Компьютер заражен вирусами [Trojan-Downloader.Win32.Agent.azdt, Backdoor.Win32.Hupigon.fkww ]

Printable View

04.01.2009, 10:13
TornadoBS

Вложений: 3

Компьютер заражен вирусами [Trojan-Downloader.Win32.Agent.azdt, Backdoor.Win32.Hupigon.fkww ]

Комп начал странно себя вести: сначала перестал нормально завершать работу - выключение только по кнопке. Когда начал исследовать проблему, не смог загрузиться в безопасном режиме - после начала загрузки он перегружался. Не показывал данные "Мой компьютер", можно было зайти только в конкретную папку по ярлыку или введя ее имя в строке Проводника. Постоянно какие-то программы лезли в автозагрузку. Обратил внимание на огромный исходящий трафик. Многие программы перестали загружаться - просто висли...
Начать лечение стало возможно только после удаления из system32 4-х файлов имя которых начиналось с "tak" еще 2 буквы не помню, расширение exe и жесткой перезагрузки. Только после этого смог запустить Kasp Virus Removal, который нашел 61 вирус - трояны, ворм, пакт, адвар, и удалил эти файлы.
После этого сделал почти все в соответствии с правилами, кроме ХайДжека. Он не запускается, предлагает искать поисковиком винда. Файл скачал заново, но ситуация та же.
Прилагаю также отчет KVR.
Нужна помощь!
04.01.2009, 10:53
V_Bond

выполните скрипт
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteService('WINS');
QuarantineFile('C:\WINDOWS\system32\winos.exe','');
QuarantineFile('C:\WINDOWS\system32\takyx.exe','');
DeleteService('takyx');
DeleteService('takyd');
QuarantineFile('C:\WINDOWS\system32\takyd.exe','');
QuarantineFile('C:\WINDOWS\system32\takxx.exe','');
DeleteService('takxx');
DeleteService('taksw');
QuarantineFile('C:\WINDOWS\system32\taksw.exe','');
QuarantineFile('C:\WINDOWS\system32\takgu.exe','');
DeleteService('takgu');
DeleteService('takfl');
QuarantineFile('C:\WINDOWS\system32\takfl.exe','');
DeleteService('RiSingKaKa');
QuarantineFile('C:\WINDOWS\system32\RiSing.exe','');
DeleteFile('C:\WINDOWS\system32\RiSing.exe');
DeleteFile('C:\WINDOWS\system32\takfl.exe');
DeleteFile('C:\WINDOWS\system32\takgu.exe');
DeleteFile('C:\WINDOWS\system32\taksw.exe');
DeleteFile('C:\WINDOWS\system32\takxx.exe');
DeleteFile('C:\WINDOWS\system32\takyd.exe');
DeleteFile('C:\WINDOWS\system32\takyx.exe');
DeleteFile('C:\WINDOWS\system32\winos.exe');
DeleteFile('yes.exe');
DeleteFile('C:\Program Files\MyWebSearch\SrchAstt\1.bin\MWSSRCAS.DLL');
DeleteFile('C:\Program Files\MyWebSearch\bar\1.bin\F3POPSWT.DLL');
DeleteFile('C:\Program Files\MyWebSearch\bar\1.bin\M3OUTLCN.DLL');
DeleteFile('C:\Program Files\MyWebSearch\bar\1.bin\MWSBAR.DLL');
BC_ImportDeletedList;
ExecuteRepair(9);
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
пришлите карантин согласно приложения 3 правил
повторите логи
04.01.2009, 11:54
TornadoBS

Вложений: 3

Скрипт выполнил, но после его выполнения, когда комп ушел в перезагрузку он завис и выключился только по кнопке.

Вкладываю карантин, новые логи. Да, и ХайДжек тоже запустился.
04.01.2009, 12:18
V_Bond

читаем приложение 3 правил ...
04.01.2009, 13:47
TornadoBS

:unsure:
Прошу прощения! (Читать нужно внимательней!)

Я все загрузил.
04.01.2009, 15:32
V_Bond

в логах ничего плохого , что с проблемами ?
04.01.2009, 15:36
TornadoBS

Пока вроде проблем уже нет....
но какая-то программа без имени без названия просит вставить ассоциацию для расширения scr. Я ее не пускаю (scotty), но через 10-15 мин она повторяет запрос.
Раньше этого не было, она начала появляться во время лечения...
04.01.2009, 15:38
V_Bond

скриншет окна сделайте ...
04.01.2009, 15:46
TornadoBS

Как выскочит, сделаю...

И еще сейчас проверил, не могу загрузиться в безопасном режиме... после выбора системы бегут строки команд, и через несколько секунд комп перегружается....
04.01.2009, 15:49
Гриша

[URL="http://virusinfo.info/showthread.php?t=7239"]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".[/URL]

[CODE]begin
ExecuteRepair(10);
RebootWindows(true);
end.[/CODE]

Сообщите что с безопасным режимом...
04.01.2009, 15:57
TornadoBS

Вложений: 1

А вот и СкринШот:
04.01.2009, 22:42
TornadoBS

Скрипт сделал.... Безопасный режим загрузился!

[size="1"][color="#666686"][B][I]Добавлено через 6 часов 35 минут[/I][/B][/color][/size]

Что же можно сделать с этой ассоциацией?
04.01.2009, 23:15
V_Bond

ассоциации SCR файлов восстанавливаются при помощи авз- мастер поиска и устранения проблем ...
04.01.2009, 23:24
pig

Лог HijackThis при появлении окна сделайте (окно не закрывайте).
Вообще это похоже на какого-то доморощенного антишпиона.

P.S. Правильная команда для этого расширения:
[code]"%1" /S[/code]
Посмотрите в HKCR\scrfile\shell\open\command
05.01.2009, 00:00
TornadoBS

[quote=V_Bond;329247]ассоциации SCR файлов восстанавливаются при помощи авз- мастер поиска и устранения проблем ...[/quote]

Мастер выдал только очистку кэшей, загрузки с CD, очистку темпов, историй и т.п. Эту проблему он не исправил...

[quote=pig;329247]Лог HijackThis при появлении окна сделайте (окно не закрывайте).
Вообще это похоже на какого-то доморощенного антишпиона.[/quote]

Лог сделал при висящем окне ошибки, прикладываю, но такой строки в нем нет: HKCR\scrfile\shell\open\command ....
Scotty - отслеживает всякие изменения реестров, ассоциаций, автозагрузок на предмет несанкционированного прописания вредных или ненужных программ - это антишпион? Программа еще называется WinPatrol.

Что можно сделать еще?
05.01.2009, 00:04
TornadoBS

Вложений: 1

Вот лог ХайДжека.
05.01.2009, 00:10
pig

А, понятно, вы знаете, что такое scotty, вас смущают пустые NAME и Company name... Это нормальная реакция системы (информация явно от неё) на ассоциации такого типа, когда файл открывается самим собой. Естественно, заранее никак нельзя определить имя приложения и его "отцов".

В реестре посмотрите значение в ключе [B]HKEY_CLASSES_ROOT\scrfile\shell\open\command[/B] - что там сейчас?
05.01.2009, 00:19
TornadoBS

[quote=pig;329267]В реестре посмотрите значение в ключе [B]HKEY_CLASSES_ROOT\scrfile\shell\open\command[/B] - что там сейчас?[/quote]

REG_SZ "%1" /S

У меня есть подозрение, что это связано с удаленным MyWebSearch в процессе лечения компа.... Не могу сказать точно, но похожее сообщение выскакивало до лечения именно на программу или надстройку MyWebSearch.... А после лечения стало появляться вот такое безымянное сообщение....

Может где-то нужно подчистить?
Запрос корректировки из чего-то же возникает....
05.01.2009, 17:17
TornadoBS

Может кто-нибудь подсказать как убрать эту ошибку?
06.01.2009, 04:07
pig

А если сказать scotty "Да" - что будет? Он успокоится или нет и что пропишется в реестре?
12.01.2009, 10:42
TornadoBS

Так и сделал! Вроде больше не появляется сообщение... но пришлось отвечать в каждом пользователе компьютера....

Всем спасибо за помощь!
22.02.2009, 09:44
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]2[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\windows\\system32\\rising.exe - [B]Trojan-Downloader.Win32.Agent.azdt[/B] (DrWEB: BackDoor.Darkshell.59)[*] c:\\windows\\system32\\winos.exe - [B]Backdoor.Win32.Hupigon.fkww[/B] (DrWEB: Trojan.MulDrop.29816)[/LIST][/LIST]