Вирус Net-Worm.Win32.Kido.ih [Trojan.Win32.Pakes.oft ]

Printable View

12.01.2009, 16:57
priMary

Вложений: 3

Вирус Net-Worm.Win32.Kido.ih [Trojan.Win32.Pakes.oft ]

Не так давно, делая полную проверку на компьютере KAV 8.0.0.454 09/01/2009 был обнаружен следующий вирус Net-Worm.Win32.Kido.ih . Его лечение или просто удаление оказалось невозможным. Причина: отсутствие права на запись. Поискал на ВирусЛисте информацию о нем, но ничего не нашел. Лишь вчера наткнулся на статью о нем [URL="http://forum.kaspersky.com/index.php?showtopic=99451"]http://forum.kaspersky.com/index.php?showtopic=99451[/URL] . Пока ничего не заметил, но подозрительным стало то, что у меня автоматически включается/выключается обновление системы, хотя я его отключаю, автоматически включается/выключается Брандмауэр Windows. После этого заметил еще одну вещь, но я не знаю - относится ли это к данному вирусу. В процессах avp.exe стал отображаться 2 раза. Один в использовании память варьируется в пределе 342***KB, другой является постоянным и использует 12252KB. Причем только одна из них отображается в трее. Выключить оба процесса можно только путем выхода из самой программы. По отдельности завершение процессов не идет. Так же в автозапуске отображаются эти 2 процесса. Отключение их так же невозможно. При поставленной галочке - KAV запускается в самом начале при загрузке Windows. При отключенной (но в последующем она ставится сама собой) загрузка происходит после загрузки всех приложений и очень тормозит систему при запуске операционки.
Еще один момент. Похоже этот самый вирус заметил только полный антивирус KAV. При проверке утилитой Kaspersky Virus Removal Tool ничего обнаружено не было. А так же при проверке AVZ и Dr. Web CureIt.

[ATTACH]102554[/ATTACH]

[ATTACH]102555[/ATTACH]

[ATTACH]102556[/ATTACH]
12.01.2009, 17:31
PavelA

вот в этом файле что лежит:
C:\autorun.inf?

avp и должен отображаться два раза.
12.01.2009, 17:38
priMary

[QUOTE=PavelA;332640]вот в этом файле что лежит:
C:\autorun.inf?

avp и должен отображаться два раза.[/QUOTE]

а как посмотреть?
12.01.2009, 17:43
PavelA

При помощи "блокнота" открыть и содержимое скопировать и прислать сюда.
12.01.2009, 17:46
priMary

[QUOTE=PavelA;332648]При помощи "блокнота" открыть и содержимое скопировать и прислать сюда.[/QUOTE]

проблема в том что этот файл не отображается // и не является скрытым
12.01.2009, 17:51
PavelA

Карантин загрузите через [url]http://virusinfo.info/upload_virus.php?tid=37220[/url]
12.01.2009, 18:08
priMary

Хм. Обнаружено вирус Net-Worm.Win32.Kido.ih C:\WINDOWS\system32\olnljgg.dll//PE_Patch.UPX//UPX
Захожу по адресу - такого dll там нет
12.01.2009, 18:11
PavelA

Это кто сказал а/вирус? Он и удалил эту бяку. Странно, но в логах я ее не заметил.
12.01.2009, 18:15
priMary

Тогда почему выводит Обнаружено вредоносное ПО и в событиях Тип: Вирус -указывает на него.
12.01.2009, 18:41
PavelA

Карантина Вашего не вижу.
12.01.2009, 21:26
priMary

[QUOTE=priMary;332651]проблема в том что этот файл не отображается // и не является скрытым[/QUOTE]

хм... оказывается я все-таки не могу просматривать скрытые файлы. В свойствах папки ставлю нужную точку но она снова переключается на неотображение. Такое же поведение как и с выгрузкой avp из автозагрузки. Думаю это как раз из-за этого вируса.

следует что я не могу ни autorun.inf посмотреть ни послать в карантин этот olnljgg.dll . Ищу его через поиск а он мне выдает, мол нельзя его удалить.
12.01.2009, 22:02
Гриша

[URL="http://virusinfo.info/showthread.php?t=7239"]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".[/URL]

[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\autorun.inf');
DeleteFile('C:\WINDOWS\system32\olnljgg.dll');
DeleteFileMask('%tmp% ','*.* ',true );
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]

Повторите логи...
12.01.2009, 22:28
priMary

Выполнение скрипта прошло успешно. Windows еле-еле загрузился. KAV все равно указывает на наличие этого dll. Сейчас выложу логи
12.01.2009, 23:18
priMary

Вложений: 3

А вот и они:

[ATTACH]102670[/ATTACH]

[ATTACH]102671[/ATTACH]

[ATTACH]102672[/ATTACH]
12.01.2009, 23:23
Гриша

Логи нужны из обычного режима...
12.01.2009, 23:28
priMary

Моя ошибка. Лог syscure из безопасного. Остальное из обычного. Переделывать все логи заного или только этот?
12.01.2009, 23:29
Гриша

Только syscure...
12.01.2009, 23:43
priMary

Вложений: 1

Готово

[ATTACH]102684[/ATTACH]
12.01.2009, 23:45
Гриша

В логах его нет, у вас заплатка эта стоит?
[url]http://www.microsoft.com/technet/security/Bulletin/MS08-067.mspx[/url]
13.01.2009, 08:24
priMary

данная заплатка не ставится - конфликт языка самой заплатки с системой. Ставил Language как Russian так и English

[size="1"][color="#666686"][B][I]Добавлено через 36 минут[/I][/B][/color][/size]

Готово.
Хм. Ставится скачанной только через WindowsUpdate через IE.

[size="1"][color="#666686"][B][I]Добавлено через 7 часов 49 минут[/I][/B][/color][/size]

в KAV'е На карантине вирус Net-Worm.Win32.Kido.ih C:\WINDOWS\system32\olnljgg.dll//PE_Patch.UPX//UPX
а еще стал время от времени то удаляться то появляться в карантине просто Net-Worm.Win32.Kido.ih C:\WINDOWS\system32\olnljgg.dll
Это нормально?
13.01.2009, 08:27
Гриша

Заплатку поставили, давайте логи...
17.01.2009, 00:24
priMary

Не могу сделать полностью логи. только AWZ пункт 1 удался. Теперь, какую флешку не засунь (флешка до этого была проверена на др. компьютере на наличие вирусов а также была отформатирована) Тут же KAV выдает ошибку что идет обращение к этому самому файлу C:\WINDOWS\system32\olnljgg.dll//PE_Patch.UPX//UPX. А теперь, если быть точнее, к его карантину, в который смог поставить его KAV после данной заплатки. Теперь же я какую программу или приложение, пусть даже папку на рабочем столе не запускаю - пишет следующую ошибку: Windows - Диск отсутствует; и сам текст - Exception Processing Message c0000013 Parameters 75b3bf7c 75b3bf7c 75b3bf7c. Ну так вот, при запуске хоть чего-нибудь мне нужно стопятьсот раз нажать на отмену (причем все виснет и пока ошибка не пройдет ничего не загрузится). При работе же AWZ при сборе информации (пункт 2) каждый процесс не идет пока не будешь нажимать на данную кнопку. Ближе же к концу проверки она и вовсе не сходит, поэтому я ничего не могу сделать.

[size="1"][color="#666686"][B][I]Добавлено через 4 минуты[/I][/B][/color][/size]

А, и еще у меня AWZ нашел какой-то keylogger и отправил его в карантин. Можно его прислать отсюда или из др темы?
17.01.2009, 00:47
priMary

Вложений: 2

[ATTACH]103827[/ATTACH]

[ATTACH]103828[/ATTACH]
17.01.2009, 01:21
priMary

Вложений: 1

[ATTACH]103833[/ATTACH]
17.01.2009, 02:37
priMary

Вложений: 3

Наконец-то нормально получилось. Вот полные, обновленные логи. KAV пишет что вирус лежит у него в карантине. Это значит, что он до сих пор присутствует на компе?

[ATTACH]103843[/ATTACH]

[ATTACH]103844[/ATTACH]

[ATTACH]103845[/ATTACH]
17.01.2009, 21:06
priMary

ап
22.02.2009, 09:57
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]1[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]