Изменились иконки локальный дисков, появился AutoPlay

Printable View

15.02.2009, 11:48
compik

Изменились иконки локальный дисков, появился AutoPlay

Изменились иконки локальных дисков, появилось AutoPlay.
Еще заметил что в Network Connections после каждой перезагрузки создается новый коннектион с именами "i-connect", "i-connection".
15.02.2009, 11:51
Гриша

[URL="http://virusinfo.info/showthread.php?t=7239"]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".[/URL]

[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('D:\vshost.exe','');
QuarantineFile('D:\autorun.inf','');
QuarantineFile('C:\vshost.exe','');
QuarantineFile('C:\autorun.inf','');
QuarantineFile('C:\Documents and Settings\Grish\Local Settings\Temporary Internet Files\Content.IE5\4EKNV82K\file[1].exe','');
QuarantineFile('C:\Documents and Settings\Grish\Local Settings\Temp\~tmpa.exe','');
QuarantineFile('C:\Documents and Settings\Grish\Local Settings\Temp\a.exe','');
QuarantineFile('C:\WINDOWS\system32\sysmgr.exe','');
QuarantineFile('C:\RECYCLER\S-1-5-21-8752097092-8961700784-327528087-2260\winservices.exe','');
QuarantineFile('c:\docume~1\grish\locals~1\temp\249.exe','');
TerminateProcessByName('c:\docume~1\grish\locals~1\temp\249.exe');
DeleteFile('c:\docume~1\grish\locals~1\temp\249.exe');
DeleteFile('C:\RECYCLER\S-1-5-21-8752097092-8961700784-327528087-2260\winservices.exe');
DeleteFile('C:\WINDOWS\system32\sysmgr.exe');
DeleteFile('C:\Documents and Settings\Grish\Local Settings\Temp\a.exe');
DeleteFile('C:\Documents and Settings\Grish\Local Settings\Temp\~tmpa.exe');
DeleteFile('C:\Documents and Settings\Grish\Local Settings\Temporary Internet Files\Content.IE5\4EKNV82K\file[1].exe');
DeleteFile('C:\autorun.inf');
DeleteFile('C:\vshost.exe');
DeleteFile('D:\autorun.inf');
DeleteFile('D:\vshost.exe');
DeleteFileMask('%tmp% ','*.* ',true );
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]

Пришлите карантин по правилам и повторите логи...
15.02.2009, 12:32
compik

Иконки востоновились, AutoPlay больше нет, но опять после перезагрузки сознается конектион i-connect. Он иногда отклучает интернет и подклучает себя, если удалить его, сново создается.
15.02.2009, 13:07
Rene-gad

[URL="http://virusinfo.info/showthread.php?t=7239"]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".[/URL]

[CODE]begin
ExecuteRepair(13);
RebootWindows(true);
end.[/CODE]

Повторите лог Hijackthis.
15.02.2009, 13:22
compik

А это нормально что у меня 8 svchost.exe ?

Прислал карантин, все нормально теперь ? логи чисти ?

[size="1"][color="#666686"][B][I]Добавлено через 1 час 13 минут[/I][/B][/color][/size]

UP!
15.02.2009, 17:45
Гриша

В логах чисто, установите SP3+all updates...
15.02.2009, 20:08
compik

После перезагрузки вирус сново появился..
15.02.2009, 21:07
compik

up!
15.02.2009, 22:11
Гриша

[URL="http://virusinfo.info/showthread.php?t=7239"]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".[/URL]

[CODE]begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('c:\docume~1\armen\locals~1\temp\swhost.exe','');
TerminateProcessByName('c:\docume~1\armen\locals~1\temp\swhost.exe');
TerminateProcessByName('c:\docume~1\armen\locals~1\temp\629.exe');
TerminateProcessByName('c:\docume~1\armen\locals~1\temp\571.exe');
TerminateProcessByName('c:\docume~1\armen\locals~1\temp\565.exe');
TerminateProcessByName('c:\docume~1\armen\locals~1\temp\538.exe');
TerminateProcessByName('c:\docume~1\armen\locals~1\temp\302.exe');
TerminateProcessByName('c:\docume~1\armen\locals~1\temp\134.exe');
TerminateProcessByName('c:\docume~1\armen\locals~1\temp\049.exe');
DeleteFile('c:\docume~1\armen\locals~1\temp\049.exe');
DeleteFile('c:\docume~1\armen\locals~1\temp\134.exe');
DeleteFile('c:\docume~1\armen\locals~1\temp\302.exe');
DeleteFile('c:\docume~1\armen\locals~1\temp\538.exe');
DeleteFile('c:\docume~1\armen\locals~1\temp\565.exe');
DeleteFile('c:\docume~1\armen\locals~1\temp\571.exe');
DeleteFile('c:\docume~1\armen\locals~1\temp\629.exe');
DeleteFile('c:\docume~1\armen\locals~1\temp\swhost.exe');
DeleteFile('C:\RECYCLER\S-1-5-21-7202922253-0314617910-780327871-2613\winservices.exe');
DeleteFile('C:\autorun.inf');
DeleteFile('C:\vshost.exe');
DeleteFile('D:\autorun.inf');
DeleteFile('D:\vshost.exe');
DeleteFileMask('%tmp% ','*.* ',true );
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]

Пришлите карантин по правилам, сделайте полную проверку AVPTool и повторите логи...
16.02.2009, 08:24
compik

Проверил все AVPTool'ом и Dr. Web CureIt!'ом.
Сделал повторные логи.
16.02.2009, 08:36
Гриша

Выполните это [url]http://virusinfo.info/showthread.php?t=10025[/url]

[URL="http://virusinfo.info/showthread.php?t=7239"]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".[/URL]

[CODE]begin
SetAVZGuardStatus(True);
DeleteFile('C:\Documents and Settings\Grish\Local Settings\Temp\~tmpb.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]

Повторите лог...

З.Ы. учтите если у вас есть флешка, он скорее всего заражена...
16.02.2009, 12:48
compik

Флешки нету, мусор удалил.
Повторные логи.
16.02.2009, 12:56
compik

Вот еще, сделал AVPTool'ом.
16.02.2009, 13:12
Rene-gad

[QUOTE=compik;349867]Вот еще, сделал AVPTool'ом.[/QUOTE]
Попробуйте им же сначала пролечиться в безопасном режиме. Скачайте тулзу по новой на флешку с защитой от записи или компактдиск.

Сменился профиль пользователя - началось все с начала....

Закройте/выгрузите все программы кроме AVZ и Internet Explorer.
Отключите
- ПК от интернета/локалки
- Антивирус и Файрвол.
- Системное восстановление.

- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт[/URL]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('c:\docume~1\armen\locals~1\temp\744.exe','');
QuarantineFile('c:\docume~1\armen\locals~1\temp\281.exe','');
TerminateProcessByName('c:\docume~1\armen\locals~1\temp\281.exe');
TerminateProcessByName('c:\docume~1\armen\locals~1\temp\744.exe');
QuarantineFile('C:\RECYCLER\S-1-5-21-5336702395-1740845906-391193591-7704\winservices.exe','');
TerminateProcessByName('c:\docume~1\armen\locals~1\temp\527.exe');
QuarantineFile('c:\docume~1\armen\locals~1\temp\527.exe','');
QuarantineFile('C:\autorun.inf','');
QuarantineFile('C:\vshost.exe','');
QuarantineFile('D:\autorun.inf','');
QuarantineFile('D:\vshost.exe','');
QuarantineFile('G:\autorun.inf','');
QuarantineFile('G:\vshost.exe','');
DeleteFile('G:\vshost.exe');
DeleteFile('G:\autorun.inf');
DeleteFile('D:\vshost.exe');
DeleteFile('D:\autorun.inf');
DeleteFile('C:\vshost.exe');
DeleteFile('C:\autorun.inf');
DeleteFile('c:\docume~1\armen\locals~1\temp\527.exe');
DeleteFile('C:\RECYCLER\S-1-5-21-5336702395-1740845906-391193591-7704\winservices.exe');
DeleteFile('c:\docume~1\armen\locals~1\temp\281.exe');
DeleteFile('c:\docume~1\armen\locals~1\temp\744.exe');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/CODE]

После перезагрузки:
- [url="http://virusinfo.info/showthread.php?t=10025"] Очистите [/url]темп-папки, кэш проводников и корзину.
- Закройте все программы, включая Антивирус и Файрвол, Оставьте запущенным [B]только Internet Explorer[/B]. Если он не запущен - запустите!!!
- Сделайте повторные логи
[CODE]virusinfo_syscure.zip
virusinfo_syscheck.zip
hijackthis.log [/CODE]
- Включите Антвирус и Файрволл
- Подключите ПК к интернету/локалке
- Закачайте карантин по ссылке [COLOR="Red"][B]Прислать запрошенный карантин[/B][/COLOR] вверху темы (Приложение 3 правил).
- Прикрепите логи к новому сообщению.
16.02.2009, 14:02
compik

Сделал все как написано, карантин выслал.
16.02.2009, 14:44
compik

up!
16.02.2009, 14:56
Rene-gad

Повычищайте [URL="http://virusinfo.info/showthread.php?t=10025"]временные папки и т.д[/URL]. во [B]всех учетках[/B], лучше всего - в безопасном режиме. Потом повторите логи.
16.02.2009, 15:50
compik

Почистил все в безопасном режиме.
Вот повторные логи.
16.02.2009, 16:00
Rene-gad

[QUOTE=compik;349949]Почистил все в безопасном режиме.[/QUOTE]Чем чистили? У пользователя Grish полн[B]о[/B] в папке Local Settings\Temporary Internet Files\Content.IE5\ (см. логи). Возмите CCleaner или ClearProg.
16.02.2009, 16:03
compik

Чистил AVZ.
Хорошо, спасибо, только это ? логи чисти ? вирус кажется исчез.
16.02.2009, 16:26
Rene-gad

[QUOTE=compik;349954]вирус кажется исчез.[/QUOTE]В логах сейчас ничего плохого.
17.02.2009, 16:26
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]4[/B][*]Обработано файлов: [B]69[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\documents and settings\grish\local settings\temp\a.exe - [B]Trojan.Win32.Agent2.ccv[/B][*] c:\documents and settings\grish\local settings\temporary internet files\content.ie5\4eknv82k\file[1].exe - [B]Trojan.Win32.Agent.bnwy[/B] (DrWEB: Trojan.DownLoad.28430)[*] c:\documents and settings\grish\local settings\temp\~tmpa.exe - [B]Trojan.Win32.BHOLamp.aeh[/B] (DrWEB: Trojan.MulDrop.30204)[*] c:\documents and settings\grish\local settings\temp\~tmpb.exe - [B]Packed.Win32.Krap.h[/B][*] c:\docume~1\armen\locals~1\temp\281.exe - [B]Trojan.Win32.Buzus.altu[/B][*] c:\docume~1\armen\locals~1\temp\527.exe - [B]Trojan.Win32.Buzus.alps[/B] (DrWEB: BackDoor.BotSiggen.37)[*] c:\docume~1\armen\locals~1\temp\744.exe - [B]Trojan-Dropper.Win32.Agent.aghi[/B] (DrWEB: Win32.HLLW.Recycler.3)[*] c:\docume~1\grish\locals~1\temp\249.exe - [B]Trojan.Win32.Buzus.alps[/B] (DrWEB: BackDoor.BotSiggen.37)[*] c:\recycler\s-1-5-21-5336702395-1740845906-391193591-7704\winservices.exe - [B]Trojan.Win32.Buzus.alpg[/B] (DrWEB: Win32.HLLW.Recycler.3)[*] c:\recycler\s-1-5-21-8752097092-8961700784-327528087-2260\winservices.exe - [B]Trojan.Win32.Buzus.alpg[/B] (DrWEB: Win32.HLLW.Recycler.3)[*] c:\vshost.exe - [B]Trojan.Win32.Buzus.alpl[/B] (DrWEB: Win32.HLLW.Recycler.3)[*] c:\vshost.exe - [B]Trojan.Win32.Buzus.altu[/B][*] c:\windows\system32\sysmgr.exe - [B]Trojan.Win32.Buzus.alps[/B] (DrWEB: BackDoor.BotSiggen.37)[*] d:\vshost.exe - [B]Trojan.Win32.Buzus.alpl[/B] (DrWEB: Win32.HLLW.Recycler.3)[*] d:\vshost.exe - [B]Trojan.Win32.Buzus.altu[/B][*] g:\vshost.exe - [B]Trojan.Win32.Buzus.alpl[/B] (DrWEB: Win32.HLLW.Recycler.3)[/LIST][/LIST]