa.sys','');
QuarantineFile('%System32%\drivers\hldrrr.exe','');
QuarantineFile('%System32%\wintems.exe','');
QuarantineFile('%System32%\drivers\mdelk.exe','');
QuarantineFile('%System32%\mdelk.exe','');
QuarantineFile('C:\Documents and Settings\User\Local Settings\Application Data\Google\Update\GoogleUpdate.exe','');
QuarantineFile('C:\Program Files\Google\Web Accelerator\GoogleWebAccToolbar.dll','');
QuarantineFile('c:\documents and settings\user\application data\m\flec006.exe','');
DeleteFile('c:\documents and settings\user\application data\m\flec006.exe');
DeleteFile('%System32%\drivers\hldrrr.exe');
DeleteFile('%System32%\drivers\srosa.sys');
DeleteFile('%System32%\wintems.exe');
DeleteFile('%System32%\drivers\mdelk.exe');
DeleteFile('%System32%\mdelk.exe');
BC_ImportALL;
ExecuteSysClean;
If DirectoryExists('%System32%\drivers\down') then
begin
DeleteFileMask('%System32%\drivers\down', '*.*', true);
DeleteDirectory('%System32%\drivers\down');
If DirectoryExists('%System32%\drivers\down') then
AddToLog('Папка down не удалена') else AddToLog('Папка down удалена');
end
else
AddToLog('Папки down нет');
If DirectoryExists('%System32%\drivers\downld') then
begin
DeleteFileMask('%System32%\drivers\downld', '*.*', true);
DeleteDirectory('%System32%\drivers\downld');
If DirectoryExists('%System32%\drivers\downld') then
AddToLog('Папка downld не удалена') else AddToLog('Папка downld удалена');
end
else
AddToLog('Папки downld нет');
If RegKeyParamExists('HKEY_CURRENT_USER', 'SOFTWARE\Microsoft\Windows\CurrentVersion\Run', 'drvsyskit') then
begin
AddToLog('Обнаружен параметр в реестре drvsyskit');
RegKeyParamDel('HKEY_CURRENT_USER', 'SOFTWARE\Microsoft\Windows\CurrentVersion\Run', 'drvsyskit');
If RegKeyParamExists('HKEY_CURRENT_USER', 'SOFTWARE\Microsoft\Windows\CurrentVersion\Run', 'drvsyskit') then
AddToLog('Ошибка удаления параметра drvsyskit') else
AddToLog('Параметр drvsyskit успешно удален');
end;
If RegKeyParamExists('HKEY_CURRENT_USER', 'SOFTWARE\Microsoft\Windows\CurrentVersion\Run', 'german.exe') then
begin
AddToLog('Обнаружен параметр в реестре german.exe');
RegKeyParamDel('HKEY_CURRENT_USER', 'SOFTWARE\Microsoft\Windows\CurrentVersion\Run', 'german.exe');
If RegKeyParamExists('HKEY_CURRENT_USER', 'SOFTWARE\Microsoft\Windows\CurrentVersion\Run', 'german.exe') then
AddToLog('Ошибка удаления параметра german.exe') else
AddToLog('Параметр german.exe успешно удален');
end;
if RegKeyExists('HKEY_CURRENT_USER', 'Software\FirstRRRun') then
begin
AddToLog('Найден ключ реестра FirstRRRun');
RegKeyDel('HKEY_CURRENT_USER', 'Software\FirstRRRun');
If RegKeyExists('HKEY_CURRENT_USER', 'Software\FirstRRRun') then
AddToLog('Ошибка удаления ключа реестра FirstRRRun') else
AddToLog('ключ реестра FirstRRRun успешно удален');
end;
BC_DeleteSvc('srosa');
BC_LogFile(GetAVZDirectory + 'boot_clr_B_d.log');
If BC_Activate then AddToLog('BootCleaner успешно активирован') else AddToLog('Внимание!!! BootCleaner не активирован!');
SaveLog(GetAVZDirectory + 'B_d.txt');
RebootWindows(true);
end. [/code]
Компьютер перезагрузится.

Выполните этот же скрипт еще раз.
Потом пришлите карантин по [url=http://virusinfo.info/showthread.php?t=1235]правилам[/url] и сделайте новые логи.

Еще прикрепите B_d.txt и boot_clr_B_d.log из папки AVZ.
11.10.2008, 15:21
abonent1978

Ïðîáëåìà ñ îòêëþ÷åíèåì âîññòàíîâëåíèÿ ñèñòåìû

Благодарю за оперативный ответ.
Столкнулся с проблемой отключения восстановленя системы - заблокированно групповой политикой. не возможности поставить галочку на опцию "Отключить восстановление системы".
:(
11.10.2008, 15:22
Гриша

Кодировку поправьте :)
11.10.2008, 15:42
abonent1978

Не получается "Отключить восстановлени

Благодарю за оперативный ответ.
Столкнулся с проблемой отключения восстановленя системы - заблокированно групповой политикой. не возможности поставить галочку на опцию "Отключить восстановление системы". :)
11.10.2008, 15:44
Гриша

Пропустите этот пункт :)
11.10.2008, 16:15
abonent1978

Вложений: 2

Файлы карантина

Решил проблему с отключением восстановления.
11.10.2008, 16:18
Гриша

Выполните скрипт еще раз и повторите логи...
11.10.2008, 16:20
abonent1978

Архив карантина

Архив карантина отправил по аплоуд. Получили?
11.10.2008, 16:40
Гриша

Получили :)
11.10.2008, 19:07
abonent1978

Вложений: 3

Повтор логов

Прилагаю логи полученные после выполнения скрипта :?
11.10.2008, 19:14
Rene-gad

[COLOR="Red"]Скачайте полную версию АВЗ, обновите базы!!![/COLOR]

[url=http://virusinfo.info/showthread.php?t=7239]Выполните скрипт в AVZ[/url]:
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('c:\windows\system32\drivers\hldrrr.exe');
DeleteFile('C:\WINDOWS\system32\drivers\srosa.sys');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end. [/code]

Повторите логи.
11.10.2008, 19:34
abonent1978

С полной версией идет ошибка при запуске прогараммы - avz не является приложением win32 :(
11.10.2008, 19:58
Гриша

Вы скрипт 2 раза выполняли?
11.10.2008, 20:27
abonent1978

Да, скрипт прогонял дважды. :(
11.10.2008, 20:31
Гриша

Выполните еще раз и повторите логи...
12.10.2008, 07:55
abonent1978

Вложений: 3

Выполнил скрипты, логи прилагаю, кажется уже заразы не мешают, но ЦП остаётся загруженным на 100%. Не могу удалить Касперского - внутреняя ошибка 2318 и безопасный режим винды не работает - синий экран. :(
12.10.2008, 12:05
Гриша

Мда, чего не хочет Bagle уходить :(

Скачайте [URL="http://swandog46.geekstogo.com/avenger2/download.php"]Avenger[/URL]
Переименуйте программу в football.pif
Запустите программу, вставьте в окно Avenger "Input script here:" следующий скрипт и запустите (кнопка "Execute"):

[CODE]Comment:
Script to delete the Bagle worm

Drivers to disable:
srosa

Files to delete:
C:\windows\system32\drivers\srosa.sys
C:\windows\system32\drivers\hldrrr.exe
C:\windows\system32\wintems.exe
C:\windows\system32\mdelk.exe
C:\windows\system32\drivers\mdelk.exe

Folders to delete:
C:\WINDOWS\system32\drivers\down
C:\WINDOWS\system32\drivers\downld[/CODE]

Компьютер перезагрузится (возможно 2 раза).
Прикрепите лог Avenger (лог будет здесь: C:\avenger.txt ).

Повторите логи...
12.10.2008, 20:35
abonent1978

Не получается запустить скрипт, выдает ошибку: Error: can't open file 'C:\cleanup.bat' (error 2: не удается найти указааный файл). :(
12.10.2008, 20:48
Гриша

[URL="http://virusinfo.info/showthread.php?t=7239"]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".[/URL]

[CODE]begin
ClearQuarantine;
QuarantineFile('C:\Program Files\TechniSat DVB\bin\Server4PC.exe','');
QuarantineFile('C:\Program Files\Nokia\Nokia PC Suite 7\PCSuite.exe','');
QuarantineFile('C:\Program Files\Nokia\Nokia PC Suite 6\PCSync2.exe','');
QuarantineFile('C:\Program Files\Free Download Manager\fdm.exe','');
QuarantineFile('C:\Program Files\Common Files\Ahead\Lib\NeroCheck.exe','');
QuarantineFile('C:\Program Files\Common Files\Acronis\Schedule2\schedhlp.exe','');
QuarantineFile('C:\Program Files\Adobe\Acrobat 8.0\Acrobat\Acrotray.exe','');
QuarantineFile('C:\Program Files\Acronis\TrueImageHome\TrueImageMonitor.exe','');
QuarantineFile('C:\Program Files\Acronis\TrueImageHome\TimounterMonitor.exe','');
QuarantineFile('C:\Documents and Settings\User\Local Settings\Application Data\Google\Update\GoogleUpdate.exe','');
BC_ImportQuarantineList;
BC_Activate;
RebootWindows(true);
end.[/CODE]

Загрузите карантин...
12.10.2008, 21:05
abonent1978

Карантин отправил
12.10.2008, 21:07
Гриша

Ждите пока я скачаю 5 метров и посмотрю :)

Берем в карантин все что находится в автозагрузке, потому, что червь шерстит этот ключ реестра и подменяет все исполняемые файлы свой копией...

Итого у нас подменен файл NeroCheck.exe-[B]Trojan-Downloader.Win32.Bagle.abz[/B]

Остальные файлы чистые...

[URL="http://virusinfo.info/showthread.php?t=7239"]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".[/URL]

[CODE]begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\Program Files\Common Files\Ahead\Lib\NeroCheck.exe ');
DeleteFile('c:\documents and settings\user\application data\m\flec006.exe');
DeleteFile('%System32%\drivers\hldrrr.exe');
DeleteFile('%System32%\drivers\srosa.sys');
DeleteFile('%System32%\wintems.exe');
DeleteFile('%System32%\drivers\mdelk.exe');
DeleteFile('%System32%\mdelk.exe');
BC_ImportALL;
ExecuteSysClean;
If DirectoryExists('%System32%\drivers\down') then
begin
DeleteFileMask('%System32%\drivers\down', '*.*', true);
DeleteDirectory('%System32%\drivers\down');
If DirectoryExists('%System32%\drivers\down') then
AddToLog('Папка down не удалена') else AddToLog('Папка down удалена');
end
else
AddToLog('Папки down нет');
If DirectoryExists('%System32%\drivers\downld') then
begin
DeleteFileMask('%System32%\drivers\downld', '*.*', true);
DeleteDirectory('%System32%\drivers\downld');
If DirectoryExists('%System32%\drivers\downld') then
AddToLog('Папка downld не удалена') else AddToLog('Папка downld удалена');
end
else
AddToLog('Папки downld нет');
If RegKeyParamExists('HKEY_CURRENT_USER', 'SOFTWARE\Microsoft\Windows\CurrentVersion\Run', 'drvsyskit') then
begin
AddToLog('Обнаружен параметр в реестре drvsyskit');
RegKeyParamDel('HKEY_CURRENT_USER', 'SOFTWARE\Microsoft\Windows\CurrentVersion\Run', 'drvsyskit');
If RegKeyParamExists('HKEY_CURRENT_USER', 'SOFTWARE\Microsoft\Windows\CurrentVersion\Run', 'drvsyskit') then
AddToLog('Ошибка удаления параметра drvsyskit') else
AddToLog('Параметр drvsyskit успешно удален');
end;
If RegKeyParamExists('HKEY_CURRENT_USER', 'SOFTWARE\Microsoft\Windows\CurrentVersion\Run', 'german.exe') then
begin
AddToLog('Обнаружен параметр в реестре german.exe');
RegKeyParamDel('HKEY_CURRENT_USER', 'SOFTWARE\Microsoft\Windows\CurrentVersion\Run', 'german.exe');
If RegKeyParamExists('HKEY_CURRENT_USER', 'SOFTWARE\Microsoft\Windows\CurrentVersion\Run', 'german.exe') then
AddToLog('Ошибка удаления параметра german.exe') else
AddToLog('Параметр german.exe успешно удален');
end;
if RegKeyExists('HKEY_CURRENT_USER', 'Software\FirstRRRun') then
begin
AddToLog('Найден ключ реестра FirstRRRun');
RegKeyDel('HKEY_CURRENT_USER', 'Software\FirstRRRun');
If RegKeyExists('HKEY_CURRENT_USER', 'Software\FirstRRRun') then
AddToLog('Ошибка удаления ключа реестра FirstRRRun') else
AddToLog('ключ реестра FirstRRRun успешно удален');
end;
BC_DeleteSvc('srosa');
BC_LogFile(GetAVZDirectory + 'boot_clr_B_d.log');
If BC_Activate then AddToLog('BootCleaner успешно активирован') else AddToLog('Внимание!!! BootCleaner не активирован!');
SaveLog(GetAVZDirectory + 'B_d.txt');
RebootWindows(true);
end.[/CODE]

Выполните скрипт 2 раза и повторите логи...
12.10.2008, 22:51
abonent1978

Вложений: 3

Кажется компу уже лучше :). Безопасный режим не работает, хотел сделать полное сканирование, подскажете как восстановить безопасный режим :?. Логи последнего скана прилагаю.
12.10.2008, 23:04
Гриша

[URL="http://virusinfo.info/showthread.php?t=7239"]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".[/URL]

[CODE]begin
ExecuteRepair(10 );
RebootWindows(true);
end.[/CODE]

Затем зайдите в безопасный режим и выполните полную проверку CureIT...

Вопрос на засыпку вы какой-нибудь кряк качали перед тем как все началось?
12.10.2008, 23:20
abonent1978

Кряком не пользовался, но все началось после апдейта Adobe acrobat. Полагаю, что вместо апдейта, загрузилось что-то левое :( и есть подозрения что резидент давно сидел в компе и ждал момента. :)
12.10.2008, 23:23
Гриша

Бог с ним, как система?
13.10.2008, 06:53
abonent1978

Ура! Система работает, безопасный режим тоже. Просканировал в безопасном режиме CureIt и AVPtool. Нашли очень много гадов.
Огромное спасибо Грише и всем кто помогал. :good::victory::appl:
22.02.2009, 08:33
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]3[/B][*]Обработано файлов: [B]48[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\documents and settings\\user\\application data\\m\\flec006.exe - [B]Email-Worm.Win32.Bagle.of[/B] (DrWEB: Win32.HLLM.Beagle)[*] c:\\program files\\common files\\ahead\\lib\\nerocheck.exe - [B]Trojan-Downloader.Win32.Bagle.abz[/B] (DrWEB: Win32.HLLM.Beagle.239)[*] c:\\windows\\system32\\drivers\\hldrrr.exe - [B]Trojan-Downloader.Win32.Bagle.abz[/B] (DrWEB: Win32.HLLM.Beagle.239)[*] c:\\windows\\system32\\drivers\\srosa.sys - [B]Trojan-Downloader.Win32.Bagle.zf[/B] (DrWEB: Win32.HLLM.Beagle.239)[*] c:\\windows\\system32\\mdelk.exe - [B]Email-Worm.Win32.Bagle.of[/B] (DrWEB: Win32.HLLM.Beagle)[*] c:\\windows\\system32\\wintems.exe - [B]Email-Worm.Win32.Bagle.of[/B] (DrWEB: Win32.HLLM.Beagle)[/LIST][/LIST]