Kryptik.SQ

Printable View

11.06.2009, 01:23
ToshaChe

Вложений: 3

Win32/Rootkit.Agent.ODG и Win32/Kryptik.SQ

Антивирус Eset Smart Security 4.0.314.0
обнаруживает в оперативной памяти Win32/Rootkit.Agent.ODG,удаление которого не возможно,а также \\?\globalroot\systemroot\system32\MSIVXlxirrdnvgwyylarjbuwkdmhmttnpvjxu.dll модифицированный Win32/Kryptik.SQ,который он удаляет,но при следующем запуске Windows он появляется вновь.
11.06.2009, 02:41
Bratez

Пофиксите в HijackThis:
[code]
R3 - URLSearchHook: (no name) - - (no file)
O2 - BHO: Доступ к платному контенту Aldea v1.6.0 - {B8F88615-A49E-4443-A26F-E97379BE1B1A} - (no file)
O2 - BHO: FieryAds advertising module v1.5.0 - {CF272101-7F6E-4CF2-9453-B4C5D2FC32C0} - (no file)
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O17 - HKLM\System\CCS\Services\Tcpip\..\{E1845C8E-903D-47AF-896F-34C43B9070FE}: NameServer = 85.255.112.154,85.255.112.227
O17 - HKLM\System\CS1\Services\Tcpip\Parameters: NameServer = 85.255.112.154,85.255.112.227
O17 - HKLM\System\CS2\Services\Tcpip\Parameters: NameServer = 85.255.112.154,85.255.112.227
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: NameServer = 85.255.112.154,85.255.112.227
[/code]
Выполните скрипт в AVZ:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\TEMP\tempo-19101296.tmp','');
QuarantineFile('C:\WINDOWS\system32\drivers\MSIVXydoxsddrxmnaoptoosddqwnoddtvenha.sys','');
QuarantineFile('C:\WINDOWS\system32\MSIVXlxirrdnvgwyylarjbuwkdmhmttnpvjxu.dll','');
DeleteFile('C:\WINDOWS\system32\MSIVXlxirrdnvgwyylarjbuwkdmhmttnpvjxu.dll');
DeleteFile('C:\WINDOWS\system32\drivers\MSIVXydoxsddrxmnaoptoosddqwnoddtvenha.sys');
DeleteFile('C:\WINDOWS\TEMP\tempo-19101296.tmp');
DeleteFile('C:\WINDOWS\Tasks\{5B57CF47-0BFA-43c6-ACF9-3B3653DCADBA}.job');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]
Компьютер перезагрузится.
Пришлите карантин согласно приложению 3 правил
(загружать тут: [url]http://virusinfo.info/upload_virus.php?tid=47673[/url]).
Сделайте новые логи (только п.2 и 3 раздела Диагностика).
11.06.2009, 10:10
PavelA

Еще лог Gmer сделайте. Как и что, смотреть в "Чаво".
[url]www.gmer.net\gmer.zip[/url]
11.06.2009, 17:38
ToshaChe

Вложений: 3

Сделал...
Логи новые также сделал...
Файл карантина выслал...

Карантин был получен?
11.06.2009, 21:29
PavelA

Вот это в Гмере удалить:
system32\drivers\MSIVXydoxsddrxmnaoptoosddqwnoddtvenha.sys

Его лог повторить.
11.06.2009, 23:07
thyrex

А можно поступить так

Сохраните текст ниже как cleanup.bat в ту же папку, где находится gmer.exe
[code]
gmer.exe -del service MSIVXserv.sys
gmer.exe -del file "C:\WINDOWS\system32\drivers\MSIVXydoxsddrxmnaoptoosddqwnoddtvenha.sys"
gmer.exe -del file "C:\WINDOWS\system32\MSIVXlxirrdnvgwyylarjbuwkdmhmttnpvjxu.dll"
gmer.exe -del file "system32\MSIVXcnqoxlvjnwkdjmewjjgkptcpvkftitwt.dll"
gmer.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\MSIVXserv.sys"
gmer.exe -del reg "HKLM\SYSTEM\ControlSet002\Services\MSIVXserv.sys"
gmer -reboot[/code]
И запустите cleanup.bat

И, как просил [B]PavelA[/B], сделать еще раз лог gmer
11.06.2009, 23:17
ToshaChe

Вложений: 1

Сделал,как просил PavelA...
Гмер выругнулся на то,что система не может найти путь,но эта строчка исчезла,при повторном сканировании на наличие подозрительного объекта не ругался...
Лог прикладываю...
12.06.2009, 00:28
thyrex

[B]1.[/B] Зачистим следы до конца

Сохраните текст ниже как cleanup.bat в ту же папку, где находится gmer.exe
[CODE]gmer.exe -del reg "HKLM\SYSTEM\ControlSet002\Services\MSIVXserv.sys"
gmer -reboot[/CODE]И запустите cleanup.bat

[B]2.[/B] Сделать лог virusinfo_syscheck.zip (п. 2 диагностики)
12.06.2009, 00:52
ToshaChe

Вложений: 1

Сделал...
12.06.2009, 11:28
Rene-gad

ooVoo Toolbar - удалите

Закройте/выгрузите все программы кроме AVZ и Internet Explorer.
Отключите
- ПК от интернета/локалки
- Антивирус и Файрвол.
- Системное восстановление.

- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт[/URL]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DelBHO('{2EAF5BB2-070F-11D3-9307-00C04FAE2D4F}');
DelBHO('{2EAF5BB1-070F-11D3-9307-00C04FAE2D4F}');
DelBHO('{A057A204-BACC-4D26-8087-36EE87E26986}');
DeleteFile('C:\PROGRA~1\OOVOOT~1\OOVOOT~1.DLL');
BC_ImportAll;
ExecuteSysClean;
ExecuteRepair(2);
ExecuteRepair(3);
ExecuteRepair(4);
ExecuteRepair(13);
BC_Activate;
RebootWindows(true);
end.
[/CODE]

После перезагрузки:
- [url="http://virusinfo.info/showthread.php?t=10025"] Очистите [/url]темп-папки, кэш проводников и корзину.
- Закройте все программы, включая Антивирус и Файрвол, Оставьте запущенным [B]только Internet Explorer[/B]. Если он не запущен - запустите!!!
- Сделайте повторные логи
[b]virusinfo_syscure.zip
virusinfo_syscheck.zip
hijackthis.log [/b]
- Включите Антвирус и Файрволл
- Подключите ПК к интернету/локалке
- Закачайте карантин по ссылке [COLOR="Red"][B]Прислать запрошенный карантин[/B][/COLOR] вверху темы (Приложение 3 правил).
- Прикрепите логи к новому сообщению.
12.06.2009, 13:48
ToshaChe

Вложений: 3

Сделал...
Файлы логов прикрепил...
Файл карантина выслал...

Ну так как там мои дела?
13.06.2009, 00:59
Rene-gad

Файл [QUOTE]M1000Rmv.exe[/QUOTE] поищите и пришлите по правилам
13.06.2009, 02:28
ToshaChe

AVZ пишет
"Ошибка карантина файла, попытка прямого чтения (M1000Rmv.exe)
Карантин с использованием прямого чтения - ошибка
Ошибка карантина файла, попытка прямого чтения (C:\WINDOWS\M1000Rmv.exe)
Карантин с использованием прямого чтения - ошибка
Ошибка карантина файла, попытка прямого чтения (C:\WINDOWS\system32\M1000Rmv.exe)
Карантин с использованием прямого чтения - ошибка"

и в карантине пусто...
13.06.2009, 11:11
Rene-gad

Файл/Сервис/Поиск файлов... Найти по маске [QUOTE]M1000Rmv[/QUOTE], находки замаркировать и добавить в карантин.
13.06.2009, 12:30
ToshaChe

По маске находит этот файл в 3х местах
[QUOTE]C:\Program Files\InstallShield Installation Information\{0BD0374C-CC12-4812-BBC5-69481A385E52}\M1000Rmv.exe
C:\WINDOWS\M10Setup\M1000Rmv.exe
C:\WINDOWS\system\M1000Rmv.exe[/QUOTE]
Марк[COLOR="Red"]и[/COLOR]рую их,но при нажатии на кнопку "Копировать отмеченные файлы в карантин" ничего не происходит,в карантине пусто и папка за сегодняшнее число не создается,в папках за другие числа этих файлов нет,только те,которые требовали выше...

Может быть есть другой способ прислать запрошенный файл?
14.06.2009, 19:29
Rene-gad

Скачайте special avz и попробуйте добавить файлы в карантин им. Его карантин будет создан в подкаталоге папки, откуда Вы его запустите.
14.06.2009, 23:05
ToshaChe

Всё равно эти файлы не помещается в карантин!
14.06.2009, 23:54
Rene-gad

Запакуйте файлы в оригинальном виде в архив с именем [I]virus.zip[/I] и установите защиту паролем [I]virus[/I].
Закачайте этот архив по правилам.
15.06.2009, 01:08
ToshaChe

Отправил...
Файл получили?
15.06.2009, 09:42
PavelA

Файл в карантине чистый.
15.06.2009, 23:24
ToshaChe

Спасибо за помощь!
16.06.2009, 23:24
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]3[/B][*]Обработано файлов: [B]5[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\windows\system32\drivers\msivxydoxsddrxmnaoptoosddqwnoddtvenha.sys - [B]Rootkit.Win32.Pakes.qg[/B] ( DrWEB: BackDoor.Tdss.223 )[*] c:\windows\system32\msivxlxirrdnvgwyylarjbuwkdmhmttnpvjxu.dll - [B]Trojan.Win32.Agent.clxm[/B] ( DrWEB: BackDoor.Tdss.223, BitDefender: Trojan.Generic.2020384 )[/LIST][/LIST]