Kryptik.GT, Wigon и Spy.Small.NBT

Добрый день,

Сегодня, видимо, что то подцепил в сети, до этого система работа 3 года стабильно.
Антивирус - [B]НОД32[/B], лицензия, базы от 09.03.2009г.
При запуске системы и входе в сеть помещает в карантин:

[LIST][*][B]Win32/Kryptik.GT[/B][*][B]Win32/Wigon[/B][*][B]Win32/Spy.Small.NBT[/B][/LIST]
Насколько я понимаю, лечить он не хочет, лишь складывает в карантин (((

Помимо этого не запускаются [B]Firefox[/B], [B]qip[/B], [B]notepad++[/B], возможно что то ещё, что не попалось мне на глаза, при этом две последние вылетают с ошибкой Application Error, ФФ же просто висит процессом.

При запуске системы появился Logon Screen (т.е. выбор пользователя), хотя он всего один, раньше этого момента при загрузке не было.
Также, при загрузке, вылетает ошибка:
[B]mDNSResponder.exe - Application Error[/B]
[I]The memory could not be "written"...[/I]

Буду очень признателен за помощь =)

[QUOTE][B][COLOR="Red"]
>>>> Опасно - файл avz.exe изменен, его CRC не прошла контроль по базе безопасных[/COLOR][/B][/QUOTE]Скачайте AVZ отсюда: [url]www.z-oleg.com/avz.exe[/url], базы обновлять в нем не надо,сделайте новые логи.

[quote=Rene-gad;369001]Скачайте AVZ отсюда: [URL="http://www.z-oleg.com/avz.exe"]www.z-oleg.com/avz.exe[/URL], базы обновлять в нем не надо,сделайте новые логи.[/quote]
новые логи

я понимаю, что у вас очень большое кол-во запросов и вы по возможности помогаете всем, но у меня большая просьба к вам, не забыть и про мою проблему, очень не хочется перестанавливать систему, уж очень много всего завязано на ней.

ещё раз, спасибо =)

Закройте/выгрузите все программы кроме AVZ и Internet Explorer.
Отключите
- ПК от интернета/локалки
- Антивирус и Файрвол.
- Системное восстановление.

- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт[/URL]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\MsSip3.dll','');
QuarantineFile('C:\WINDOWS\system32\MsSip2.dll','');
QuarantineFile('C:\WINDOWS\system32\MsSip1.dll','');
QuarantineFile('C:\autorun.inf','');
DeleteFile('C:\autorun.inf');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/CODE]

После перезагрузки:
- [url="http://virusinfo.info/showthread.php?t=10025"] Очистите [/url]темп-папки, кэш проводников и корзину.
- Закройте все программы, включая Антивирус и Файрвол, Оставьте запущенным [B]только Internet Explorer[/B]. Если он не запущен - запустите!!!
- Сделайте повторные логи
[CODE]virusinfo_syscure.zip
virusinfo_syscheck.zip
hijackthis.log [/CODE]
- Включите Антвирус и Файрволл
- Подключите ПК к интернету/локалке
- Закачайте карантин по ссылке [COLOR="Red"][B]Прислать запрошенный карантин[/B][/COLOR] вверху темы (Приложение 3 правил).
- Прикрепите логи к новому сообщению.

[quote=Rene-gad;369294] [/quote]
все манипуляции выполнил.

карантин отправил:
Файл сохранён как [B]090310_213240_2009-03-10_49b6b2486ac94.zip[/B]

[B]новые логи во вложениях[/B].

ЗЫ сегодня появились новые симптомы. То ли снесло крышу у НОДа, то ли что то ещё, он начал нападать на все ЕХЕшники, сообщая что там вирусы и подобная гадость, уже половина программ потеряли свои значки (стали просто белыми) и, соответственно, не запускаются.
Записал LiveCD Dr.Web'а, проверил, ничего не выявил... странно, кто то врет, либо НОД, либо Др.Веб.

ЗЗЫ вы, как профи, скажите, это лечется или нет, заразно ли для моей информации, т.к. она очень важна для меня и моей работы (((

спасибо =)

Закройте/выгрузите все программы кроме AVZ и Internet Explorer.
Отключите
- ПК от интернета/локалки
- Антивирус и Файрвол.
- Системное восстановление.

-[URL="http://virusinfo.info/showthread.php?t=4491"]Пофиксите[/URL]
[CODE]O3 - Toolbar: (no name) - {E0E899AB-F487-11D5-8D29-0050BA6940E3} - (no file)
O4 - HKCU\..\Run: [services] C:\WINDOWS\SERVICES.EXE
O16 - DPF: {BDEE1959-AB6B-4745-A29B-F492861102CC} -
[/CODE]

- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт[/URL]
[CODE]begin
SearchRootkit(true, true);
TerminateProcessByName('c:\windows\services.exe');
DeleteFile('c:\windows\services.exe');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/CODE]

После перезагрузки:
- Удалите [URL="http://virusinfo.info/showthread.php?t=27923"]Bonjour[/URL]
- [url="http://virusinfo.info/showthread.php?t=10025"] Очистите [/url]темп-папки, кэш проводников и корзину.
- Закройте все программы, включая Антивирус и Файрвол, Оставьте запущенным [B]только Internet Explorer[/B]. Если он не запущен - запустите!!!
- Сделайте повторные логи
[CODE]virusinfo_syscure.zip
virusinfo_syscheck.zip
hijackthis.log [/CODE]
- Включите Антвирус и Файрволл
- Подключите ПК к интернету/локалке
- Прикрепите логи к новому сообщению.[/QUOTE]

все манипуляции выполнил, логи прилагаю.

только что произвел проверку [B]CureIt[/B]'ом[I] (записанный на DVD'шку)[/I], результат почти нулевой:

c:\windows\system32\9F.tmp - [B]Trojan.Spambot.4349[/B]
c:\windows\system32\F.tmp - [B]Trojan.Spambot.4349[/B]

он их вылечил удалением, но тем не менее, ИМХО, это не главная зараза системы... что посоветуете делать дальше?

ЗЫ система уже 3 дня в "подвешенном" состоянии, всё ещё надеюсь на вас, не сношу, ибо очень сложно будет все восстанавливать =)

в логах ничего плохого не увидел ... что с проблемами ?

[quote=V_Bond;370066]в логах ничего плохого не увидел ... что с проблемами ?[/quote]
после удаления бонжура, он перестал ругаться на запуск сервиса.

осталось паническое нападение [B]NOD[/B]'а на многие ЕХЕ'шники в [B]Program Files [/B]и [B]Windows[/B], при этом, после его лечения/либо чего то ещё, они теряют свои значки и, соответственно, перестают запускаться.

список ругательств НОДа:

[LIST][*]Win32/Virut.NBM (больше всего ругательств на него, при этом самое большое кол-во заблокированных его копий в [B]system32/spoolsv.exe[/B])[*]Win32/Agent[*]Win32/Joleee.NF[/LIST]
Может заменить НОД на каспера, например, или опасно в такой ситуации?

[url]http://virusinfo.info/showthread.php?t=15927[/url]

[quote=V_Bond;370152][URL]http://virusinfo.info/showthread.php?t=15927[/URL][/quote]
проверку [B]CureIt[/B]'ом проводил вчера, результатов это не принесло.

сегодня, с утра, поставил на проверку с [B]LiveCD Dr.Web[/B]'а, думаю, к вечеру проверка закончится ))

если и это не принесет плодов, возьму завтра винт на работу, там установлен корпоративный [B]каспер[/B], возможно, он что найдет.

так что пока проблема не решена ((

[size="1"][color="#666686"][B][I]Добавлено через 11 часов 15 минут[/I][/B][/color][/size]

сейчас подключил винт к рабочему не заражённому компьютеру, на нем каспер 2009 (пока триал, но базы последние), запустил скан по зараженному диску, дошла проверка до папочки винды:

12.03.2009 19:33:33 Обнаружено: Virus.Win32.Virut.ce H:\WINDOWS\$NtServicePackUninstall$\cacls.exe
12.03.2009 19:33:33 Не вылечено: Virus.Win32.Virut.ce H:\WINDOWS\$NtServicePackUninstall$\cacls.exe Отложено
12.03.2009 19:34:21 Обнаружено: Virus.Win32.Virut.ce H:\WINDOWS\$NtServicePackUninstall$\powercfg.exe
12.03.2009 19:34:21 Не вылечено: Virus.Win32.Virut.ce H:\WINDOWS\$NtServicePackUninstall$\powercfg.exe Отложено
12.03.2009 19:43:13 Обнаружено: Virus.Win32.Virut.ce H:\WINDOWS\system32\fixmapi.exe
12.03.2009 19:43:13 Не вылечено: Virus.Win32.Virut.ce H:\WINDOWS\system32\fixmapi.exe Отложено

и т.д.

Что делать, не подскажите, можно ли лезть на этот диск и удалять эти файлы вручную, без угрозы заражения здорового компьютера?

Отложенные файлы с помощью АВЗ найдите и пришлите по правилам.

отправил:

Файл сохранён как [B]090312_200805_virus_49b941750c0b3.zip[/B]

[size="1"][color="#666686"][B][I]Добавлено через 57 минут[/I][/B][/color][/size]

что скажите насчет карантина, есть что интересное и как это лечится?

Результата по карантину пока нет, но ни KIS, Dr.Web, VBA у нас не среагировали...

[quote=Гриша;370572]Результата по карантину пока нет, но ни KIS, Dr.Web, VBA у нас не среагировали...[/quote]
наконец закончилось сканирование, каспер отрапортовал, что вылечены почти все (2 файла удалил, остальное вылечил).

вернул зараженный винт на место, запустил систему, НОД работает тихо, ни на что не нападает, трафика в интернет тоже нет, но квип и ФайрФокс все равно не запускаются (( остальное пока не тестил.

мб что вы посоветуете сделать дальше?

что не работает переустановить, лечение не всегда гарантирует работоспособность файла...

[quote=Гриша;370588]что не работает переустановить, лечение не всегда гарантирует работоспособность файла...[/quote]
с этим я согласен, мне главное, чтобы система была вылечена :)

прилагаю [B]последние логи[/B], гляньте пожалуйста, мб что ещё осталось.

а также карантин: [B]090313_074118_virus_49b9e3ee5ce2f.zip[/B]

acls.exe_, fixmapi.exe_, hostname.exe_, ie4uinit.exe_, powercfg.exe_, tintsetp.exe_, unlodctr.exe_, wmsetsdk.exe_, wscript.exe_

Вредоносный код в файлах не обнаружен.

Выполните:

[url]http://virusinfo.info/showthread.php?t=27923[/url]
[url]http://virusinfo.info/showpost.php?p=114778&postcount=1[/url]

Повторите пункт 2 диагностики...

[quote=Гриша;370739]Повторите пункт 2 диагностики...[/quote] выполнил, логи прилагаю

выполните скрипт
[code]
begin
QuarantineFile('C:\WINDOWS\system32\wbem\wmiprvse.exe','');
QuarantineFile('C:\WINDOWS\system32\digest.dll','');
end.
[/code]
пришлите карантин согласно приложения 3 правил

сделал: Файл сохранён как [b]090313_202135_virus_49ba961f5a3db.zip[/b]

доброе утро, есть что в моей посылке и что делать дальше?

ЗЫ все программы работают отлично, только FireFox до сих пор не запускается, даже после переустановки, просто висит как процесс, окно проводника не появляется.

[QUOTE=nova5;371307]доброе утро, есть что в моей посылке и что делать дальше?.[/QUOTE]
[QUOTE]digest.dll,
wmiprvse.exe_

Вредоносный код в файлах не обнаружен.[/QUOTE] :)

[b]Rene-gad[/b], спасибо ))

а не подскажите, можно ли убить процесс [B]wmiprvse.exe[/B], это ни на что не повлияет?

Обновления на системе все стоят?

[B]Гриша[/B], по возможности ставлю раз в месяц все набежавшие (последний раз был в январе).

Сейчас поставьте...

[quote=Гриша;371367]Сейчас поставьте...[/quote]
поставил все обновления, снес НОД, поставил каспера, ФФ запустился, но при этом каспер регистрирует трояна и тут же блокирует:

[I][I]Trojan-Downloader.JS.Plif.b[/I][/I]

есть вариант от него избавиться?

[size="1"][color="#666686"][B][I]Добавлено через 1 час 55 минут[/I][/B][/color][/size]

всё, проблему решил сносом ФФ и полной чистой профилей ФФ, после установки "начисто", ФФ работает, каспер не ругает =)

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]4[/B][*]Обработано файлов: [B]37[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]