Вирусы в nicsk32.sys, port135sik.sys и мн. др.

Printable View

05.05.2009, 13:21
phonext

Вирусы в nicsk32.sys, port135sik.sys и мн. др.

NOD32 начал выдавать предупреждения о найденых троянских программах.

C:\WINDOWS\system32\drivers\nicsk32.sys
Событие в новом файле, созданном приложением C:\Temp\bnba2.tmp
C:\WINDOWS\system32\drivers\adsmsextq.dll
Событие в новом файле, созданном приложением svchost.exe
C:\WINDOWS\system32\drivers\port135sik.sys
Событие в новом файле, созданном приложением C:\Temp\BNC83.tmp
C:\WINDOWS\system32\drivers\ws2_32sik.sys
Событие в новом файле, созданном приложением C:\Temp\BNDE2.tmp
C:\WINDOWS\system32\drivers\ksi32sk.sys
Событие в новом файле, созданном приложением C:\Temp\BNE43.tmp
C:\WINDOWS\system32\drivers\netsik.sys
Событие в новом файле, созданном приложением C:\Temp\BNF9B.tmp.

Перезагрузил комп чтобы выполнить проверку AVZ. Комп часто подвисает, приложения AVZ и HijackThis не запускаются. Даже при щелчке на Мой компьютер комп зависает.

Перезагрузился в безопасном режиме, выполнил проверку AVPTool:

обнаружено: троянская программа Trojan-Spy.Win32.Delf.emh Файл: C:\Documents and Settings\Root\Local Settings\Application Data\Microsoft\lsass.exe//PE_Patch.UPX//UPX
обнаружено: троянская программа Trojan.Win32.Agent.nbu Файл: C:\Documents and Settings\Root\Local Settings\Application Data\Microsoft\kbrdwin5.dll
обнаружено: троянская программа Trojan.Win32.Rabbit.ac Файл: c:\documents and settings\root\root.exe
обнаружено: троянская программа Rootkit.Win32.Agent.ikz Файл: c:\windows\system32\drivers\acpi32.sys

Лечить он их не может. :(
В безопасном AVZ не запускается! Я даже логи сделать не могу! :furious3:
Помогите пожалуйста!
05.05.2009, 13:23
Гриша

Пробуйте этот AVZ [url]http://depositfiles.com/files/821x5y5lf[/url]
05.05.2009, 13:32
phonext

[QUOTE=Гриша;397342]Пробуйте этот AVZ [URL]http://depositfiles.com/files/821x5y5lf[/URL][/QUOTE]

Не качает у меня с депозита. Пишет что скачка уже идет. :(
05.05.2009, 13:36
Гриша

[url]http://slil.ru/27509396[/url]
05.05.2009, 14:51
phonext

Вложений: 2

HijackThis не запускается! :(
Логи AVZ:
05.05.2009, 14:57
phonext

Сканировние выполнял из безопасного режима. В обычном - комп зависает после запуска сканирования AVZ.
05.05.2009, 15:08
Гриша

[URL="http://virusinfo.info/showthread.php?t=7239"]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".[/URL]

[CODE]begin
QuarantineFile('C:\WINDOWS\system32\digiwet.dll','');
QuarantineFile('C:\Documents and Settings\Root\Root.exe','');
DeleteService('acpi32');
DeleteService('RDSessMgrWmiApSrv');
QuarantineFile('C:\WINDOWS\system32\12520850k.exe','');
DeleteFile('C:\WINDOWS\system32\12520850k.exe');
DeleteFile('C:\WINDOWS\system32\drivers\acpi32.sys');
DeleteFile('C:\Documents and Settings\Root\Root.exe');
DeleteFile('C:\WINDOWS\system32\digiwet.dll');
BC_ImportDeletedList;
ExecuteSysClean;
BC_DeleteSvc('acpi32');
BC_DeleteSvc('RDSessMgrWmiApSrv');
BC_Activate;
ExecuteRepair(6);
ExecuteRepair(9);
RebootWindows(true);
end.[/CODE]

Пришлите карантин по правилам и повторите логи...
05.05.2009, 15:53
phonext

Вложений: 3

Логи из безопасного режима. hijackthis стал запускаться ;)
05.05.2009, 16:10
Гриша

Базы обновите AVZ, попробуйте сделать логи в обычном режиме...
05.05.2009, 16:53
phonext

Вложений: 3

Новые логи, сделанные в обычном режиме с обновленной базой AVZ
05.05.2009, 16:55
Гриша

[URL="http://virusinfo.info/showthread.php?t=7239"]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".[/URL]

[CODE]begin
ClearQuarantine;
DeleteFile('digiwet.dll');
ExecuteSysClean;
RebootWindows(true);
end.[/CODE]

В логах чисто, установите SP3+all updates...
05.05.2009, 17:50
phonext

SP3 поставил! Спасибо огромное!!!
06.05.2009, 11:14
phonext

Добрый день! Было все нормально, до вечера! Вечером комп завис! При обычной загрузке появляется рабочий стол и комп зависает! Заразились все мои сайты! Порядка 10 штук! К ним в файлы php прописались куски кода со всплывающими окнами и с запуском сторонних скриптов! Сегодня с утра обнаружил, что на моем ноутбуке тот же вирус! У меня MacBook Pro и стоит помимо ОСИ еще винда ХР ! Теже самые вирусы! :( Что посоветуете???? HELP!!!!!

[size="1"][color="#666686"][B][I]Добавлено через 3 минуты[/I][/B][/color][/size]

Сейчас сижу под МАК ОСЬ Х. Что делать со стационарным компом который зависает при нормальной загрузке? В безопасном - грузится! С ноутом буду разбираться позже!
06.05.2009, 11:16
Bratez

[QUOTE]Что посоветуете????[/QUOTE]
Давайте новые логи, будем смотреть.

[size="1"][color="#666686"][B][I]Добавлено через 55 секунд[/I][/B][/color][/size]

Только для каждого ПК отедльная тема.
06.05.2009, 12:32
phonext

Вложений: 3

Логи сделанные в безопасном режиме.
06.05.2009, 12:34
phonext

Как-то подозрительно мало они весят :(
06.05.2009, 12:54
Гриша

[URL="http://virusinfo.info/showthread.php?t=7239"]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".
[/URL]

[CODE]begin
QuarantineFile('C:\WINDOWS\system32\digiwet.dll','');
DeleteService('whdxfpchylx');
QuarantineFile('C:\WINDOWS\system32\drivers\cbeshhksytrpxa.sys','');
DeleteFile('C:\WINDOWS\system32\drivers\cbeshhksytrpxa.sys');
DeleteFile('C:\WINDOWS\system32\digiwet.dll');
BC_ImportDeletedList;
ExecuteSysClean;
BC_DeleteSvc('whdxfpchylx');
BC_Activate;
RebootWindows(true);
end.[/CODE]

Пришлите карантин по правилам и повторите логи...
06.05.2009, 13:36
phonext

Вложений: 3

[SIZE=1]Файл сохранён как[/SIZE][SIZE=1]090506_132947_virus_4a01588b74bd6.zip[/SIZE][SIZE=1]Размер файла[/SIZE][SIZE=1]67938[/SIZE][SIZE=1]MD5[/SIZE][SIZE=1]d9340fff559ee3ffb0ca91447c037d88[/SIZE]

Новые логи из безопасного режима:
06.05.2009, 13:42
Rene-gad

Hijackthis обновите!!!

[QUOTE=phonext;397852]
Новые логи из безопасного режима[/QUOTE]...делать логи в безопасном режиме в общем и целом бессмысленно.

1. Пуск/Выполнить... набрать [B]msconfig[/B], нажать клавишу [B]ВВОД[/B].
2. В карточке Автозапуск - Все отключить
3. В карточке Службы - Службы Windows не показывать, остальные отключить.

Закройте/выгрузите все программы кроме AVZ и Internet Explorer.
Отключите
- ПК от интернета/локалки
- Антивирус и Файрвол.
- Системное восстановление.

- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт[/URL]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('digiwet.dll');
BC_ImportAll;
ExecuteSysClean;
SetAVZPMStatus(True);
BC_Activate;
RebootWindows(true);
end.
[/CODE]

После перезагрузки:

- [url="http://virusinfo.info/showthread.php?t=10025"] Очистите [/url]темп-папки, кэш проводников и корзину.
- Закройте все программы, включая Антивирус и Файрвол, Оставьте запущенным [B]только Internet Explorer[/B]. Если он не запущен - запустите!!!
- Сделайте повторные логи
[b]virusinfo_syscure.zip
virusinfo_syscheck.zip
hijackthis.log [/b]
- Включите Антвирус и Файрволл
- Подключите ПК к интернету/локалке
- Закачайте карантин по ссылке [COLOR="Red"][B]Прислать запрошенный карантин[/B][/COLOR] вверху темы (Приложение 3 правил).
- Прикрепите логи к новому сообщению.
06.05.2009, 15:36
phonext

Вложений: 3

Новые логи:
06.05.2009, 16:01
Гриша

В логах чисто...
06.05.2009, 18:58
phonext

Ни одно приложение не запускается :( Подскажите, с чем это может быть связано?
07.05.2009, 00:23
Гриша

А что происходит?
07.05.2009, 01:11
phonext

Я как понимаю происходит перезагрузка explorer.exe
Запускаю к примеру TotalCommander или что-то другое на секунду черный экран (или заставка раб стола) и ничего не происходит! Открытые папки закрываются! Видимо я перемудрил с очисткой компа =)
07.05.2009, 11:48
Гриша

1. Нажмите кнопку "Пуск" и выберите команду "Выполнить".
2. В диалоговом окне "Открыть" введите команду cmd и нажмите кнопку "OK".
3. В командной строке введите sfc /scannow и нажмите "ENTER".

Windows будет проверять целостность системных файлов,возможно понадобится диск с дистрибутивом.
08.05.2009, 11:48
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]3[/B][*]Обработано файлов: [B]7[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\documents and settings\root\root.exe - [B]Trojan.Win32.Rabbit.ac[/B] ( DrWEB: Trojan.DownLoad.33158, BitDefender: Trojan.Dropper.TAA )[*] c:\windows\system32\digiwet.dll - [B]Backdoor.Win32.Zdoogu.by[/B] ( BitDefender: Backdoor.Zdoogu.F )[*] c:\windows\system32\digiwet.dll - [B]Backdoor.Win32.Zdoogu.bw[/B] ( BitDefender: Trojan.Dropper.TAM )[*] c:\windows\system32\drivers\cbeshhksytrpxa.sys - [B]Rootkit.Win32.Agent.khm[/B] ( DrWEB: Trojan.NtRootKit.2903 )[*] c:\windows\system32\12520850k.exe - [B]Backdoor.Win32.IRCBot.jeq[/B][/LIST][/LIST]