conficker - не лечится антивирусами!

conficker - не лечится антивирусами!

Ситуация на 13.30 21 марта 2009г. в сети 58 компов ....заражены оказались 11..... 2 компа, после лечения антивирусами и утилитами ...так и остаются зараженными, на 3-х компах остались последствия(виснет explorer).....

ситуация изменилась! НОД32 с сегодняшними базами стал определять вирус
C:\windows\system32\сл.набор букв . что-нибудь.... удаляет после перезагрузки - но вирус остается.

Лечить надо компьютеры:
- установить надежные пароли на учетные записи пользователей с правами администратора.
- установить обновления безопасности на Windows.
А conficker надо удалять.

Остался 1 комп заражен, на втором виснет любая прога установленная шелом.... как восстановить настройки проводника?? перезапись ветки реестра с аналогичной машины, результата не дала ....

Логи с больного можно получить?

напишите по шагам.... где создается "[B]AVZ - virusinfo_syscure.zip"[/B]

Сделайте лог RootRepeal [url]http://virusinfo.info/showthread.php?t=40120[/url]

вот привожу логи с проблемной машины

Карантин из темы уберите! В логах AVZ червя не видно. Сделайте лог RootRepeal.

лог по запросу Александры

Да, не густо в логе. :(

Попробуйте это [URL]http://virusinfo.info/showthread.php?t=41675[/URL]

После, не перегружая машину сделайте лог Gmer [URL]http://virusinfo.info/showthread.php?t=40118[/URL]

Драйвер, дата создания 21.03.2009 - по моему это ОН! вирус.....

Это не он. Делайте то что написано.

прям на моих глазах:) появился в C:\windows\system32\drivers еще один драйвер!!! выслал в прикрепленном архиве.

Лог по вашему запросу еще делается.

У.... Как я с утра злой! Это драйвер AVZ. Не надо нам его присылать.

второй лог по запросу Александры.
Может я не правильно что то делаю....

в обычном режиме комп виснет минуты через 2-3...:( все логи я делаю в безопастном режиме.:)

1. Отключите восстановление системы и антивирус.
2. [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ:[/URL]

[code]begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteService('qitbed');
QuarantineFile('C:\WINDOWS\system32\bxkhyslg.dll','');
DeleteFile('C:\WINDOWS\system32\bxkhyslg.dll');
RegKeyParamDel('HKLM','SYSTEM\CurrentControlSet\Services\qitbed','Description');
RegKeyDel('HKLM','SYSTEM\CurrentControlSet\Services\qitbed');
BC_ImportAll;
ExecuteSysClean;
BC_DeleteSvc('qitbed');
BC_Activate;
RebootWindows(true);
end.[/code]После выполнения скрипта компьютер перезагрузится!
Пришлите карантин согласно [B]приложению 3[/B] [URL="http://virusinfo.info/showthread.php?t=1235"]правил.[/URL]
Загружать по ссылке: [URL]http://virusinfo.info/upload_virus.php?tid=42178[/URL]

3. Повторите лог Gmer.

Танец с бубном и заячьей лапкой привел к независанию компа.... логи сделал все заново...

Приношу свои извинения, за закачку ненужных файлов, это было вызвано только желанием быстрее решить проблему.

[size="1"][color="#666686"][B][I]Добавлено через 5 минут[/I][/B][/color][/size]

был получен скрипт лечения:

begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteService('qitbed');
QuarantineFile('C:\WINDOWS\system32\bxkhyslg.dll','');
DeleteFile('C:\WINDOWS\system32\bxkhyslg.dll');
RegKeyParamDel('HKLM','SYSTEM\CurrentControlSet\Services\qitbed','Description');
RegKeyDel('HKLM','SYSTEM\CurrentControlSet\Services\qitbed');
BC_ImportAll;
ExecuteSysClean;
BC_DeleteSvc('qitbed');
BC_Activate;
RebootWindows(true);
end.

после выполнения скрипта, карантин создан, но пустой, т.е. нет ни одного файла. Решил посмотреть в чем дело, для этого из скрипта убрал команду автоматической перезагрузки: RebootWindows(true);

в AVZ получил следующий листинг:

1.1 Поиск перехватчиков API, работающих в UserMode
Анализ kernel32.dll, таблица экспорта найдена в секции .text
Функция kernel32.dll:LoadLibraryExW (583) перехвачена, метод APICodeHijack.JmpTo[600D1EFF]
>>> Код руткита в функции LoadLibraryExW нейтрализован
Анализ ntdll.dll, таблица экспорта найдена в секции .text
Анализ user32.dll, таблица экспорта найдена в секции .text
Анализ advapi32.dll, таблица экспорта найдена в секции .text
Функция advapi32.dll:SystemFunction035 (620) перехвачена, метод APICodeHijack.JmpTo[600D1541]
>>> Код руткита в функции SystemFunction035 нейтрализован
Анализ ws2_32.dll, таблица экспорта найдена в секции .text
Анализ wininet.dll, таблица экспорта найдена в секции .text
Функция wininet.dll:InternetAlgIdToStringA (212) перехвачена, метод APICodeHijack.JmpTo[67001634]
>>> Код руткита в функции InternetAlgIdToStringA нейтрализован
Функция wininet.dll:InternetAlgIdToStringW (213) перехвачена, метод APICodeHijack.JmpTo[670017CF]
>>> Код руткита в функции InternetAlgIdToStringW нейтрализован
Анализ rasapi32.dll, таблица экспорта найдена в секции .text
Анализ urlmon.dll, таблица экспорта найдена в секции .text
Анализ netapi32.dll, таблица экспорта найдена в секции .text
1.2 Поиск перехватчиков API, работающих в KernelMode
Драйвер успешно загружен
SDT найдена (RVA=08B520)
Ядро ntoskrnl.exe обнаружено в памяти по адресу 804D7000
SDT = 80562520
KiST = 804E48A0 (284)
Проверено функций: 284, перехвачено: 0, восстановлено: 0
1.3 Проверка IDT и SYSENTER
Анализ для процессора 1
Анализ для процессора 2
Проверка IDT и SYSENTER завершена
1.4 Поиск маскировки процессов и драйверов
Поиск маскировки процессов и драйверов завершен
Драйвер успешно загружен
1.5 Проверка обработчиков IRP
Проверка завершена
Удаление службы/драйвера: qitbed
Ошибка карантина файла, попытка прямого чтения (C:\WINDOWS\system32\bxkhyslg.dll)
Карантин с использованием прямого чтения - ошибка
Ошибка карантина файла, попытка прямого чтения (C:\WINDOWS\system32\bxkhyslg.dll)
Карантин с использованием прямого чтения - ошибка
Удаление файла:C:\WINDOWS\system32\bxkhyslg.dll
>>>Для удаления файла C:\WINDOWS\system32\bxkhyslg.dll необходима перезагрузка
Автоматическая чистка следов удаленных в ходе лечения программ

[size="1"][color="#666686"][B][I]Добавлено через 4 часа 32 минуты[/I][/B][/color][/size]

кто сможет помочь??

[size="1"][color="#666686"][B][I]Добавлено через 35 минут[/I][/B][/color][/size]

ситуация изменилась, вирусы утилиты не находят. НО! explorer виснет, система тормозит очень сильно.

УРА! оригинал файла сохранить не удалось но!!! после вырезания из реестра ссылок на этот файл все стало на свои места! пароль к архиву:virus.

Проблема в том, что Вы делаете не то что нужно. А именно: закачиваете файлы которые Вас не просили закачивать, делаете логи в безопасном режиме, выполняете скрипт по нескольку раз (а иначе как объяснить, что в карантин ничего не попало - очень просто в начале скрипта стоит ClearQuarantine), выкидываете строчки из скрипта, после выполнения скрипта выкладываете все логи (хотя просили только лог Gmer). Я так и не поняла, что же было проделано на машине.

[size="1"][color="#666686"][B][I]Добавлено через 3 минуты[/I][/B][/color][/size]

Я логи смотрю посмотреть только завтра днем. Это на случай если никто не ответит. Сейчас загрузитесь в обычном режиме, и сделайте свежий лог Gmer. Больше пока ничего делать не надо!

[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]

Не нужно сюда прикреплять подозрительные файлы! Их следует отправлять по красной ссылке вверху.

этот комп чистый! проверил и нодом и касперским. тему прошу закрыть.

Еще остались ключи в реестре, которые созданы зловредом. Их необходимо удалить. Но если хотите закрыть тему, то можно и закрыть.