Не запускается explorer.exe [Trojan.Win32.Agent.adcr, Trojan-Downloader.Win32.Mutant.aim ]

Printable View

14.01.2009, 13:27
koksinbox

Вложений: 3

Не запускается explorer.exe [Trojan.Win32.Agent.adcr, Trojan-Downloader.Win32.Mutant.aim ]

Здравствуйте. ПК в свободном доступе используетс я несколькими людьми.
Не загружается Эксплорер при включении, откат системы на несколько дней помог, теперь все повторилось через диспетчер грузится.
Периодически отключается доступ в сеть
rstrui.exe' - была попытка отключить самостоятельно через Advanced Uninstaller PRO 2004 - не помогло.
Антивирусы ничего не видят.
Спасибо заранее.
14.01.2009, 13:45
light59

Проверку CureIt или AVPTool делали?
14.01.2009, 13:49
koksinbox

Да, CureIt - нашел 3 вируса, Ваш написал, что их очень монго, но CureIt их не нашел..
Кстати после Вашей проверки комп летать стал...
14.01.2009, 13:57
light59

Скачать этот AVZ [URL="http://depositfiles.com/files/5k0qihqas"]http://depositfiles.com/files/5k0qihqas[/URL]
[URL="http://virusinfo.info/showthread.php?t=7239"]В скаченном AVZ -> файл-> Выполнить скрипт[/URL]

[CODE]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\PROGRA~1\Microsoft Common\wuauclt.exe','');
QuarantineFile('C:\WINDOWS\system32\Cpl32ver.exe','');
QuarantineFile('C:\WINDOWS\system32\drivers\Winty51.sys','');
QuarantineFile('C:\WINDOWS\system32\config\systemprofile\Local Settings\Temporary Internet Files\Content.IE5\MLI6GTRI\winload[1].exe','');
QuarantineFile('c:\windows\system32\..\svchost.exe','');
QuarantineFile('C:\WINDOWS\system32\DRIVERS\tansgt.sys','');
QuarantineFile('C:\WINDOWS\system32\DRIVERS\litsgt.sys','');
QuarantineFile('C:\WINDOWS\system32\Drivers\ati4glxx.sys','');
QuarantineFile('C:\WINDOWS\SYSTEM32\sysfldr.dll','');
DeleteFile('C:\WINDOWS\SYSTEM32\sysfldr.dll');
DeleteFile('C:\WINDOWS\system32\Drivers\ati4glxx.sys');
DeleteFile('srv.exe');
DeleteFile('c:\windows\system32\..\svchost.exe');
DeleteFile('C:\WINDOWS\system32\drivers\nphoik.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Din50.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Flp05.sys');
DeleteFile('C:\WINDOWS\System32\drivers\Nty83.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Oty62.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Ouy51.sys');
DeleteFile('C:\WINDOWS\System32\drivers\protect.sys');
DeleteFile('C:\WINDOWS\System32\drivers\tcpsr.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Wch38.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Wdi26.sys');
DeleteFile('C:\WINDOWS\System32\drivers\Winch51.sys');
DeleteFile('C:\WINDOWS\System32\drivers\Winfk04.sys');
DeleteFile('C:\WINDOWS\System32\drivers\Winip04.sys');
DeleteFile('C:\WINDOWS\System32\drivers\Winjo27.sys');
DeleteFile('C:\WINDOWS\System32\drivers\Winkp73.sys');
DeleteFile('C:\WINDOWS\System32\drivers\Winms26.sys');
DeleteFile('C:\WINDOWS\System32\drivers\Winpv62.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Winty51.sys');
DeleteFile('C:\WINDOWS\System32\drivers\Winty62.sys');
DeleteFile('C:\WINDOWS\System32\drivers\Winub27.sys');
DeleteFile('C:\WINDOWS\System32\drivers\Winye27.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Xei05.sys');
DeleteFile('sockspy.dll');
DeleteFile('sysfldr.dll');
DeleteFile('C:\WINDOWS\system32\config\systemprofile\Local Settings\Temporary Internet Files\Content.IE5\MLI6GTRI\winload[1].exe');
DeleteFile('C:\WINDOWS\system32\drivers\Winty51.sys');
DeleteFile('C:\WINDOWS\system32\Cpl32ver.exe');
DeleteFile('C:\PROGRA~1\Microsoft Common\wuauclt.exe');
DeleteService('ati4glxx');
BC_ImportALL;
BC_DeleteSvc('ati4glxx');
BC_DeleteSvc('Xei05');
BC_DeleteSvc('Winye27');
BC_DeleteSvc('Winub27');
BC_DeleteSvc('Winty62');
BC_DeleteSvc('Winty51');
BC_DeleteSvc('Winpv62');
BC_DeleteSvc('Winms26');
BC_DeleteSvc('Winkp73');
BC_DeleteSvc('Winjo27');
BC_DeleteSvc('Winip04');
BC_DeleteSvc('Winfk04');
BC_DeleteSvc('Winch51');
BC_DeleteSvc('Wdi26');
BC_DeleteSvc('Wch38');
BC_DeleteSvc('tcpsr');
BC_DeleteSvc('protect');
BC_DeleteSvc('Ouy51');
BC_DeleteSvc('Oty62');
BC_DeleteSvc('Nty83');
BC_DeleteSvc('Flp05');
BC_DeleteSvc('Din50');
BC_DeleteSvc('aic32p');
BC_DeleteSvc('wscsvcEventlog');
BC_DeleteSvc('ThemesWebClient');
BC_DeleteSvc('SharedAccessRpcSs');
BC_DeleteSvc('NetDDEdsdmUTSCSI');
BC_DeleteSvc('msupdate');
BC_DeleteSvc('MessengerNetDDEdsdm');
BC_DeleteSvc('EventSystemWmiApSrv');
BC_DeleteSvc('ERSvcRasAuto');
BC_DeleteSvc('AntiVirSchedulerSpooler');
ExecuteSysClean;
ExecuteRepair(9);
BC_Activate;
RebootWindows(true);
end.
[/CODE]
Компьютер перезагрузится.
Пришлите карантин согласно правил по ссылке [URL="http://virusinfo.info/upload_virus.php?tid=37364"]http://virusinfo.info/upload_virus.php?tid=37364[/URL]
Почиститесь от мусора [URL="http://virusinfo.info/showthread.php?t=10025"]http://virusinfo.info/showthread.php?t=10025[/URL]
Повторите логи по правилам.
14.01.2009, 14:26
koksinbox

Вложений: 1

После сканирования новым до чистки:
14.01.2009, 14:28
koksinbox

после чистки
14.01.2009, 14:30
Макcим

Имейте совесть! virusinfo_cure.zip - это карантин, я не успеваю убирать за Вами. :)
14.01.2009, 14:32
koksinbox

[quote=Maxim;333885]Имейте совесть! virusinfo_cure.zip - это карантин, я не успеваю убирать за Вами. :)[/quote]
надо подождать? мне написано прислать до и после...:unsure:
14.01.2009, 14:36
Макcим

Выполните скрипт[CODE]begin
ExecuteStdScr(6);
SearchRootkit(true, true);
SetAVZGuardStatus(true);
SetAVZPMStatus(true);
DeleteFile('C:\WINDOWS\System32\Drivers\Oty62.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Winty51.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Xei05.sys');
DeleteService('Xei05');
DeleteService('Winty51');
DeleteService('Oty62');
BC_ImportDeletedList;
BC_Activate;
ExecuteSysClean;
ExecuteWizard('TSW', 1, 1, true);
ExecuteWizard('BT', 1, 1, true);
RebootWindows(true);
end.[/CODE]Повторите логи.

[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]

[QUOTE=koksinbox;333888]надо подождать? мне написано прислать до и после...:unsure:[/QUOTE]Карантин запрещено выкладывать в теме. В теме Вы прикрепляете только логи.
14.01.2009, 15:08
koksinbox

Вложений: 1

Скрипт выполнен, после перезагрузки найдено неизвестное оборудование...
14.01.2009, 15:25
Гриша

Это побочный эффект, удалите это устройство, где остальные логи?
14.01.2009, 15:35
koksinbox

Вложений: 1

лог
14.01.2009, 15:43
koksinbox

Вложений: 1

голова пухнет, сорри
14.01.2009, 16:05
light59

Почитайте приложение 3 [URL="http://virusinfo.info/showthread.php?t=1235"]правил [/URL] о там, как присылать запрошенные файлы и какие это должны быть файлы...... Вы в скаченном AVZ скрипты делаете?
Пока лог гляну.

[size="1"][color="#666686"][B][I]Добавлено через 12 минут[/I][/B][/color][/size]

в AVZ
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\WINDOWS\System32\Drivers\Oty62.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Winty51.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Xei05.sys');
BC_ImportDeletedList;
ExecuteSysClean;
BC_DeleteSvc('Xei05');
BC_DeleteSvc('Winty51');
BC_DeleteSvc('Oty62');
BC_Activate;
RebootWindows(true);
end.[/code]
логи повторите.
14.01.2009, 16:40
koksinbox

Вложений: 3

Да, AVZ, а не Моnk.

еще при сканировании не смотрит диск Д, так и надо?
14.01.2009, 17:51
Bratez

В общем-то ничего плохого не видно, кроме ошметков старых антивирусов...

1. Удалите задания в Планировщике (Панель управления - Назначенные задания).

2. Выполните скрипт в AVZ:
[code]begin
BC_DeleteSvc('FCI');
BC_DeleteSvc('Xei05');
BC_DeleteSvc('Winty51');
BC_DeleteSvc('REGSpy');
BC_DeleteSvc('Oty62');
BC_DeleteSvc('nod32drv');
BC_DeleteSvc('FILESpy');
BC_DeleteSvc('avpg');
BC_DeleteSvc('MCVSRte');
BC_DeleteSvc('mcupdmgr.exe');
BC_DeleteSvc('KAVMonitorService');
BC_DeleteSvc('AVPCC');
BC_Activate;
RebootWindows(true);
end.[/code]
Компьютер перезагрузится.

Сделайте новые логи (только п.2 и 3 раздела Диагностика).
15.01.2009, 16:11
koksinbox

Вложений: 2

логи
15.01.2009, 16:26
Bratez

Планировщик очищен, а вот мусор в службах и драйверах так и остался, т.е. результат работы скрипта какая-то ваша программа откатила назад, наверно Avira?

На время выполнения отключите антивирус.

Пофиксите в HijackThis:
[code]
O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Program Files\ICQLite\ICQLite.exe (file missing)
O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Program Files\ICQLite\ICQLite.exe (file missing)
O20 - Winlogon Notify: sysfldr - C:\WINDOWS\
O22 - SharedTaskScheduler: COM+ Service - {3C49DDAC-3DA4-4743-AF6C-5974FEAF875C} - (no file)
[/code]
и выполните еще раз скрипт из сообщения #16, я его немного дополнил.

Потом сделайте заново два последних лога.
15.01.2009, 16:44
koksinbox

Вложений: 2

лог
15.01.2009, 17:27
Bratez

О! Теперь порядок!
Какие жалобы остались?
15.01.2009, 17:44
koksinbox

[quote=Bratez;334525]О! Теперь порядок!
Какие жалобы остались?[/quote]
Спасибо огромное, никаких!!! (Вопросов много)!!!! (Чешу голову, пошел читать "основы" у Вас на сайте)
22.02.2009, 09:58
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]6[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\windows\\system32\\config\\systemprofile\\local settings\\temporary internet files\\content.ie5\\mli6gtri\\winload[1].exe - [B]Trojan.Win32.Agent.adcr[/B] (DrWEB: BackDoor.Bulknet.237)[*] c:\\windows\\system32\\cpl32ver.exe - [B]Trojan.Win32.Agent.adcr[/B] (DrWEB: BackDoor.Bulknet.237)[*] c:\\windows\\system32\\drivers\\winty51.sys - [B]Trojan-Downloader.Win32.Mutant.aim[/B][/LIST][/LIST]