Из кучи тараканов, осталось 2 неуязвимых

Printable View

26.06.2009, 07:33
nick_f1982

Из кучи тараканов, осталось 2 неуязвимых

Доброго времени суток.
После переустановки винды и установки антивируса вышел в сеть для обновления. Пока обновлялся, наловил 1462 клеща. NOD32 справился с большей частью из них, но остались и неуязвимые (например: wmsetup.dll, nvmini.sys). Эти паразиты восстанавливаются после перезапуска и возможно рождают ещё кучу других. Заметил на вашем форуме, что вы боролись с данной проблемой.
Очень надеюсь на вашу помощь.
26.06.2009, 10:24
PavelA

Выполнить скрипт:
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DelCLSID('95289393-33EA-4F8D-B952-483415B9C955');
QuarantineFile('C:\WINDOWS\system32\t44y9a553NQ.dll','');
QuarantineFile('C:\WINDOWS\system32\skcfujQ5EDN.dll','');
QuarantineFile('C:\WINDOWS\system32\ntbackup.exe','');
QuarantineFile('C:\WINDOWS\system32\ndxq9awMc.dll','');
QuarantineFile('C:\WINDOWS\system32\hhnt2pBK.dll','');
QuarantineFile('C:\WINDOWS\system32\eThZrkpVeaM3wcX.dll','');
QuarantineFile('C:\WINDOWS\system32\dhDhwS7fFW.dll','');
QuarantineFile('C:\WINDOWS\system32\cRsAQd4hw.dll','');
QuarantineFile('C:\WINDOWS\system32\bp8wddFqfaagBTyD.dll','');
QuarantineFile('C:\WINDOWS\system32\VnTU2WAqUcZA6.dll','');
QuarantineFile('C:\WINDOWS\system32\Va7SpUWgCA5f.dll','');
QuarantineFile('C:\WINDOWS\system32\RV2MbKrHA.dll','');
QuarantineFile('C:\WINDOWS\system32\KnSBC7Rm.dll','');
QuarantineFile('C:\WINDOWS\system32\JGxmCj7bYHHbwtxt.dll','');
QuarantineFile('C:\WINDOWS\system32\EN7hzSreCat8.dll','');
QuarantineFile('C:\WINDOWS\system32\E4814792.dll','');
QuarantineFile('C:\WINDOWS\system32\BMsg6pdMD4ht.dll','');
QuarantineFile('C:\WINDOWS\system32\A0C86020.dll','');
QuarantineFile('C:\WINDOWS\system32\A1A6BC2E.dll','');
QuarantineFile('C:\WINDOWS\system32\76B9BA7A.dll','');
QuarantineFile('C:\WINDOWS\system32\704C3595.dll','');
QuarantineFile('C:\WINDOWS\system32\122B901E.dll','');
QuarantineFile('C:\WINDOWS\system32\08223B03.dll','');
QuarantineFile('C:\WINDOWS\fonts\z9gNwvuVDpyQqHSu.fon','');
QuarantineFile('C:\WINDOWS\fonts\ynysgR5mC.fon','');
QuarantineFile('C:\WINDOWS\fonts\vgUGf6VF2E.fon','');
QuarantineFile('C:\WINDOWS\fonts\uXUsF2RrQy.fon','');
QuarantineFile('C:\WINDOWS\fonts\tY5UFS434YYd.fon','');
QuarantineFile('C:\WINDOWS\fonts\nMGKbjzrcYBeMU4E.fon','');
QuarantineFile('C:\WINDOWS\fonts\bVmwwaC9wK.fon','');
QuarantineFile('C:\WINDOWS\fonts\MqppW9KYn.fon','');
QuarantineFile('C:\WINDOWS\fonts\MbsV2QQJe.fon','');
QuarantineFile('C:\WINDOWS\fonts\A97CRaCB.fon','');
DeleteFile('C:\WINDOWS\fonts\A97CRaCB.fon');
DeleteFile('C:\WINDOWS\fonts\MbsV2QQJe.fon');
DeleteFile('C:\WINDOWS\fonts\MqppW9KYn.fon');
DeleteFile('C:\WINDOWS\fonts\bVmwwaC9wK.fon');
DeleteFile('C:\WINDOWS\system32\08223B03.dll');
DeleteFile('C:\WINDOWS\system32\122B901E.dll');
DeleteFile('C:\WINDOWS\system32\704C3595.dll');
DeleteFile('C:\WINDOWS\system32\76B9BA7A.dll');
DeleteFile('C:\WINDOWS\system32\A1A6BC2E.dll');
DeleteFile('C:\WINDOWS\system32\A0C86020.dll');
DeleteFile('C:\WINDOWS\system32\BMsg6pdMD4ht.dll');
DeleteFile('C:\WINDOWS\system32\CTFMON.EXE');
DeleteFile('C:\WINDOWS\system32\E4814792.dll');
DeleteFile('C:\WINDOWS\system32\EN7hzSreCat8.dll');
DeleteFile('C:\WINDOWS\system32\JGxmCj7bYHHbwtxt.dll');
DeleteFile('C:\WINDOWS\system32\KnSBC7Rm.dll');
DeleteFile('C:\WINDOWS\system32\RV2MbKrHA.dll');
DeleteFile('C:\WINDOWS\system32\Va7SpUWgCA5f.dll');
DeleteFile('C:\WINDOWS\system32\VnTU2WAqUcZA6.dll');
DeleteFile('C:\WINDOWS\system32\bp8wddFqfaagBTyD.dll');
DeleteFile('C:\WINDOWS\system32\cRsAQd4hw.dll');
DeleteFile('C:\WINDOWS\system32\dhDhwS7fFW.dll');
DeleteFile('C:\WINDOWS\system32\eThZrkpVeaM3wcX.dll');
DeleteFile('C:\WINDOWS\system32\hhnt2pBK.dll');
DeleteFile('C:\WINDOWS\system32\ndxq9awMc.dll');
DeleteFile('C:\WINDOWS\system32\ntbackup.exe');
DeleteFile('C:\WINDOWS\system32\skcfujQ5EDN.dll');
DeleteFile('C:\WINDOWS\system32\t44y9a553NQ.dll');
DeleteFile('C:\Documents and Settings\fedorov_nikolay\Application Data\Microsoft\Internet Explorer\qipsearchbar.dll');
ExecuteRepair(9);
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]

Сделать заново логи после перезагрузки.
Загрузить карантин по Правилам через [url]http://virusinfo.info/upload_virus.php?tid=48733[/url]
26.06.2009, 11:17
nick_f1982

Логи

Карантин выслал согласно правилам (приложение 3).
26.06.2009, 11:35
PavelA

профиксить:
[CODE]O20 - AppInit_DLLs: C:\WINDOWS\fonts\z9gNwvuVDpyQqHSu.fon,[/CODE]

Посмотрите, плс, этот файл 'C:\WINDOWS\system32\CTFMON.EXE' жив, а то я его по ошибке зацепил.
26.06.2009, 11:49
nick_f1982

Профиксил.

А вот 'C:\WINDOWS\system32\CTFMON.EXE' покоится с миром.
26.06.2009, 11:57
PavelA

Его можно и нужно восстановить из карантина. Это переключалка языка.

Вот эти все *.fon с непонятными названиями, наверное, от зловреда. Надо будет их
поудалять после получения ответа по карантину.
26.06.2009, 12:17
nick_f1982

Очень странно, но его нет в карантине. Весь карантин перерыл, но не нашёл. :O

[size="1"][color="#666686"][B][I]Добавлено через 4 минуты[/I][/B][/color][/size]

Может его можно загрузить отдельным файлом?
26.06.2009, 12:57
PavelA

Язык с русского на английский переключается? В правом углу на экране есть отображение языка?

По карантину: там все файлы чистые. Сейчас скрипт напишу для зачистки fon-файлов.
26.06.2009, 12:58
thyrex

C:\WINDOWS\system32\CTFMON.EXE восстановите из его копии C:\WINDOWS\system32\dllcache\CTFMON.EXE
26.06.2009, 13:06
nick_f1982

Файл я восстановил.

А как долго ждать анализы тараканов? :)
26.06.2009, 13:31
PavelA

В карантине все файлы чистые

[size="1"][color="#666686"][B][I]Добавлено через 5 минут[/I][/B][/color][/size]

для зачистки:
[CODE]begin

SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\WINDOWS\fonts\nMGKbjzrcYBeMU4E.fon');
DeleteFile('C:\WINDOWS\fonts\tY5UFS434YYd.fon');
DeleteFile('C:\WINDOWS\fonts\uXUsF2RrQy.fon');
DeleteFile('C:\WINDOWS\fonts\vgUGf6VF2E.fon');
DeleteFile('C:\WINDOWS\fonts\ynysgR5mC.fon');
DeleteFile('C:\WINDOWS\fonts\z9gNwvuVDpyQqHSu.fon');
DeleteFile('C:\WINDOWS\system32\CDuAUVkGy9.dll');
ExecuteSysClean;
RebootWindows(true);
end.[/CODE]
Потом повторить станд. скрипт №2 и прислать лог.
26.06.2009, 14:23
nick_f1982

Логи

Принимайте:
26.06.2009, 14:59
nick_f1982

Павел, а насколько долго длятся такого рода процедуры, до полного [100%] завершения?
26.06.2009, 15:04
PavelA

Упустил одного живого.
Выполнить скрипт:
[CODE]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
ClearQuarantine;
QuarantineFile('C:\DOCUME~1\FEDORO~1\LOCALS~1\Temp\wmsetup.dll','');
DeleteFile('C:\DOCUME~1\FEDORO~1\LOCALS~1\Temp\wmsetup.dll');
BC_DeleteFile('C:\WINDOWS\fonts\nMGKbjzrcYBeMU4E.fon');
BC_DeleteFile('C:\WINDOWS\fonts\tY5UFS434YYd.fon');
BC_DeleteFile('C:\WINDOWS\fonts\uXUsF2RrQy.fon');
BC_DeleteFile('C:\WINDOWS\fonts\vgUGf6VF2E.fon');
BC_DeleteFile('C:\WINDOWS\fonts\z9gNwvuVDpyQqHSu.fon');
BC_DeleteFile('C:\WINDOWS\fonts\ynysgR5mC.fon');
BC_DeleteFile('C:\WINDOWS\system32\CDuAUVkGy9.dll');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]
Сделать заново логи после перезагрузки.
Загрузить карантин по Правилам через [url]http://virusinfo.info/upload_virus.php?tid=48733[/url]
26.06.2009, 15:24
nick_f1982

Логи

Карантин пуст. :)
26.06.2009, 15:33
nick_f1982

[wmsetup.dll], [msgmr.dll], [Framdee.ttf] определяются NOD32 на первых минутах сканирования. NOD32 говорит что они будут удалены после перезапуска, но безрезультатно.
26.06.2009, 15:52
PavelA

А а/вирус надо отключать во время работы AVZ.
Установите AVZPM в AVZ, перезагрузитесь и сделайте новый комплект логов.
26.06.2009, 19:37
nick_f1982

Прошу прощения за невнимательность.

- отключил брандмауэр
- выгрузил а\вирус
- установил AVZPM
- проверил Dr.Web - ом в безопасном режиме
- выполнил ст. скрипт 1,2

Новые логи:
29.06.2009, 11:20
nick_f1982

Доброго времени суток. :)

Хотелось бы закончить начатое. Логи я выложил и после этого компьютер не трогал. Жду ваших указаний.
29.06.2009, 11:37
PavelA

Более ничего плохого не вижу.
За последний проход AVZ, правда, еще пару грохнул.

Повторите еще разок станд. скрипт №2. и лог пришлите.
29.06.2009, 12:07
nick_f1982

Вложений: 3

Логи

___________________________
29.06.2009, 12:43
PavelA

Зараза, похоже, восстанавливается.
Придется чутка подождать. Буду просить помощи коллег.
29.06.2009, 12:59
nick_f1982

Ждёмс... :)
29.06.2009, 13:41
AndreyKa

Выполните скрипт через меню Файл:
[code]
begin
ClearQuarantine;
QuarantineFile('C:\Program Files\VolumeControl2\LouderIt.exe','');
QuarantineFile('C:\WINDOWS\system32\msiexec.exe','');
QuarantineFile('C:\WINDOWS\system32\msdtc.exe','');
QuarantineFile('c:\program files\volumecontrol2\louderit.exe','');
end.
[/code]
Пришлите карантин через ссылку [b][color=red]Прислать запрошенный карантин [/color][/b] вверху темы, как написано в приложении 3 Правил.
29.06.2009, 14:08
nick_f1982

Выполнено:

Файл сохранён как090629_140641_virus_4a48923174701.zipРазмер файла83090MD5c2e0e355ec56cf002b23e7393841f9df
29.06.2009, 14:50
AndreyKa

Из описания вируса Virus.Win32.Alman:[quote]
Для заражения файлов, находящихся в сетевых папках, вирус пытается подключиться к удаленным компьютерам с учетной записью «Administrator» [/quote]
Ставьте надежный пароль.
29.06.2009, 15:08
nick_f1982

У меня стоит пароль на учётную запись Администратор.
А учётная запись гость отключена.
29.06.2009, 15:13
AndreyKa

Вы запускаете программы из сетевых папок/дисков других компьютеров?
29.06.2009, 15:26
nick_f1982

Да конечно, но не так часто.
29.06.2009, 15:51
AndreyKa

Проведите процедуру, описанную в первом сообщении тут: [url]http://virusinfo.info/showthread.php?t=3519[/url]
29.06.2009, 18:46
nick_f1982

Выполнено:

[SIZE=1][COLOR=black][B][I][U]Файл сохранён как [/U][/I][/B][/COLOR][/SIZE][SIZE=1][COLOR=black][B]090629_183848_virusinfo_files_NB-W-IT-02_4a48d1f820336.zip[/B][/COLOR][/SIZE]
[SIZE=1][COLOR=black][B][I][U]Размер файла[/U] [/I][/B][/COLOR][/SIZE][SIZE=1][COLOR=black][B]36647606[/B][/COLOR][/SIZE]
[SIZE=1][COLOR=black][B][I][U]MD5[/U] [/I][/B][/COLOR][/SIZE][SIZE=1][COLOR=black][B]1057e3a79bdcd2502620f3f84119624f[/B][/COLOR][/SIZE]
29.06.2009, 21:39
AndreyKa

[quote=nick_f1982]После переустановки винды и установки антивируса вышел в сеть для обновления. Пока обновлялся, наловил 1462 клеща.[/quote]
C:\WINDOWS\system32\actxprxy.dll: Trojan.Win32.Patched.gp
C:\WINDOWS\System32\mswsock.dll: Trojan.Win32.Patched.em
Это не просто трояны, это системные файлы.
Откуда у вас такой "замечательный" дистрибутив Windows?
30.06.2009, 07:14
nick_f1982

Windows XP Black Edition

[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]

Я так понимаю надо отказываться от этого дистрибутива. Или с этим что-то можно сделать?

[size="1"][color="#666686"][B][I]Добавлено через 57 минут[/I][/B][/color][/size]

Предлагаю технологию избавления от вирусов в системых файлах:

Берём диск лицензионной винды SP2 (Windows XP Black Edition собирался на SP2) и при установке windows используем функцию [recovery], таким образом мы заменяем все системные файлы на лицензионные (на которых муха не е.. :censored:), давим всех тараканов обеими ногами и сохраняем структуру всех установленных программ.
01.07.2009, 07:14
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]73[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]