Вирус: ДЗ и реестр отключены

Printable View

27.12.2008, 09:10
Khabby

Вложений: 3

Вирус: ДЗ и реестр отключены

Вставил флешку друга в комп, вылезло сообщение наподобие "Не найден диск D", сначала не придал внимание, только потом понял что это первый признак вируса на флехе. В общем, при попытке запустить ДЗ выдает: "ДЗ отключен администратором", Пуск-Выполнить-regedit: Редактирование реестра запрещено администратором системы. Выполнение команды Файл-Мастер поиска и устранения системных проблем-*обнаруживается 2 проблемы - блокировка дз и реестра*-исправить - ничего не дает. При изменени степени опасности на "Все проблемы" и потоврном "Исправлении отмеченных проблем" ДЗ и реестр таки открываются на 1 раз, затем блокируются снова. Сменяется заставка раб.стола. Нельзя прочитать письма через IE или Opera'у. Нет доступа к сайтам Касперского, не скачиваются файлы с названием kaspersky и dr.web. Чтобы запустить AVZ, avz.exe пришлось переименовать в 765.pif . С помощью программы Starter видно, что постоянно запущены пара-тройка процессов из C:\DOCUME~1\Admin\LOCALS~1\Temp. Удалить .exe файлы этих процессов нельзя, Unlocker удаляет их после ребута, но там появляются новые. Так же, не внушает доверия "Explorer.EXE" . При попытки вырубить его, он запускается сразу же самостоятельно. .exe файлы запускаются без проблем, не запускается только AVP. В безопасном режиме не получается ничего запустить, тк BSOD.
Хеееелп...
Вот логи:
[ATTACH]99714[/ATTACH]

[ATTACH]99715[/ATTACH]

[ATTACH]99716[/ATTACH]
27.12.2008, 09:54
light59

[URL="http://virusinfo.info/showthread.php?t=7239"]В AVZ -> файл-> Выполнить скрипт[/URL]

[CODE]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\yew.bat','');
QuarantineFile('C:\yannh.cmd','');
QuarantineFile('C:\p1y2.cmd','');
QuarantineFile('C:\o1.com','');
QuarantineFile('C:\m2nl.bat','');
QuarantineFile('C:\iky.bat','');
QuarantineFile('C:\i.bat','');
QuarantineFile('C:\h3.bat','');
QuarantineFile('C:\e.cmd','');
QuarantineFile('C:\abk.bat','');
QuarantineFile('C:\3rl3lqbq.bat','');
QuarantineFile('C:\2u.com','');
QuarantineFile('C:\Documents and Settings\Admin\Главное меню\Программы\Автозагрузка\avp2.pif','');
DeleteService('abp470n5');
QuarantineFile('C:\WINDOWS\system32\drivers\mpihkr.sys','');
QuarantineFile('C:\WINDOWS\system32\clipsrv.exe','');
DeleteFile('C:\WINDOWS\system32\drivers\mpihkr.sys');
DeleteFile('C:\2u.com');
DeleteFile('C:\3rl3lqbq.bat');
DeleteFile('C:\abk.bat');
DeleteFile('C:\e.cmd');
DeleteFile('C:\h3.bat');
DeleteFile('C:\i.bat');
DeleteFile('C:\iky.bat');
DeleteFile('C:\m2nl.bat');
DeleteFile('C:\o1.com');
DeleteFile('C:\p1y2.cmd');
DeleteFile('C:\yannh.cmd');
DeleteFile('C:\yew.bat');
BC_ImportALL;
BC_DeleteSvc('abp470n5');
ExecuteSysClean;
ExecuteRepair(10);
ExecuteRepair(11);
ExecuteRepair(17);
BC_Activate;
RebootWindows(true);
end.
[/CODE]
Компьютер перезагрузится.
Пришлите карантин согласно [URL="http://virusinfo.info/showthread.php?t=1235"]правил[/URL] по ссылке [URL="http://virusinfo.info/upload_virus.php?tid=36388"]http://virusinfo.info/upload_virus.php?tid=36388[/URL]
Повторите логи по правилам.

[size="1"][color="#666686"][B][I]Добавлено через 4 минуты[/I][/B][/color][/size]

Очистите TEMP папки кеш и прочее [URL="http://virusinfo.info/showthread.php?t=10025"]http://virusinfo.info/showthread.php?t=10025[/URL]
27.12.2008, 10:41
Khabby

Скрипт выполнился без проблем.
"Очистка папки Temp" не помогает, в ней все равно заново создается некая папка "WPDNSE" и пара .exe приложений.
Карантин выслан
27.12.2008, 11:13
Khabby

Вложений: 3

Вот новые логи:
[ATTACH]99726[/ATTACH]

[ATTACH]99727[/ATTACH]

[ATTACH]99728[/ATTACH]
27.12.2008, 12:07
light59

В AVZ скрипт
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
clearquarantine;
TerminateProcessByName('c:\docume~1\admin\locals~1\temp\ysmg.exe');
TerminateProcessByName('c:\docume~1\admin\locals~1\temp\ofotmx.exe');
QuarantineFile('c:\docume~1\admin\locals~1\temp\ysmg.exe','');
QuarantineFile('c:\docume~1\admin\locals~1\temp\ofotmx.exe','');
DeleteFile('c:\docume~1\admin\locals~1\temp\ofotmx.exe');
DeleteFile('c:\docume~1\admin\locals~1\temp\ysmg.exe');
bc_importall;
ExecuteSysClean;
BC_Activate;
ExecuteRepair(11);
ExecuteRepair(17);
RebootWindows(true);
end.[/code]
Компьютер перезагрузится.
Пришлите карантин согласно правил по ссылке [URL="http://virusinfo.info/upload_virus.php?tid=36388"]http://virusinfo.info/upload_virus.php?tid=36388[/URL]
Повторите логи по правилам.
27.12.2008, 14:26
Khabby

Вложений: 3

Скрипт выполнился, карантин выслан, нью логс:
[ATTACH]99745[/ATTACH]

[ATTACH]99746[/ATTACH]

[ATTACH]99747[/ATTACH]
27.12.2008, 14:32
light59

[URL="http://www.virusinfo.info/showthread.php?t=4491"]"Пофиксите"[/URL] в HijackThis
[CODE]
F2 - REG:system.ini: UserInit=C:\WINDOWS\System32\userinit.exe
[/CODE]
безопасный режим работает?
Что с остальными проблемами?
27.12.2008, 15:22
Khabby

Безопасный режим по прежнему не работает - в момент "press ESC for cancel loading sysptd[не помню точно как название]" вылезает БСОД. ДЗ и реестр так же недоступны. В папке Temp постоянно создается папка "WPDNSE" и пара .exe-приложений. Невозможно прочитать e-mail'ы. В процессах висит по 2-3 процесса, запущенных из папки Temp. Если by AVZ исправить проблемы блокировки ДЗ и реестра, и [B]сразу же[/B] запустить повторный поиск "Поиск и исправление" - найдены Блокировка ред. реестра и ДЗ.
В целом, если не считать удаленных первым скриптом cmd и bat'ов, ничего не изменилось. :sad:
27.12.2008, 17:05
light59

В AVZ
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\mschco.exe','');
BC_Importquarantinelist;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]
Пришлите карантин по правилам по той же ссыке
28.12.2008, 03:09
Khabby

Извините, что так долго, часовой пояс +7 мск :)
Карантин выслан.
p.s.: логи выкладывать каждый раз или только по вашему запросу?
28.12.2008, 03:50
pig

Не надо самодеятельности. Только то, что просят.
28.12.2008, 16:40
Khabby

[B]light59[/B], такими темпами мы не успеем до НГ :smile:
А если серьезно - что там у меня, все плохо? Или хуже некуда? Неизвестность страшнее всего.
28.12.2008, 16:51
light59

в AVZ
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\WINDOWS\system32\mschco.exe');
DeleteFile('C:\WINDOWS\system32\drivers\mpihkr.sys');
DeleteService('abp470n5');
BC_ImportDeletedList;
BC_DeleteSvc('abp470n5');
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]Логи повторите.

[SIZE=1][COLOR=#666686][B][I]Добавлено через 1 минуту[/I][/B][/COLOR][/SIZE]

И ещё вопрос. Проверку CureIt делали? Или он у вас не скачивается?
29.12.2008, 09:58
Khabby

Вложений: 3

[ATTACH]100062[/ATTACH]

[ATTACH]100063[/ATTACH]

[ATTACH]100064[/ATTACH]

Вы правы. Проверку CureIt не делал, из-за того что не скачивается.
30.12.2008, 06:47
Khabby

Up! И тигры у ног моих сели...
30.12.2008, 09:59
light59

В AVZ
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\WINDOWS\system32\drivers\mpihkr.sys');
BC_ImportDeletedList;
ExecuteSysClean;
ExecuteRepair(11);
ExecuteRepair(17);
BC_Activate;
end.[/code]
Отпишитесь, что с проблемами.
30.12.2008, 11:44
Khabby

[SIZE="2"][QUOTE]Проверка завершена
Удаление файла:C:\WINDOWS\system32\drivers\mpihkr.sys
>>>Для удаления файла C:\WINDOWS\system32\drivers\mpihkr.sys необходима перезагрузка
Автоматическая чистка следов удаленных в ходе лечения программ
[микропрограмма лечения]> удален параметр DisableTaskMgr ключа HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System
[микропрограмма лечения]> удален параметр DisableRegistryTools ключа HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System[/QUOTE][/SIZE]
После перезагрузки(или если без ребута, а просто вырубить AVZ) все "как обычно" - ред. реестра и дз блокированы, e-mail'ы не читаются. Повторное выполнение скрипта дает такой же результат.
Если не выключать AVZ после выполнения скрипта, то по нажатию на ctrl+alt+del вообще ничего не происходит, а на Пуск-Выполнить-regedit: "Отказано в достпуе к указанному устройству или файлу<....>объекту"(ну это, я так понимаю, из-за AVZGuard'a). Но! В это же время(т.е. AVZGuard 'on') AVP не запускается(через "Запустить приложение как доверенное" , конечно же) и e-mail'ы по-прежнему нечитаемы.
31.12.2008, 06:18
Khabby

Ага, значит так - сканер от Dr.Web'a с последними базами достал. Он обнаружил несколько троянов, и исцелил от "Win32.Sector.16" все ехе-файлы. Теперь есть доступ к сайту Касперского, читаются электронные письма. Но проблема блокировки ДЗ и ред.реестра по-прежнему актуальна.
31.12.2008, 12:10
pig

Должен такой скрипт помочь:
[code]begin
ExecuteRepair(6);
RebootWindows(true);
end.[/code]
01.01.2009, 04:41
Khabby

Выполнил скрипт, ребут. Жму ctrl+alt+del и О! Чудо! ДЗ заработал! закрываю дз, запускаю еще раз - и все. Опять старая песня - ДЗ отключен администратором.
Начал делать проверку сканером Dr.Web - оказалось, что все ехе-файлы снова заражены Win32.Sector.16 => нет доступа к сайту лаб-ии Касперского.
Что делать!?

[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]

Про exe-шники в папке Temp вообще молчу.
01.01.2009, 12:45
light59

Странно. Ну да ладно. Выполните то, что написано тут [URL="http://forum.kaspersky.com/index.php?showtopic=96438"]http://forum.kaspersky.com/index.php?showtopic=96438[/URL]
или тут [URL="http://virusinfo.info/showthread.php?t=15927"]http://virusinfo.info/showthread.php?t=15927[/URL]
01.01.2009, 16:38
pig

Так зверь, стало быть, жив. [url=http://virusinfo.info/showthread.php?t=15927]Инструкции общего плана[/url]

Я бы сделал так:
1. Скачать свежий CureIt (даже при наличии работающего Dr.Web невредно, оно специально заточено на лечение заражённых систем)
2. Перейти в безопасный режим, если возможно. В идеале - лучше вообще загрузиться Live CD или подключить диск к другой, заведомо чистой системе.
3. Полный скан системы скачаным CureIt. Всё найденное лечить, нелечимое в карантин, потом раздерётесь. Повторять до тех пор, пока зверь не перестанет обнаруживаться.

Sector - штука весьма противная из-за своей плодовитости. Может в процессе лечения повторно заражать уже вылеченные файлы.
22.02.2009, 09:42
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]3[/B][*]Обработано файлов: [B]63[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\abk.bat - [B]Trojan.Win32.Inject.knt[/B] (DrWEB: Trojan.PWS.Wsgame.4983)[*] c:\\docume~1\\admin\\locals~1\\temp\\lohy.exe - [B]Trojan.Win32.Agent.ateq[/B] (DrWEB: Trojan.Spambot.3378)[*] c:\\docume~1\\admin\\locals~1\\temp\\winlxglry.exe - [B]Trojan-Downloader.Win32.Small.agoy[/B] (DrWEB: Trojan.Spambot.3654)[*] c:\\e.cmd - [B]Packed.Win32.Krap.b[/B] (DrWEB: Trojan.PWS.Wsgame.4983)[*] c:\\h3.bat - [B]Trojan.Win32.Inject.ldi[/B] (DrWEB: Trojan.PWS.Wsgame.4983)[*] c:\\i.bat - [B]Worm.Win32.AutoRun.thn[/B] (DrWEB: Trojan.PWS.Wsgame.4983)[*] c:\\iky.bat - [B]Virus.Win32.Sality.aa[/B] (DrWEB: Trojan.PWS.Wsgame.4983)[*] c:\\m2nl.bat - [B]Packed.Win32.Krap.b[/B] (DrWEB: Trojan.PWS.Wsgame.4983)[*] c:\\o1.com - [B]Worm.Win32.AutoRun.tfo[/B] (DrWEB: Trojan.PWS.Wsgame.4983)[*] c:\\p1y2.cmd - [B]Virus.Win32.Sality.aa[/B] (DrWEB: Trojan.PWS.Wsgame.4983)[*] c:\\windows\\system32\\mschco.exe - [B]Trojan.Win32.Slefdel.bvu[/B] (DrWEB: Trojan.DownLoad.23548)[*] c:\\yannh.cmd - [B]Trojan-GameThief.Win32.Magania.akrq[/B] (DrWEB: Trojan.PWS.Wsgame.4983)[*] c:\\yew.bat - [B]Worm.Win32.AutoRun.pyk[/B] (DrWEB: Trojan.Nsanti.Packed)[*] c:\\2u.com - [B]Trojan-GameThief.Win32.Magania.amqn[/B] (DrWEB: Trojan.PWS.Wsgame.4983)[*] c:\\3rl3lqbq.bat - [B]Trojan.Win32.Inject.ldi[/B] (DrWEB: Trojan.PWS.Wsgame.4983)[/LIST][/LIST]