Троян. Каспер не справляется.

Printable View

18.10.2008, 18:02
KellyM

Вложений: 3

Троян. Каспер не справляется.

Каспер находит троян Saturn.a в системной памяти, вроде лечит, но после перезагрузки находит его снова. И так без конца. Бит-дефендер еще парочку троянов нашел, удалить не смог, пишет что перенес.

В поведении компьютера глюков особых при этом не замечено.
Вот логи.

Прошу совета.
Спасибо
18.10.2008, 18:14
V_Bond

выполните скрипт
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\userinit.exe','');
QuarantineFile('C:\WINDOWS\System32\drivers\pxark.sys','');
DeleteService('VSSDnscache');
QuarantineFile('C:\WINDOWS\system32\acluio.exe','');
DeleteService('TrkWksDnscache');
QuarantineFile('C:\WINDOWS\system32\aaaamonk.exe','');
DeleteService('ShellHWDetectionwinmgmt');
QuarantineFile('C:\WINDOWS\system32\12520437g.exe','');
DeleteService('lanmanserverMSIServer');
QuarantineFile('C:\WINDOWS\system32\12520850x.exe','');
DeleteFile('C:\WINDOWS\system32\12520850x.exe');
DeleteFile('C:\WINDOWS\system32\12520437g.exe');
DeleteFile('C:\WINDOWS\system32\aaaamonk.exe');
DeleteFile('C:\WINDOWS\system32\acluio.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
пришлите карантин согласно приложения 3 правил
повторите логи
18.10.2008, 19:05
KellyM

Вложений: 3

карантин послал
вот логи

как оно?
18.10.2008, 19:14
Гриша

[URL="http://virusinfo.info/showthread.php?t=7239"]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".[/URL]

[CODE]begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteService('taskmon.sys');
QuarantineFile('C:\WINDOWS\system32\taskmon.sys','');
DeleteFile('C:\WINDOWS\system32\taskmon.sys');
BC_ImportALL;
ExecuteSysClean;
BC_DeleteSvc('taskmon.sys');
BC_Activate;
RebootWindows(true);
end.[/CODE]

Повторите логи...
18.10.2008, 20:12
KellyM

Вложений: 3

логи повторил.
все уже хорошо?
18.10.2008, 20:20
Гриша

В логах чисто, но нужно подожать ответа аналитиков по поводу файла userinit.exe
18.10.2008, 20:35
KellyM

Спасибо.

вот только беда первоначальная сохраняется - попробовал Карпера завустить - обнаруживает Trojan-proxi.win32.Saturn.a, пытается лечить но после перезапуска он снова появляется.

Файл userinit.exe -- не родной. Недавно в процессе войны с чем-то зловредным каспер его вообще снес, система перестала загружаться и мне пришлось восстанавливать этот файлик - брать его с другого компа.

Как же выловить Saturn этот нехороший?
18.10.2008, 20:38
Гриша

В каком файле он его находит? (точный путь)...
18.10.2008, 20:54
KellyM

пишет

Объект - system memory

найден .....

во втором красном окошке пишет - файл : system.memory

находит на первом проценте быстрой проверки. если выбиру опцию - "пропустить" то пишет - вылечено, и все становится зеленым даже без перезагрузки
18.10.2008, 20:56
V_Bond

активируйте [URL="http://virusinfo.info/showthread.php?t=12316"]AVZPM[/URL] повторите логи авз ...
18.10.2008, 21:56
KellyM

Вложений: 2

активировал AVZPM

логи вот. (ужасно долго их делает)
18.10.2008, 22:17
V_Bond

C:\WINDOWS\system32\svchost.exe - пришлите согласно приложения 2 правил
19.10.2008, 00:43
KellyM

в карантине оказалось 4 файла, отправил

[size="1"][color="#666686"][B][I]Добавлено через 2 часа 19 минут[/I][/B][/color][/size]

нет ли новостей для меня? извините за нетерпение
19.10.2008, 12:28
Rene-gad

[QUOTE=KellyM;298820]
нет ли новостей для меня? извините за нетерпение[/QUOTE]Вредоносный код в файлах не обнаружен. :)
19.10.2008, 18:03
KellyM

Вложений: 1

значит все в порядке? хорошо. спасибо. главное что зловредов нет.
а с глюком этим тогда наверное стоит написать в лабораторию касперского?

вот скрин - по-прежнему каждый раз при запуске проверки каспер выкидывает предупреждение, и если выбираю "лечить" - перезагружает комп. Несколько утомительно.
19.10.2008, 18:12
Rene-gad

Ничего не понимаю: У Вас же Битдефендер стоит, на скрине - интерфейс КИС. Вы Битдефендер удалили? Логи повторите.
19.10.2008, 19:06
KellyM

Вложений: 3

Да, Битдефендер вчера пользовал (бесплатную версию), когда проблема началась, еще до обращения к вам. (Из автозагрузки его убрал, но совсем его не удалял).
А еще пользовал CureIt - тоже не спасло.

а KIS у меня последний, месяц назад купил у производителя на сайте.

вот логи свежие.
19.10.2008, 19:23
Kuzz

1. Давайте посмотрим еще и эти файлы:
[url=http://virusinfo.info/showthread.php?t=7239]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".[/url]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\Drivers\Video3D.sys','');
QuarantineFile('C:\WINDOWS\system32\DRIVERS\irstusb.sys','');
QuarantineFile('C:\WINDOWS\system32\drivers\Senfilt.sys','');
QuarantineFile('C:\WINDOWS\system32\DRIVERS\rksample.sys','');
QuarantineFile('C:\WINDOWS\system32\DRIVERS\16554898.sys','');
QuarantineFile('\SystemRoot\system32\DRIVERS\16554898.sys','');
QuarantineFile('C:\WINDOWS\system32\CEUTIL.dll','');
QuarantineFile('c:\windows\system32\winlogon.exe','');
QuarantineFile('c:\windows\system32\services.exe','');
BC_ImportQuarantineList;
BC_Activate;
RebootWindows(true);
end.[/CODE]
После выполнения скрипта компьютер перезагрузится.
Прислать карантин согласно [b]приложения 3 [url=http://virusinfo.info/showthread.php?t=1235]правил [/url][/b].
Загружать по ссылке: [url]http://virusinfo.info/upload_virus.php?tid=32295[/url]

2. Вы проводили полное сканирование всего компьютера своим антивирусом (KAV)
Возможно он обнаружит то, на что ругается на диске.
19.10.2008, 23:57
KellyM

скрипт выполнил
карантин выслал
каспер по-прежнему глючит. запускаю полную проверку - это наверное надолго.

[size="1"][color="#666686"][B][I]Добавлено через 2 часа 49 минут[/I][/B][/color][/size]

полная проверка KAV - нашел несколько троянов - в отчете:

Обнаружено: Trojan.Win32.Small.xyp C:\WINDOWS\Temp\hd88.tmp
Обнаружено: Trojan-Spy.Win32.Agent.emp C:\WINDOWS\Temp\hd16C.tmp
19.10.2008 21:08:52 Обнаружено: Trojan-Proxy.Win32.Saturn.a System Memory
19.10.2008 21:55:23 Обнаружено: Trojan-Mailfinder.Win32.Agent.tu C:\WINDOWS\Temp\hd6EE.tmp
19.10.2008 21:55:21 Обнаружено: Backdoor.Win32.Rbot.vdr C:\WINDOWS\Temp\hd1A3.tmp

После лечения повторная полная проверка - все чисто.
После перезагрузки в быстрой проверке опять вылез Trojan-Proxy.Win32.Saturn.a в System Memory

бесперспективно?
20.10.2008, 09:08
V_Bond

выполните [url]http://virusinfo.info/showthread.php?t=10025[/url]
20.10.2008, 13:35
KellyM

Выполнил чистку с помощью AVZ, - не помогло. потом еще с CCleaner - все равно вылазит окно с предупреждением о трояне сатурн.а. Никогда не любил эту планету.
С горя отправил запрос в службу поддержки лаб касп., на всякий случай.
о результате сообщу.
спасибо.
22.02.2009, 08:46
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]3[/B][*]Обработано файлов: [B]30[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]