J002.exe и еще ~ 382 вируса :(

Printable View

11.06.2009, 20:41
executive

Вложений: 3

J002.exe и еще ~ 382 вируса :(

Доброго времени суток!
На днях столкнулся с проблемой решить которую самостоятельно не могу :( Поэтому обращаюсь к Вам :> .
Проблема заключается в следующем:
постоянно запрашивается соединение
super.zavan.info
и от файла J002.exe
происходит это на столько часто что комп виснет :( ...
Началось это не пойму как, компьютер был включен, файлы никакие не запускал и в какой-то момент вдруг началось соединение с указанным сайтом и от файла. Детей дома не было, сам получается что-то сделал, а что понять не могу :(
Как указано в правилах сделал, надеюсь на вашу помощь в решении проблемы :(((
11.06.2009, 20:51
Rene-gad

[QUOTE=executive;415422]
На днях столкнулся с проблемой [/QUOTE]
На днях? :O
[QUOTE]Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)[/QUOTE]
Сервис Пак 3 уже 2 года назад вышел....
ИЕ 8 - 2 месяца назад...

Закройте/выгрузите все программы кроме AVZ и Internet Explorer.
Отключите
- ПК от интернета/локалки
- Антивирус и Файрвол.
- Системное восстановление.

- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт[/URL]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
TerminateProcessByName('c:\windows\system32\m3dwyn1az\j002.exe');
StopService('satey Service');
StopService('sdtbns Service');
QuarantineFile('C:\WINDOWS\system32\i083421\J002.exe','');
QuarantineFile('C:\WINDOWS\system32\M3DWYN1AZ\J002.exe','');
QuarantineFile('c:\windows\system32\m3dwyn1az\j002.exe','');
DeleteFile('c:\windows\system32\m3dwyn1az\j002.exe');
DeleteFile('C:\WINDOWS\system32\M3DWYN1AZ\J002.exe');
DeleteFile('C:\WINDOWS\system32\i083421\J002.exe');
DeleteService('sdtbns Service');
DeleteService('satey Service');
BC_ImportAll;
ExecuteSysClean;
BC_DeleteSvc('sdtbns Service');
BC_DeleteSvc('satey Service');
ExecuteRepair(2);
ExecuteRepair(3);
ExecuteRepair(4);
BC_Activate;
RebootWindows(true);
end.
[/CODE]

После перезагрузки:

- [url="http://virusinfo.info/showthread.php?t=10025"] Очистите [/url]темп-папки, кэш проводников и корзину.
- Закройте все программы, включая Антивирус и Файрвол, Оставьте запущенным [B]только Internet Explorer[/B]. Если он не запущен - запустите!!!
- Сделайте повторные логи
[b]virusinfo_syscure.zip
virusinfo_syscheck.zip
hijackthis.log [/b]
- Включите Антвирус и Файрволл
- Подключите ПК к интернету/локалке
- Закачайте карантин по ссылке [COLOR="Red"][B]Прислать запрошенный карантин[/B][/COLOR] вверху темы (Приложение 3 правил).
- Прикрепите логи к новому сообщению.
11.06.2009, 23:04
executive

Вложений: 3

[QUOTE]На днях? [/QUOTE]
да, заразился... часов 10 сканировал антивирусом(NOD), потом AVPTool(около 22 часов), а что Вас смущает?
[QUOTE]Сервис Пак 3 уже 2 года назад вышел....[/QUOTE]
надо разобраться, поставить...
[QUOTE]ИЕ 8 - 2 месяца назад...[/QUOTE]
ie за последние 3 года пользовался раз 10 максимум, opera в основном... но тоже обновлю.

ps: восстановление системы уже можно включать?

[QUOTE]- Закачайте карантин по ссылке Прислать запрошенный карантин вверху темы (Приложение 3 правил).[/QUOTE]
готово, с 5 попытки :)

[CODE]Файл сохранён как 090611_232204_virus_4a31595cd8a34.zip
Размер файла 2005560
MD5 8281fbbf26521fdd31344dea87e3e303[/CODE]
12.06.2009, 10:47
Rene-gad

[QUOTE=executive;415488]да, заразился... [/QUOTE] Неустановкой СП3 и патчей Вы ПОЗАБОТИЛИСЬ о заражении системы. То, что оно себя [I]проявило[/I] пару дней назад не означает, что это тогда же и [I]произошло[/I]. :)
[QUOTE]надо разобраться, поставить... [/QUOTE]Надо СТАВИТЬ, разбираться некогда.
[QUOTE]ie за последние 3 года пользовался раз 10 максимум[/QUOTE]Да хоть и вообще не пользовались - ИЕ это часть ОС, посему непатченные уязвимости остаются таковыми даже в случае [I]полного непользования.[/I]

[QUOTE]восстановление системы уже можно включать?[/QUOTE]нет.

Закройте/выгрузите все программы кроме AVZ и Internet Explorer.
Отключите
- ПК от интернета/локалки
- Антивирус и Файрвол.
- Системное восстановление.

- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт[/URL]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
StopService('htkhg');
QuarantineFile('C:\WINDOWS\system32\htkhg.exe','');
QuarantineFile('C:\WINDOWS\system32\mycutries.dll','');
DeleteFile('C:\WINDOWS\system32\mycutries.dll');
DeleteFile('C:\WINDOWS\system32\htkhg.exe');
DelBHO('{DFDC8970-FD66-4385-B8C0-835A4AA1DA00}');
DelBHO('{71F65890-5ED6-11d4-9665-00E02962D81A}');
DelBHO('{531B9DC0-D8EE-4c76-A6EE-6C1E50569655}');
DelBHO('{2EAF5BB2-070F-11D3-9307-00C04FAE2D4F}');
DelBHO('{2EAF5BB1-070F-11D3-9307-00C04FAE2D4F}');
DelBHO('{5F50A50A-0A0F-4F58-8B1C-62BC60F9B05A}');
DeleteService('htkhg');
BC_ImportAll;
ExecuteSysClean;
BC_DeleteSvc('htkhg');
ExecuteRepair(6);
ExecuteRepair(8);
ExecuteRepair(9);
ExecuteRepair(11);
ExecuteRepair(16);
ExecuteRepair(17);
BC_Activate;
RebootWindows(true);
end.
[/CODE]

После перезагрузки:
- Удалите [URL="http://virusinfo.info/showthread.php?t=27923"]Bonjour[/URL]
- [url="http://virusinfo.info/showthread.php?t=10025"] Очистите [/url]темп-папки, кэш проводников и корзину.
- Закройте все программы, включая Антивирус и Файрвол, Оставьте запущенным [B]только Internet Explorer[/B]. Если он не запущен - запустите!!!
- Сделайте повторные логи
[b]virusinfo_syscure.zip
virusinfo_syscheck.zip
hijackthis.log [/b]
- Включите Антвирус и Файрволл
- Подключите ПК к интернету/локалке
- Закачайте карантин по ссылке [COLOR="Red"][B]Прислать запрошенный карантин[/B][/COLOR] вверху темы (Приложение 3 правил).
- Прикрепите логи к новому сообщению.
12.06.2009, 15:00
executive

Вложений: 3

[QUOTE]Неустановкой СП3 и патчей Вы ПОЗАБОТИЛИСЬ о заражении системы. То, что оно себя проявило пару дней назад не означает, что это тогда же и произошло.[/QUOTE]
патчи грузятся автоматически, а сп3 упущение :(
а вирусы конечно есть, и были, просто раньше таких проблем не создавали :)
[QUOTE]- Удалите Bonjour [/QUOTE]
как указан все сделал.
в папке [CODE]C:\Program Files\Bonjour\[/CODE]
есть два файла:
[CODE]mdnsNSP.dll
mDNSResponder.exe[/CODE]
их можно удалить?

[QUOTE]- Закачайте карантин по ссылке Прислать запрошенный карантин вверху темы (Приложение 3 правил).[/QUOTE]

[QUOTE]Результат загрузкиФайл сохранён как 090612_145920_virus_4a323508553da.zip
Размер файла 1789102
MD5 38d7006d0cd532ab3e9bb9055c68c412
[/QUOTE]
12.06.2009, 15:38
Rene-gad

[QUOTE=executive;415746]
в папке [CODE]C:\Program Files\Bonjour\[/CODE]
есть два файла:
[CODE]mdnsNSP.dll
mDNSResponder.exe[/CODE]
их можно удалить?[/QUOTE]Нужно. И саму папку. В статье Что такое Бонжур есть даже скрипт. Вы его запускали?
Проблема в том, что эта служба интегрирована в пакет установки и обновления полезных программ, напр. iTunes . Я его удаляю его сразу после обновления через Установку/Удаление приложений.
12.06.2009, 17:32
executive

Вложений: 1

[QUOTE]Нужно. И саму папку. В статье Что такое Бонжур есть даже скрипт. Вы его запускали?
Проблема в том, что эта служба интегрирована в пакет установки и обновления полезных программ, напр. iTunes . Я его удаляю его сразу после обновления через Установку/Удаление приложений.[/QUOTE]
удалил

[size="1"][color="#666686"][B][I]Добавлено через 1 час 33 минуты[/I][/B][/color][/size]

Тут еще вот какое дело, в каждой директории(путь к ним на прикрепленном изображении) вида
[QUOTE]1041
1042
PCVA0DEJV
PL7C6EOGS[/QUOTE]
лежит J002.exe и J001.exe
их в ручную удалить? NOD говорит что это не вирус :/

в последних логах подозрительного ничего?

теперь вот SVCHOST.exe очень часто загружает цп на 100% :(
13.06.2009, 19:51
Rene-gad

Вот эти странные директории - можно их по дате отсортировать? Если нет - то надо бы конечно каждую в отдельности удалить.
Повторите сейчас логи.
13.06.2009, 20:15
executive

Не соображу как их можно по дате отсортировать :( буду вручную удалять.
В этих подозрительных папках встречается dwintl.dll его тоже можно/нужно удалить?
13.06.2009, 20:18
Rene-gad

Почитайте тут: [url]http://www.processlibrary.com/de/directory/files/dwintl/28261[/url] Может у Вас от Мессенджера все идет?
И удалите подозрительный файл с общедоступного ресурса!!! У нас есть механизм закачки и проверки таких файлов.
13.06.2009, 20:43
executive

[QUOTE]Результат загрузкиФайл сохранён как 090613_203745_стремные файлы_4a33d5d9cf111.zip
Размер файла 439338
MD5 2241540c572e42cae12f92d1d6004b2b[/QUOTE]
загрузил!
я в начале тож подумал про правила загрузки, но там говорилось о файлах запрашиваемых хелперами, а еще про совесть, так вот я и побоялся :)
13.06.2009, 22:58
Rene-gad

Не используйте в имени файлов и логов русские буквы!!!
13.06.2009, 23:22
executive

исправил

[QUOTE]Результат загрузки
Файл сохранён как 090613_232128_virus1_4a33fc38b6554.zip
Размер файла 439497
MD5 31e86529a30b0ce26b90ea3882cde3ec[/QUOTE]
14.06.2009, 11:03
Rene-gad

[I]5788.exe_ - Backdoor.Win32.Hupigon.hbxq[/I]

Детектирование файла будет добавлено в следующее обновление.

[I]dwintl.dll[/I]

Вредоносный код в файле не обнаружен.
28.06.2009, 14:33
executive

Вложений: 3

и почти ж не пользовался компом, и опять началось...
на данный момент. самая большая проблема не прекращающиеся запросы к хттп://www.yiruisha.in/index-2.asp
из-за чего комп тормозит как никогда :( и не работает инет >:(

снова появились проблемы сфайлами 003.exe
в С\виндоус\систем32\ в непонятных директориях их полно.
а ведь все в ручную удалил.

и эта зараза super.zavan.info :(

сделал все снова, как требуют правила

появилось еще это аутпостом блокирую. вроде как вирус, и тут на форуме про него писали.
vmmreg.exe
winhelp32.exe
awp.exe
28.06.2009, 15:01
Rene-gad

[QUOTE=executive;423990]опять началось...[/QUOTE]а оно и не заканчивалось: как был проходной двор
[QUOTE]Platform: Windows XP [COLOR="Red"][B]SP2[/B][/COLOR] (WinNT 5.01.2600)[/QUOTE]
так и остался.

Закройте/выгрузите все программы кроме AVZ и Internet Explorer.
Отключите
- ПК от интернета/локалки
- Антивирус и Файрвол.
- Системное восстановление.

- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт[/URL]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
StopService('rootser Service');
StopService('BackGround switch');
StopService('awp');
QuarantineFile('C:\WINDOWS\system32\WinHelp32.exe','');
QuarantineFile('C:\WINDOWS\system32\regedit32.exe','');
QuarantineFile('c:\windows\system32\physvc.dll','');
QuarantineFile('C:\WINDOWS\system32\dwintel.dll','');
QuarantineFile('C:\WINDOWS\system32\DSGSF72DNN\J001.exe','');
QuarantineFile('C:\WINDOWS\system32\awp.exe','');
DeleteFile('C:\WINDOWS\system32\awp.exe');
QuarantineFile('C:\WINDOWS\system32\drivers\hspf.sys','');
DeleteFile('C:\WINDOWS\system32\WinHelp32.exe');
DeleteFile('C:\WINDOWS\system32\regedit32.exe');
DeleteFile('c:\windows\system32\physvc.dll');
DeleteFile('C:\WINDOWS\system32\dwintel.dll');
DeleteFile('C:\WINDOWS\system32\DSGSF72DNN\J001.exe');
DeleteService('rootser Service');
DeleteService('BackGround switch');
DeleteService('awp');
BC_ImportAll;
ExecuteSysClean;
BC_DeleteSvc('rootser Service');
BC_DeleteSvc('BackGround switch');
BC_DeleteSvc('awp');
BC_Activate;
RebootWindows(true);
end.
[/CODE]

После перезагрузки:

- [url="http://virusinfo.info/showthread.php?t=10025"] Очистите [/url]темп-папки, кэш проводников и корзину.
- Закройте все программы, включая Антивирус и Файрвол, Оставьте запущенным [B]только Internet Explorer[/B]. Если он не запущен - запустите!!!
- Сделайте повторные логи
[b]virusinfo_syscure.zip
virusinfo_syscheck.zip
hijackthis.log [/b]
- Включите Антвирус и Файрволл
- Подключите ПК к интернету/локалке
- Закачайте карантин по ссылке [COLOR="Red"][B]Прислать запрошенный карантин[/B][/COLOR] вверху темы (Приложение 3 правил).
- Прикрепите логи к новому сообщению.
28.06.2009, 18:32
executive

говорит в скрипте ошибка :(

[QUOTE]Ошибка: Undeclared identifer: 'BC_DeleteSvce' в позиции 26:14[/QUOTE]
28.06.2009, 18:36
Rene-gad

[QUOTE=executive;424094]говорит в скрипте ошибка :([/QUOTE]Правду говорит - исправил скрипт :), сорри.
28.06.2009, 20:39
executive

Вложений: 3

готово
28.06.2009, 20:50
Rene-gad

Жалобы есть? В логах ничего подозрительного.
28.06.2009, 21:14
executive

[QUOTE]Результат загрузки
Файл сохранён как 090628_211319_virus_4a47a4afbff57.zip
Размер файла 2091919
MD5 a57314a77a613f8942c0604e6bd9434f
Файл закачан, спасибо![/QUOTE]

загрузил...
28.06.2009, 21:46
Rene-gad

[QUOTE=executive;424139]загрузил...[/QUOTE]Спасибо... Если интересуют результаты анализа - загляните завтра и вежливо напомните о себе в теме. :)

- Установите Сервис Пак 3 - возможно потребуется активация, и все последующие важные патчи.
Перед установкой Сервис Пака необходимо выгрузить [B][COLOR="Red"]все защитные приложения[/COLOR][/B] (антивирус, файрвол а так же резидентные приложения типа TeaTimer (Spybot Search and Destroy) и др.)
28.06.2009, 22:04
executive

Вам спасибо!

acs.exe
SVCHOST.EXE
System

эти процессы очень сильно грузят систему, курсор мыши практически не сдвинуть с экрана...
возможно это из-за этого, т.к. так и не прекратилось, эти запросы вижу в аутпосте.
[QUOTE]на данный момент. самая большая проблема не прекращающиеся запросы к хттп://www.yiruisha.in/index-2.asp[/QUOTE]

еще раз спасибо, завтра загляну!
29.06.2009, 12:44
Rene-gad

Ответ ВЛ:

[QUOTE]awp.exe_ - Trojan-Dropper.Win32.Agent.auun,
physvc.dll - Trojan-Downloader.Win32.Agent.cgyg,
regedit32.exe_ - Backdoor.Win32.Agent.aibk,
WinHelp32.exe_ - Backdoor.Win32.Small.vb

Детектирование файлов будет добавлено в следующее обновление.[/QUOTE]

[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]

[QUOTE=executive;424156]
возможно это из-за этого, т.к. так и не прекратилось, эти запросы вижу в аутпосте.![/QUOTE]
Отключитесь от сети - легче? Просто хочется проверить , действительно ли эти запросы идут только ИЗВНЕ.
30.06.2009, 13:17
executive

[QUOTE]awp.exe_ - Trojan-Dropper.Win32.Agent.auun,
physvc.dll - Trojan-Downloader.Win32.Agent.cgyg,
regedit32.exe_ - Backdoor.Win32.Agent.aibk,
WinHelp32.exe_ - Backdoor.Win32.Small.vb

Детектирование файлов будет добавлено в следующее обновление. [/QUOTE]
жуть, сколько всякой гадости :O

[QUOTE]Отключитесь от сети - легче? Просто хочется проверить , действительно ли эти запросы идут только ИЗВНЕ. [/QUOTE]

да, если отключаюсь то со временем(минут 5-7) все проходит...

а начинается вот как, после загрузки компьютера outpost задает такой вопрос

[IMG]http://img218.imageshack.us/img218/4627/25955930.jpg[/IMG]

на что я отвечаю - блокировать однократно! и после это происходит следующее :censored:

[IMG]http://img526.imageshack.us/img526/2087/98251769.jpg[/IMG]

цп загружен на 100%, курсор мыши не слушается, :furious3:

сейчас вот приноровился, тот первый вопрос аутпоста просто игнорирую (не запрещаю/не разрешаю), так вот оно и висит пока компьютером пользуюсь :(
06.07.2009, 18:49
executive

в общем есть определенные сдвиги в борьбе за возможность пользоваться интернетом, может столкнувшимся с подобной ситуацией буде полезно ...

в моем случае, скорее всего, проблема в следующем:

эти два процесса, я завершаю и все гут, во всяком случае комп не виснет и инет работает... (хотя включение/выключение компьютера длится гораздо дольше :( )
больше экспериментов не проводил, времени пока нет(метод тыка отнимает много времени), winamp пока не удаляю, хелперу м.б. понадобится

[IMG]http://img301.imageshack.us/img301/4140/new1p.jpg[/IMG]

[IMG]http://img33.imageshack.us/img33/4444/wa1d.jpg[/IMG]
06.07.2009, 20:37
thyrex

Запуск Winamp Agent можно отключить самостоятельно через Пуск - Выполнить - msconfig - Автозагрузка - убрать метку с соответствующей строки - Применить - Ок

Сделайте такой лог [url]http://virusinfo.info/showthread.php?t=40118[/url]
07.07.2009, 00:32
executive

Вложений: 1

[QUOTE]
Сделайте такой лог [url]http://virusinfo.info/showthread.php?t=40118[/url][/QUOTE]

готово
07.07.2009, 01:35
thyrex

В логе чисто. Запуск winampa.exe отключили?
07.07.2009, 02:53
executive

[QUOTE]В логе чисто. Запуск winampa.exe отключили? [/QUOTE]
нет, каждый раз после включателя комп убиваю описанные выше процессы вручную ...

хм, коварная вирусяка попалась :140: :)
07.07.2009, 12:46
thyrex

Запуск winampa.exe легко отключается и больше он [B]не должен запускаться[/B]
07.07.2009, 14:54
executive

[QUOTE]Запуск winampa.exe легко отключается и больше он не должен запускаться[/QUOTE]
да,это я понимаю, но прибить пару процессов мне не сложно(комп то выкл раз в 48 часов), другое дело что может понадобиться на анализ или еще для каких экспериментов, да и достоверно еще пока не известно в чем проблема, это всего лишь мое предположение.

С svchost разобраться бы, вот где реальная проблема. Может можно как то выделить то что инициирует этот процесс?
16.07.2009, 14:12
executive

На днях буду эксперементировать с этими процессами, поэтому winamp удалю. Для анализа его загрузить куда нить, или он не подходит(вам не нужен) так как уж очень много файлов там?
17.07.2009, 14:12
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]5[/B][*]Обработано файлов: [B]47[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\windows\system32\awp.exe - [B]Trojan-Dropper.Win32.Agent.auun[/B][*] c:\windows\system32\htkhg.exe - [B]Trojan-Dropper.Win32.Agent.atte[/B] ( DrWEB: Trojan.DownLoad.38458 )[*] c:\windows\system32\i083421\j002.exe - [B]Trojan-DDoS.Win32.Agent.fn[/B] ( BitDefender: Gen:Trojan.Heur.GM.1140810120 )[*] c:\windows\system32\mycutries.dll - [B]Trojan-Downloader.Win32.Agent.cfij[/B][*] c:\windows\system32\m3dwyn1az\j002.exe - [B]Trojan-DDoS.Win32.Agent.fn[/B] ( DrWEB: DDoS.Storm.19 )[*] c:\windows\system32\physvc.dll - [B]Trojan-Downloader.Win32.Agent.cgyg[/B][*] c:\windows\system32\regedit32.exe - [B]Rootkit.Win32.DarkShell.a[/B] ( BitDefender: Backdoor.Hupigon.AAFV )[*] c:\windows\system32\winhelp32.exe - [B]Backdoor.Win32.Small.vb[/B] ( DrWEB: BackDoor.Darkshell.73 )[*] \стремные файлы\5kwvwdwx0\5788.exe - [B]Backdoor.Win32.Hupigon.hbxq[/B] ( DrWEB: BackDoor.Pigeon.22430 )[/LIST][/LIST]