super.zavan.info и прочая нечисть

Printable View

12.06.2009, 19:28
Baka-kun

Вложений: 3

super.zavan.info и прочая нечисть

Буэнос Диас господа. У меня сегодня произошла такая проблема: внезапно, после проверки антивирусом локального диска "С:\" появились окошки с предупреждениями о вирусах. Нод требовал перезагрузить компьютер, что я и сделал, но после него окна появляться не перестали, а наоборот, участились. До такой степени, что компьютер стал подлагивать и зависать.
В диспетчере задач появился процесс J002, который я удалил, причем он появился в 2-х экземплярах сразу)
Я вначале посмотрел данную тему:
[url]http://virusinfo.info/showthread.php?t=47722[/url]
но, к сожалению, данные там советы мне не помогли, сообщения все равно выскакивают с завидной частотой.
Не знаю, связано это или нет, но перед этим у меня пару раз останавливалась служба ICS, которая связана каким-то образом с брандауэром и не давала соединяться с интернетом. Служба, не смотря на все мои попытки, не запускалась. Восстановление систему спасало.
Вот такая вот ситуация . taskettee...onegai:(
12.06.2009, 19:39
light59

[URL="http://virusinfo.info/showthread.php?t=7239"]В AVZ -> файл-> Выполнить скрипт[/URL]

[CODE]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\smbsvc.dll','');
QuarantineFile('C:\WINDOWS\Temp\HTT2E3.tmp','');
QuarantineFile('C:\WINDOWS\system32\drivers\Vsp.sys','');
QuarantineFile('C:\WINDOWS\system32\htkhg.exe','');
StopService('sdtbns Service');
StopService('hongyang');
TerminateProcessByName('c:\windows\system32\qxl6oxgum\j002.exe');
TerminateProcessByName('c:\windows\system32\psn0q5skh\j002.exe');
QuarantineFile('c:\windows\system32\psn0q5skh\j002.exe','');
QuarantineFile('c:\windows\system32\qxl6oxgum\j002.exe','');
DeleteFile('c:\windows\system32\qxl6oxgum\j002.exe');
DeleteFile('c:\windows\system32\psn0q5skh\j002.exe');
DeleteFile('C:\WINDOWS\system32\htkhg.exe');
DeleteFile('C:\WINDOWS\Temp\HTT2E3.tmp');
DeleteFile('C:\WINDOWS\system32\smbsvc.dll');
DeleteFileMask('c:\windows\system32\psn0q5skh\', '*.*', true);
DeleteFileMask('c:\windows\system32\qxl6oxgum\', '*.*', true);
BC_Importall;
BC_DeleteSvc('hongyang');
BC_DeleteSvc('htkhg');
BC_DeleteSvc('sdtbns Service');
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/CODE]
Компьютер перезагрузится.
Пришлите карантин согласно правил по ссылке [URL="http://virusinfo.info/upload_virus.php?tid=47778"]http://virusinfo.info/upload_virus.php?tid=47778[/URL]

[B]Обновите базы AVZ![/B] (файл- обновление баз).
Повторите логи.
13.06.2009, 00:20
Baka-kun

Вложений: 3

Базы-обновил, скрипт-выполнил, логи-отправляю,карантин-отослал.
С карантином что-то не то. Посмотрев логи нода, искал,как было написано в правилах, но в логах антивируса около 20 фалов 5788 раскиданных по папке sistem32 в нескольких директориях, например "C:\WINDOWS\system32\85WWEUOFH\5788.exe" , а найден был всего один.
Чаще других появляется :http:super.zavan.info/Library/Scanner.dll, уже около 200 раз показался(

Файл сохранён как 090612_235645_virus_4a32b2fdae185.zip
Размер файла 693564
MD5 f883696c8b1237a65cce93568142c220

забыл, вот карантин)
13.06.2009, 20:47
AndreyKa

Закройте все программы.
Запустите AVZ. Выполните скрипт через меню Файл:
[code]
begin
SetAVZGuardStatus(True);
ClearQuarantine;
DeleteFile('C:\WINDOWS\system32\smbsvc.dll');
QuarantineFile('C:\WINDOWS\system32\P8WZPRYOL\5788.exe','');
DeleteFile('C:\WINDOWS\system32\P8WZPRYOL\5788.exe');
DeleteFile('C:\WINDOWS\system32\htkhg.exe');
QuarantineFile('c:\windows\system32\mscotry.dll','');
BC_DeleteSvc('sdtbns Service');
DeleteFile('c:\windows\system32\x5v6ug2q3\j002.exe');
DeleteFile('C:\WINDOWS\system32\X5V6UG2Q3\J002.exe');
DeleteFile('c:\windows\system32\mscotry.dll');
BC_ImportDeletedList;
BC_Activate;
RegKeyIntParamWrite('HKLM','SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer','NoDriveTypeAutoRun', 221);
ExecuteSysClean;
RebootWindows(true);
end.
[/code]
Компьютер перезагрузится.
Пришлите файлы из карантина AVZ (см. приложение 3 Правил), используя ссылку [color=red][b][u]Прислать запрошенный карантин[/u][/b][/color], вверху этой темы.

Скачайте файл [url]http://narod.ru/disk/9487011000/avz-poly.exe.html[/url] (это более свежая версия AVZ, но в ней не обновляются базы).
Сохраните в отдельную папку и выполните 2-й стандартный скрипт.
Файл с результатами (virusinfo_syscheck.zip) приложите к теме.
13.06.2009, 22:20
Baka-kun

что-то случилось нехорошее, т.к. после применения скрипта, который вы написали, у меня рассоединяется интернет каждую минуту. Не могу из-за этого прислать карантин скачать файл. Что делать?

[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]

+постоянно идет исходящий трафик
13.06.2009, 22:40
AndreyKa

Брандмауэр Windows включите.
Новый AVZ тогда не качайте.
Сделайте в старом AVZ лог из пункта 2 Диагностики и приложите к этой теме.
13.06.2009, 23:10
Baka-kun

попытался включить брандмауэр, но: панель управления -> Бранмауэр Windows нажимаю, он пишет мне, что "Вследствие неопределенной ошибки не удаётся отобразить параметры брандмауэра Windows". Что примечательно, перезагрузив компьютер, я увидел, что брандауэр включен, но, при нажатии на ту же клавишу выдавалась та же самая ошибка. Псомотрев снова на его состояние, увидел, что брандмауэр выключен, и включить его не удаётся. Хочу напомнить, что и раньше возникала ошибка с ICS, но восстановление системы спасало. После данного вами скрипта сообщения о вирусах появляться перестали, но интернет стал вот таким.
Сейчас постараюсь прикрепить лог.
13.06.2009, 23:10
Baka-kun

Вложений: 1

вот

удалось закачать карантин. Соединение вроде устаканилось. Брандмауэр не работает.

Файл сохранён как 090613_231414_virus_4a33fa86dbebf.zip
Размер файла 398478
MD5 ce49b97536047fe7f514d455bad43046
13.06.2009, 23:23
AndreyKa

Похоже, компьютер перезаражается по сети через некую уязвимость.
Отключите в свойствах подключения к сети [B]Клиент для сетей Microsoft[/B] и [B]Службу доступа к файлам[/B].
Установите надежные пароли на учетные записи пользователей с правами администратора.
13.06.2009, 23:27
Baka-kun

сейчас сделаю. Я скачал поли-авз. Выполнить второй стандартный скрипт?
надежные пароли-это в смысле около 12 символов?:>
13.06.2009, 23:38
pig

...состоящие из букв (не только латинских и в разных регистрах), цифр и специальных символов.
14.06.2009, 00:46
Baka-kun

сделал. Выключил, включил интернет, ситуация та же - идут сбои. Первые минут 5-10 меня выкидывает, потом стабилизируется

[size="1"][color="#666686"][B][I]Добавлено через 49 минут[/I][/B][/color][/size]

а что еще можно сделать? скачет соединение ужасно
14.06.2009, 02:29
Alexey P.

Похоже, это у Вас работает BackDoor.Darkshell.71 по ДрВебу.
\windows\system32\duba.exe infected with BackDoor.Darkshell.71 - deleted
Получает инструкции с 60.173.10.139, в данное время ддосит адрес 222.189.228.9
трафик действительно генерит бешеный, потому соединение и скачет.

[size="1"][color="#666686"][B][I]Добавлено через 21 минуту[/I][/B][/color][/size]

Вообще-то в Правилах есть это:
2. Проверьте компьютер с помощью AVPTool или CureIt! в безопасном режиме. К найденному следует применять действие "Лечить", а неизлечимые перемещать или удалять. После этого перезагрузитесь в обычный режим.

Выполнение этого пункта уже помогло бы Вам. Совершенно напрасно не выполнили.
14.06.2009, 11:37
Baka-kun

я проверял позавчера, он действительно находил несколько ,БэкДор-ов, то что мог, лечил, то что нет- удалял. сегодня попробую заново
14.06.2009, 15:17
Alexey P.

Очень возможно, что Andreyka прав:
[QUOTE]
Похоже, компьютер перезаражается по сети через некую уязвимость.
[/QUOTE]
Заткните дыры - ставьте сервис-пак 3 и заплатки после него, особенно те, что упомянуты в [url=http://support.kaspersky.ru/wks6mp3/error?qid=208636215] статье про Кидо [/url]. Смотрите там ссылки на "патчи, закрывающие уязвимости MS08-067, MS08-068, MS09-001".

[size="1"][color="#666686"][B][I]Добавлено через 4 минуты[/I][/B][/color][/size]

Думаю, эти три заплатки могут помочь и без sp3, их стоило бы поставить в первую очередь.
14.06.2009, 19:23
Baka-kun

Патчи установил. Компьютер проверил. Нашел 205 вирусов. Все удалились. Ни один не вылечился. Теперь вроде трафик не поедается, но в процессах до сих пор висит J002. Брандмауэр-работать не желает. Может, поставить Comodo?
14.06.2009, 22:04
AndreyKa

Comodo попробовать можно.
А мне, всё таки, любопытно взглянуть на лог новой AVZ (ccылка в сообщении #4).
14.06.2009, 22:15
Baka-kun

Вложений: 1

любопытство-не порок) прикрепляю второй скрипт, "сбор информации")
14.06.2009, 22:51
AndreyKa

Закройте все программы.
Запустите AVZ. Выполните скрипт через меню Файл:
[code]
begin
SetAVZGuardStatus(True);
BC_DeleteSvc('stp Service');
BC_DeleteSvc('PctaSvc');
QuarantineFile('c:\windows\system32\rnmwtvc.dll','');
QuarantineFile('c:\windows\system32\ailqjiypu\j002.exe','');
DeleteFile('c:\windows\system32\ailqjiypu\j002.exe');
DeleteFile('c:\windows\system32\rnmwtvc.dll');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SYSTEM\CurrentControlSet\Services\MediaSerial\Parameters','ServiceDll');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
Компьютер перезагрузится.
Пришлите файлы из карантина AVZ (см. приложение 3 Правил), используя ссылку [color=red][b][u]Прислать запрошенный карантин[/u][/b][/color], вверху этой темы.
Сделайте новый лог из пункта 2 Диагностики и приложите к этой теме.

По внешним проявлениям на Kido похож.
14.06.2009, 23:10
Baka-kun

Вложений: 1

Сделано, сэр. Карантин прислал.

Файл сохранён как 090614_230507_virus_4a3549e3d661e.zip
Размер файла 61863
MD5 5f36251b068e7699319f1d7cce6b7f01

В настройках Комодо запретил J002 подключение к интернету.
Видимо, он ушел по английски, не попрощавшись, т.к. в процессах найден мною не был)
14.06.2009, 23:38
AndreyKa

c:\windows\system32\ailqjiypu\j002.exe = Trojan-DDoS.Win32.Agent.fn
c:\windows\system32\rnmwtvc.dll = Backdoor.Win32.Agent.ahql
DrWeb их пока не знает.
В логе чисто.
Проблема решена?
14.06.2009, 23:45
Baka-kun

Думаю, да. Спасибо вам всем большое, я уж отчаялся в начале, думал, опять перестанавливать винду...) я вам всем очень признателен) Но ,все-таки интересно, что же с брандмауэром?...
14.06.2009, 23:51
AndreyKa

[url=http://support.microsoft.com/kb/920074/ru]Не удается запустить службу брандмауэра Windows в Windows XP с пакетом обновления 2 (SP2)[/url]
15.06.2009, 00:03
Baka-kun

^^ еще раз спасибо) вы гении)

[size="1"][color="#666686"][B][I]Добавлено через 2 минуты[/I][/B][/color][/size]

заработало) война с вирусами окончилась..) пойду по друзьям завтра за сп3) до свидания, и еще раз спасибо)
16.06.2009, 00:03
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]3[/B][*]Обработано файлов: [B]23[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\documents and settings\localservice\local settings\temporary internet files\content.ie5\18aevoiu\j001[1].exe - [B]Backdoor.Win32.Agent.ahtb[/B] ( DrWEB: BackDoor.Beizhu.2660 )[*] c:\documents and settings\localservice\local settings\temporary internet files\content.ie5\18aevoiu\5788[1].exe - [B]Backdoor.Win32.Hupigon.hbxq[/B][*] c:\windows\system32\ailqjiypu\j002.exe - [B]Trojan-DDoS.Win32.Agent.fn[/B] ( BitDefender: Gen:Trojan.Heur.GM.1140810020 )[*] c:\windows\system32\e08de89wj\j001.exe - [B]Backdoor.Win32.Agent.ahtb[/B] ( DrWEB: BackDoor.Beizhu.2660 )[*] c:\windows\system32\f2cj2tdt8\j001.exe - [B]Backdoor.Win32.Agent.ahtb[/B] ( DrWEB: BackDoor.Beizhu.2660 )[*] c:\windows\system32\gufz4h60m\j001.exe - [B]Backdoor.Win32.Agent.ahtb[/B] ( DrWEB: BackDoor.Beizhu.2660 )[*] c:\windows\system32\hott2pzgz\j001.exe - [B]Backdoor.Win32.Agent.ahtb[/B] ( DrWEB: BackDoor.Beizhu.2660 )[*] c:\windows\system32\htkhg.exe - [B]Trojan-Dropper.Win32.Agent.atte[/B] ( DrWEB: Trojan.DownLoad.38458 )[*] c:\windows\system32\i\5788.exe - [B]Backdoor.Win32.Hupigon.hbxq[/B][*] c:\windows\system32\mscotry.dll - [B]Trojan-Downloader.Win32.Small.algw[/B][*] c:\windows\system32\rnmwtvc.dll - [B]Backdoor.Win32.Agent.ahql[/B] ( BitDefender: Gen:Trojan.Heur.403CC38282 )[*] c:\windows\system32\smbsvc.dll - [B]Exploit.Win32.SqlShell.a[/B] ( DrWEB: Trojan.SqlShell )[*] c:\windows\system32\x5v6ug2q3\j001.exe - [B]Backdoor.Win32.Agent.ahtb[/B] ( DrWEB: BackDoor.Beizhu.2660 )[*] c:\windows\system32\yfp3jxo8v\j001.exe - [B]Backdoor.Win32.Agent.ahtb[/B] ( DrWEB: BackDoor.Beizhu.2660 )[*] c:\windows\system32\yy1z210qy\j001.exe - [B]Backdoor.Win32.Agent.ahtb[/B] ( DrWEB: BackDoor.Beizhu.2660 )[*] c:\windows\system32\zkyv6n35z\j001.exe - [B]Backdoor.Win32.Agent.ahtb[/B] ( DrWEB: BackDoor.Beizhu.2660 )[*] c:\windows\system32\0mtnximmn\j001.exe - [B]Backdoor.Win32.Agent.ahtb[/B] ( DrWEB: BackDoor.Beizhu.2660 )[*] c:\windows\system32\1p309ntg2\j001.exe - [B]Backdoor.Win32.Agent.ahtb[/B] ( DrWEB: BackDoor.Beizhu.2660 )[*] c:\windows\system32\1ye6qaone\j001.exe - [B]Backdoor.Win32.Agent.ahtb[/B] ( DrWEB: BackDoor.Beizhu.2660 )[*] c:\windows\system32\2kym3v9vn\j001.exe - [B]Backdoor.Win32.Agent.ahtb[/B] ( DrWEB: BackDoor.Beizhu.2660 )[*] c:\windows\system32\24mbolbn8\j001.exe - [B]Backdoor.Win32.Agent.ahtb[/B] ( DrWEB: BackDoor.Beizhu.2660 )[/LIST][/LIST]